Siete interessati non appena la vostra IA ha effetti nell’UE
L’AI Act è in vigore dal 1° agosto 2024 e si applica in modo graduale. I divieti e l’obbligo di promuovere le competenze in materia di IA sono in vigore dal febbraio 2025, gli obblighi di trasparenza (ad esempio per i chatbot) dal 2 agosto 2026.
Il Digital Omnibus ha posticipato gli obblighi per l’IA ad alto rischio: al 2 dicembre 2027 per settori come la gestione del personale e la valutazione del credito, al 2 agosto 2028 per l’IA nei prodotti regolamentati.
Un’impresa svizzera è soggetta al regolamento se offre IA nell’UE o se i risultati del suo sistema di IA vengono utilizzati nell’UE. Chi utilizza l’IA solo internamente in Svizzera, di norma non è direttamente interessato. Tuttavia, i clienti dell’UE richiedono sempre più spesso garanzie in merito.
Quando l’AI Act riguarda un’impresa svizzera?
L’AI Act si basa sul mercato, la sede dell’impresa non è determinante (art. 2 cpv. 1). Un’impresa svizzera rientra in tre casi:
- Immettere sul mercato o mettere in servizio un sistema di IA nell’UE in qualità di fornitore, ad esempio vendendo software con funzioni di IA a clienti dell’UE.
- Utilizzare come fornitore o operatore un sistema di IA il cui risultato viene impiegato nell’UE, ad esempio analisi, testi o decisioni basati su IA per clienti in Germania.
- Impiegare l’IA tramite una sede nell’UE, ad esempio una filiale.
Esempio: Uno studio fiduciario di San Gallo utilizza l’IA per preparare documenti fiscali per clienti nel Vorarlberg. Il risultato viene utilizzato nell’UE, quindi lo studio è considerato operatore ai sensi dell’AI Act. Se utilizza la stessa IA solo per mandati svizzeri, non è soggetto al regolamento.
I ruoli: fornitore o operatore?
| Ruolo | Chi è? | Esempio tipico per le PMI |
|---|---|---|
| Fornitore (Provider) | Sviluppa un sistema di IA o lo fa sviluppare e lo immette sul mercato a proprio nome, anche gratuitamente. | Software house con modulo IA, agenzia con prodotto chatbot proprio |
| Operatore (Deployer) | Utilizza un sistema di IA sotto la propria responsabilità per scopi professionali. | Azienda che utilizza ChatGPT, Copilot o uno strumento di selezione del personale basato su IA |
| Importatore, distributore | Immettono sistemi di IA provenienti da Paesi terzi nell’UE o li commercializzano. | Rivenditore di software IA nell’UE |
La maggior parte delle PMI è operatore. Chi però offre un sistema ad alto rischio a proprio nome o lo modifica in modo sostanziale diventa a sua volta fornitore (art. 25).
Le quattro classi di rischio
Cosa richiede l’AI Act dipende dall’uso del sistema. Un costruttore di macchine dell’Argovia che fa tradurre manuali d’uso con l’IA si colloca ad esempio nel livello più basso. Se valuta candidature con uno strumento di IA, rientra nell’ambito ad alto rischio.
| Livello | Esempi | Conseguenza |
|---|---|---|
| Rischio inaccettabile | Social scoring, tecniche manipolative, riconoscimento delle emozioni sul posto di lavoro e nelle scuole, raccolta indiscriminata di immagini facciali; dal 2 dicembre 2026 anche sistemi per la creazione di immagini intime senza consenso | Vietati |
| Alto rischio | IA nella selezione del personale e nella valutazione delle prestazioni, affidabilità creditizia, premi assicurativi (vita, malattia), istruzione ed esami, infrastrutture critiche, componenti di sicurezza dei prodotti (macchinari, dispositivi medici) | Obblighi estesi: gestione dei rischi, qualità dei dati, documentazione, supervisione umana, registrazione |
| Rischio limitato | Chatbot, immagini, video e testi generati da IA, deepfake | Obblighi di trasparenza |
| Rischio minimo | Filtri antispam, traduzione, bozze di testo, funzioni di ricerca | Nessun obbligo particolare (eccetto le competenze in materia di IA) |
Scadenze secondo il Digital Omnibus
Con il regolamento (UE) 2026/1744 («Digital Omnibus on AI», in vigore dal 27 luglio 2026) l’UE ha adeguato alcune scadenze. Molti testi più vecchi in rete riportano ancora le date originarie.
