AI Act per startup: cosa prevede, da quando si applica e cosa fare adesso

Cos'è l'AI Act, in breve?

L'AI Act è il regolamento europeo che fissa regole comuni per l'intelligenza artificiale in base al rischio che un sistema crea per salute, sicurezza e diritti fondamentali. È stato adottato il 13 giugno 2024, pubblicato nella Gazzetta ufficiale dell'UE il 12 luglio ed è entrato in vigore il 1° agosto 2024. Essendo un regolamento vale direttamente in tutti gli Stati membri. Nel 2026 è stato modificato dal cosiddetto AI Omnibus, che ha spostato alcune scadenze e semplificato alcuni obblighi.

Sistema di IA

Secondo l'art. 3 dell'AI Act, è un sistema automatizzato progettato per funzionare con livelli di autonomia variabili, che può adattarsi dopo la diffusione e che, dagli input che riceve, deduce come generare output come previsioni, contenuti, raccomandazioni o decisioni in grado di influenzare ambienti fisici o virtuali.

Da quando si applicano le regole dell'AI Act?

Le regole si applicano a scaglioni: i divieti dal 2 febbraio 2025, la maggior parte degli obblighi dal 2 agosto 2026, le regole sui sistemi ad alto rischio dal 2 dicembre 2027 e dal 2 agosto 2028. Ecco il calendario aggiornato.

Le date di dicembre 2026, dicembre 2027 e agosto 2028 sono quelle introdotte dal Regolamento (UE) 2026/1744, pubblicato il 24 luglio 2026. La timeline ufficiale del servizio di assistenza della Commissione è già aggiornata ed è la prima pagina da tenere nei preferiti.

L'AI Act si applica alla mia startup?

Sì, se sviluppi un sistema di IA e lo metti sul mercato nell'UE, oppure se usi un sistema di IA nella tua attività professionale nell'UE. Vale anche per chi ha sede fuori dall'Unione, quando l'output del sistema è usato nell'UE. Conta il ruolo che hai rispetto a ogni sistema, e spesso una startup ne ha due.

Fornitore

Chi sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio, a pagamento o gratis. Una startup che vende un prodotto con funzioni AI è fornitore di quel sistema.

Deployer

Chi usa un sistema di IA sotto la propria autorità, escluso l'uso personale non professionale. Una startup che usa un assistente AI per smistare i ticket di assistenza è deployer di quel sistema.

Per chi è agli inizi ci sono esclusioni utili. Il regolamento non si applica alle attività di ricerca, prova e sviluppo svolte prima dell'immissione sul mercato, ma i test in condizioni reali non rientrano nell'esclusione. Non si applica nemmeno ai sistemi sviluppati al solo scopo di ricerca scientifica. I sistemi rilasciati con licenza libera e open source sono esclusi, salvo che siano ad alto rischio, rientrino nelle pratiche vietate o negli obblighi di trasparenza dell'art. 50.

In quale livello di rischio rientra il mio prodotto?

Dipende da cosa fa il sistema e su chi, non dalla tecnologia che usa. La Commissione europea distingue quattro livelli di rischio.

Quali obblighi ho se il mio prodotto usa GPT, Claude o Gemini?

Gli obblighi sui modelli di IA per finalità generali, come GPT, Claude o Gemini, ricadono su chi li sviluppa. Su di te ricadono quelli del sistema che costruisci sopra il modello e dell'uso che ne fai. Per un prodotto non ad alto rischio, di solito sono quattro:

• Dire che è un'AI. Se il sistema interagisce con le persone, va progettato in modo che sappiano di parlare con un'AI, salvo quando è evidente (art. 50, par. 1).
• Marcare i contenuti generati. Se il prodotto genera testi, immagini, audio o video sintetici, gli output vanno marcati in un formato leggibile da una macchina, con eccezioni per le funzioni di semplice assistenza alla scrittura (art. 50, par. 2).
• Dichiarare i deepfake. Chi usa un sistema per generare o manipolare immagini, audio o video che sembrano reali deve dichiarare che il contenuto è artificiale (art. 50, par. 4).
• Formare il team. Fornitori e deployer devono adottare misure per sostenere l'alfabetizzazione in materia di IA del personale che usa questi sistemi (art. 4, nella versione semplificata dall'Omnibus).

Le regole di trasparenza si applicano dal 2 agosto 2026. Per la marcatura dei contenuti dei sistemi generativi già sul mercato prima di quella data c'è un periodo transitorio fino al 2 dicembre 2026.

Cosa cambia con l'AI Omnibus del 2026?

L'AI Omnibus ha rinviato le regole sull'alto rischio, semplificato alcuni obblighi ed esteso alle piccole imprese a media capitalizzazione alcune agevolazioni che prima valevano solo per le PMI. Secondo la Commissione, le novità principali sono queste:

• regole per i sistemi dell'allegato III dal 2 dicembre 2027 e per quelli dell'allegato I dal 2 agosto 2028;
• obbligo di alfabetizzazione AI riscritto: le aziende devono sostenerla, senza dover garantire un livello specifico per ogni persona;
• documentazione tecnica e sistema di gestione della qualità semplificati per PMI, startup e piccole imprese a media capitalizzazione che sviluppano sistemi ad alto rischio;
• una sandbox a livello europeo gestita dall'Ufficio per l'IA, con accesso prioritario per PMI e piccole imprese a media capitalizzazione;
• due nuovi divieti, dal 2 dicembre 2026, sui sistemi che generano contenuti sessuali non consensuali e materiale pedopornografico.

Ci sono agevolazioni per startup e PMI?

Sì, e sono più concrete di quanto si pensi. Il testo prevede accesso prioritario e gratuito agli spazi di sperimentazione normativa per le PMI con sede o filiale nell'UE, startup comprese (artt. 58 e 62), tariffe ridotte in proporzione per la valutazione di conformità, sanzioni calcolate sul valore più basso e canali di comunicazione dedicati. Per orientarti ci sono anche strumenti gratuiti: il servizio di assistenza sull'AI Act della Commissione, con un verificatore di conformità interattivo, e l'AI Pact, l'iniziativa volontaria per prepararsi in anticipo.

E in Italia? Cosa dice la legge 132/2025

In Italia c'è anche la legge 23 settembre 2025, n. 132, pubblicata nella Gazzetta Ufficiale n. 223 e in vigore dal 10 ottobre 2025. Va interpretata e applicata in conformità al regolamento europeo e designa AgID e l'Agenzia per la cybersicurezza nazionale (ACN) come autorità nazionali per l'intelligenza artificiale. Una norma da tenere presente per i prodotti consumer: l'art. 4 richiede il consenso di chi esercita la responsabilità genitoriale per l'accesso dei minori di 14 anni alle tecnologie di IA e per il relativo trattamento dei dati.

Da dove parte una startup, in pratica?

Si parte da un inventario: quali sistemi di IA sviluppi o usi, con quale ruolo e per fare cosa. La checklist qui sotto l'abbiamo preparata noi per arrivare dall'avvocato con il lavoro di base già fatto.

Se stai ancora decidendo dove usare l'AI, la guida su come usare l'intelligenza artificiale in una startup aiuta a scegliere il primo caso d'uso; se stai costruendo un prodotto su modelli linguistici, quella su RAG e costi delle API copre la parte tecnica.