Il Digital Omnibus ha riscritto il calendario dell’AI Act: gli obblighi per l’AI ad alto rischio slittano al 2027 e al 2028, mentre divieti, trasparenza e sanzioni sono già operativi. In questa guida aggiornata vediamo cosa cambia per le aziende manifatturiere e come usare il tempo in più per arrivare preparati.
Per mesi il 2 agosto 2026 è stato indicato come la data in cui l’AI Act sarebbe diventato pienamente vincolante. Con il Digital Omnibus sull’AI, entrato in vigore il 27 luglio 2026, l’Unione Europea ha rivisto le scadenze per i sistemi ad alto rischio e semplificato alcuni obblighi. Il risultato non è uno stop, ma più tempo per fare le cose bene.
Per un’azienda del manifatturiero, implementare un’AI sicura significa integrare requisiti di trasparenza e robustezza direttamente nel workflow produttivo. E il momento giusto per iniziare resta adesso.
Cos’è l’AI Act
L’AI Act (Regolamento UE 2024/1689) è la prima legge organica al mondo sull’intelligenza artificiale. Nasce per garantire che i sistemi di AI utilizzati nell’Unione siano sicuri, trasparenti e rispettosi dei diritti fondamentali, e introduce un framework giuridico basato sulla classificazione del rischio.
A differenza di altre normative tecnologiche, l’AI Act non regola la tecnologia “in quanto tale”, ma ne disciplina gli usi specifici. Questo significa che lo stesso algoritmo può essere a rischio minimo se usato per filtrare email di spam, o ad alto rischio se utilizzato come componente di sicurezza o per valutare le persone al lavoro.
Cosa comporta concretamente per le imprese?
L’AI Act comporta un cambio di paradigma su tre fronti:
- Classificazione obbligatoria: ogni azienda deve mappare i propri software per capire se rientrano nelle categorie di rischio “inaccettabile” (vietati), “alto”, “limitato” o “minimo”.
- Conformità e marcatura: per i sistemi ad alto rischio, la conformità diventa un requisito legale per la vendita e l’utilizzo, con una logica simile a quella della marcatura CE.
- Governance del dato: bisogna poter dimostrare come l’AI è stata addestrata e come vengono gestiti i dati, minimizzando il rischio di decisioni errate che potrebbero causare danni fisici o discriminazioni tra i lavoratori.
In sintesi, l’AI Act sposta l’intelligenza artificiale dallo sviluppo sperimentale a un ambiente regolamentato, dove la responsabilità (accountability) è il pilastro centrale.
Digital Omnibus: il nuovo calendario dell’AI Act
L’AI Act entra in applicazione per fasi. Ecco le date da tenere a mente dopo il Digital Omnibus:
- 2 febbraio 2025: si applicano i divieti sulle pratiche a rischio inaccettabile, come il riconoscimento delle emozioni sul luogo di lavoro, e l’obbligo di alfabetizzazione sull’AI.
- 2 agosto 2025: si applicano gli obblighi per i modelli di AI per finalità generali (GPAI) e il regime sanzionatorio.
- 2 agosto 2026: si applicano gli obblighi di trasparenza dell’articolo 50, ad esempio informare le persone quando interagiscono con un sistema di AI. Per la marcatura dei contenuti generati, i sistemi già sul mercato prima di questa data hanno tempo fino al 2 dicembre 2026.
- 2 dicembre 2027: si applicano gli obblighi per i sistemi ad alto rischio dell’Allegato III (tra cui occupazione e gestione dei lavoratori, infrastrutture critiche, istruzione).
- 2 agosto 2028: si applicano gli obblighi per i sistemi ad alto rischio integrati in prodotti regolati dalla normativa UE elencata nell’Allegato I.
Rinvio non significa sospensione: le sanzioni restano quelle previste dal regolamento, fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per le pratiche vietate e fino a 15 milioni o il 3% per gli altri obblighi. E adeguare processi, fornitori e documentazione richiede mesi, non settimane.
Sei un “Provider” o un “Deployer”? La catena della responsabilità
Uno degli errori più comuni negli stabilimenti è pensare che la responsabilità sia tutta del fornitore di software. L’AI Act distingue chiaramente i ruoli:
- Provider (fornitore): chi sviluppa il sistema di AI o lo immette sul mercato. Ha gli obblighi più pesanti: valutazione della conformità, documentazione tecnica e monitoraggio post-market.
- Deployer (utilizzatore): l’azienda manifatturiera che usa l’AI in fabbrica. Deve utilizzare il sistema secondo le istruzioni, garantire la qualità dei dati in ingresso e, soprattutto, assicurare la supervisione umana.
Attenzione: se la tua azienda modifica in modo sostanziale un sistema di AI acquistato da terzi, ad esempio per adattarlo a una specifica linea, potresti essere considerata “Provider” ed ereditarne gli obblighi.
Identificare l’AI ad “alto rischio”
Un sistema di AI può essere ad alto rischio per due strade: perché è un componente di sicurezza di un prodotto regolato dalla normativa UE elencata nell’Allegato I, oppure perché è usato in uno degli ambiti dell’Allegato III, tra cui la gestione dei lavoratori.
Esempi critici nel manifatturiero:
- Sicurezza e robotica: algoritmi che svolgono funzioni di sicurezza su macchinari, come la gestione della traiettoria di robot collaborativi in presenza di persone. Per questi casi il riferimento è il Regolamento Macchine (vedi sotto).
- HR e gestione delle persone: software che valutano le performance degli operatori, assegnano compiti in base a caratteristiche personali o monitorano i comportamenti. Rientrano nell’Allegato III; il riconoscimento delle emozioni sul luogo di lavoro è vietato.