| Dal / a partire da | Cosa si applica |
|---|---|
| 2 febbraio 2025 | Pratiche vietate; obbligo di promuovere le competenze in materia di IA del personale (art. 4) |
| 2 agosto 2025 | Obblighi per i fornitori di modelli di IA per uso generale (GPAI), governance, sanzioni |
| 2 agosto 2026 | Applicazione di base; obblighi di trasparenza secondo l’art. 50 (chatbot, deepfake, riconoscimento delle emozioni) |
| 2 dicembre 2026 | Etichettatura leggibile da macchine per i sistemi generativi già presenti sul mercato prima dell’agosto 2026; nuovo divieto per i sistemi di creazione di immagini intime senza consenso |
| 2 dicembre 2027 | Sistemi ad alto rischio secondo l’allegato III (personale, istruzione, valutazione del credito, infrastrutture critiche ecc.), in precedenza 2 agosto 2026 |
| 2 agosto 2028 | IA ad alto rischio nei prodotti secondo l’allegato I (macchinari, dispositivi medici, giocattoli ecc.), in precedenza 2 agosto 2027 |
Cosa devono fare concretamente gli operatori?
Competenze in materia di IA (tutti, da febbraio 2025)
Fornitori e operatori devono adottare misure per promuovere le competenze in materia di IA del proprio personale e di altre persone che lavorano con l’IA su loro incarico. Dal Digital Omnibus è chiaro che sono sufficienti misure adeguate. Non è richiesto un certificato specifico né un numero minimo di ore. Documentate per iscritto le azioni intraprese, ad esempio formazioni e una politica sull’IA.
Trasparenza (dal 2 agosto 2026)
Le persone devono essere informate che stanno interagendo con un sistema di IA, a meno che non sia evidente. Questo riguarda ad esempio il chatbot sul vostro sito web. Inoltre, si applica quanto segue:
- I deepfake (immagini, video o registrazioni audio generate o manipolate dall’IA che sembrano autentici) devono essere dichiarati.
- I testi generati dall’IA su temi di interesse pubblico devono essere contrassegnati se non sono stati verificati editorialmente.
- Chi utilizza il riconoscimento delle emozioni o la categorizzazione biometrica deve informare le persone interessate.
Sistemi ad alto rischio (da dicembre 2027)
Gli operatori devono utilizzare il sistema secondo le istruzioni per l’uso, garantire una supervisione umana competente, verificare l’idoneità dei dati di input, monitorare il funzionamento, conservare i registri e informare le persone interessate. Per le decisioni in materia di personale, ciò riguarda anche i dipendenti. L’onere principale (valutazione della conformità, documentazione tecnica, marcatura CE) spetta al fornitore.
Sanzioni
- Pratiche vietate: fino a 35 milioni di euro o il 7% del fatturato annuo mondiale
- Altri obblighi (tra cui obblighi per operatori e trasparenza): fino a 15 milioni di euro o il 3%
- Dichiarazioni false alle autorità: fino a 7,5 milioni di euro o l’1%
Per le PMI e le start-up si applica sempre l’importo più basso tra i due.
Come procedere
- Verificate se siete interessati: avete clienti nell’UE o i risultati vengono utilizzati nell’UE? Il controllo degli obblighi vi aiuta.
- Create un inventario dell’IA e assegnate a ogni sistema una classe di rischio.
- Promuovete le competenze in materia di IA del vostro personale e documentatele.
- Applicate gli obblighi di trasparenza: avvisi per i chatbot, contrassegno di immagini e video generati dall’IA.
- Chiarite tempestivamente i casi ad alto rischio. Se utilizzate l’IA nella gestione del personale o per decisioni creditizie, richiedete al fornitore prove di conformità. La scadenza di dicembre 2027 è più vicina di quanto sembri.
Domande frequenti
L’EU AI Act si applica in Svizzera?
No, la Svizzera non l’ha adottato. Tuttavia, riguarda le imprese svizzere se offrono sistemi di IA nell’UE o se i risultati della loro IA vengono utilizzati nell’UE.
Da quando si applicano gli obblighi per l’IA ad alto rischio?
Secondo il Digital Omnibus (regolamento (UE) 2026/1744), si applicano dal 2 dicembre 2027 per i sistemi di cui all’allegato III, ad esempio nella gestione del personale o nella valutazione del credito. Per l’IA nei prodotti di cui all’allegato I, la data è il 2 agosto 2028.
Un chatbot sul sito web deve essere contrassegnato?
Sì, se viene utilizzato da persone nell’UE: dal 2 agosto 2026 devono essere informate che stanno comunicando con un sistema di IA, a meno che non sia evidente (art. 50).
A quanto ammontano le sanzioni?
Fino a 35 milioni di euro o il 7% del fatturato annuo mondiale per le pratiche vietate, fino a 15 milioni o il 3% per altri obblighi. Per le PMI si applica sempre l’importo più basso.
Fonti
Questa pagina offre una panoramica e non sostituisce una consulenza personalizzata. Leggi e scadenze cambiano; fanno fede i testi ufficiali collegati.