- Infrastrutture critiche: sistemi di AI usati come componenti di sicurezza nella gestione e nel funzionamento della fornitura di elettricità, gas, acqua o riscaldamento.
Al contrario, un algoritmo che ottimizza la schedulazione o suggerisce interventi di manutenzione, senza svolgere funzioni di sicurezza né prendere decisioni sulle persone, in genere non rientra nell’alto rischio. La classificazione va però verificata caso per caso.
AI Act e Regolamento Macchine (UE 2023/1230)
Il nuovo Regolamento Macchine si applica dal 20 gennaio 2027 e prevede già procedure specifiche per i componenti di sicurezza con comportamento auto-evolutivo, basati ad esempio sul machine learning. Con il Digital Omnibus, i prodotti che rientrano nel Regolamento Macchine sono in larga parte esclusi dall’applicazione diretta dell’AI Act: i requisiti di salute e sicurezza legati all’AI vengono definiti all’interno della normativa macchine.
Per chi produce o integra macchinari, quindi, il riferimento principale diventa il Regolamento Macchine. Una “AI sicura” va testata non solo come software, ma come componente che risponde agli standard di sicurezza funzionale della macchina.
I 5 Pilastri Tecnici per la Compliance Operativa
Per i sistemi ad alto rischio, e come buona pratica per tutti gli altri, l’azienda dovrebbe concentrarsi su questi pilastri:
- Data Governance: i dataset usati per training e fine-tuning devono essere pertinenti, rappresentativi e il più possibile privi di errori. In fabbrica, questo significa tracciare l’origine di ogni dato sensoristico.
- Logging automatico: il sistema deve generare log che permettano di ricostruire le decisioni prese dall’algoritmo. La tracciabilità è il cuore dell’accountability.
- Trasparenza: chi lavora in linea deve capire perché l’AI segnala un’anomalia. Istruzioni d’uso chiare sono parte degli obblighi per i sistemi ad alto rischio.
- Robustezza e cybersecurity: l’AI deve resistere a tentativi di manipolazione, come il data poisoning, che potrebbero alterare i parametri di produzione.
- Human-in-the-loop: deve essere sempre possibile, per una persona, interrompere il sistema o sovrascriverne la decisione.
Il fattore umano: AI Literacy
L’articolo 4 dell’AI Act chiede ad aziende fornitrici e utilizzatrici di sviluppare le competenze sull’AI del personale che lavora con questi sistemi. L’obbligo si applica dal 2 febbraio 2025 e il Digital Omnibus lo ha reso più flessibile: si tratta di adottare misure per sviluppare queste competenze, non di garantire un livello specifico. Non è solo formazione tecnica, ma consapevolezza di rischi e limiti della tecnologia: un team consapevole resta la prima linea di difesa contro la non conformità.
Cosa fare adesso: la roadmap verso il 2027
- Inventory audit: mappa ogni software che usa logiche di AI, non solo quelli “venduti” come AI.
- Verifica dei divieti e della trasparenza: controlla subito che nessun sistema rientri tra le pratiche vietate e che siano rispettati gli obblighi dell’articolo 50, già applicabili.
- Gap analysis: individua i sistemi che rientrano nell’alto rischio e quelli che ricadono nel Regolamento Macchine.
- Vendor assessment: chiedi ai fornitori di software industriale i piani di conformità e la documentazione disponibile.
- Sandbox regolamentari: se sviluppi AI internamente, valuta l’accesso alle sandbox nazionali per testare i sistemi in un ambiente protetto prima del rilascio.
La Compliance come vantaggio competitivo
L’AI Act non è un “male necessario”, ma il framework che darà fiducia al mercato. Il rinvio delle scadenze non riduce il lavoro da fare: lo rende più pianificabile. Chi usa questo tempo per mappare i sistemi, formare le persone e allineare i fornitori potrà garantire ai propri partner una supply chain trasparente e sicura senza rincorse dell’ultimo minuto.
In AzzurroDigitale accompagniamo le aziende in questo percorso, trasformando i vincoli normativi in eccellenza operativa.
Domande frequenti (FAQ)
Cos’è l’AI Act?
È il Regolamento UE 2024/1689, la prima legge organica sull’intelligenza artificiale. Non regola la tecnologia in sé ma i suoi usi, classificando i sistemi di AI in base al rischio: inaccettabile (vietati), alto, limitato o minimo.
Quando si applicano gli obblighi per i sistemi di AI ad alto rischio?
Il Digital Omnibus, in vigore dal 27 luglio 2026, ha posticipato le scadenze: gli obblighi per i sistemi ad alto rischio dell’Allegato III si applicano dal 2 dicembre 2027, quelli per i sistemi integrati in prodotti regolati dall’Allegato I dal 2 agosto 2028.
L’AI Act si applica alle macchine industriali?
Con il Digital Omnibus i prodotti che rientrano nel Regolamento Macchine (UE 2023/1230) sono in larga parte esclusi dall’applicazione diretta dell’AI Act: i requisiti di sicurezza legati all’AI vengono definiti all’interno della normativa macchine, che si applica dal 20 gennaio 2027.
Che differenza c’è tra provider e deployer?
Il provider sviluppa o immette sul mercato un sistema di AI; il deployer è chi lo utilizza nella propria attività, come un’azienda manifatturiera che lo adotta in reparto. I due ruoli hanno obblighi diversi, ed è importante capire quale si ricopre per ogni sistema.
Come prepararsi alla conformità all’AI Act?
Il primo passo è mappare i sistemi di AI in uso e classificarne il rischio, poi definire governance del dato, documentazione e supervisione umana, e formare le persone. Per impostare un percorso di adozione strutturato, leggi la nostra guida pratica all’AI nel manifatturiero.