EU AI Act
L’EU AI Act (Regolamento 2024/1689) è il primo quadro giuridico completo al mondo per l’intelligenza artificiale. Stabilisce un sistema di classificazione basato sul rischio per i sistemi di IA, imponendo requisiti che spaziano dagli obblighi di trasparenza fino ai divieti totali a seconda del livello di rischio. Per i fabbricanti di hardware che realizzano prodotti dotati di IA, il regolamento ha implicazioni dirette sulla progettazione, sulla documentazione e sulla valutazione della conformità dell’Edge AI.
Fatti chiave
| Dettaglio | Informazione |
|---|---|
| Nome completo | Regolamento (UE) 2024/1689 che stabilisce regole armonizzate sull’intelligenza artificiale |
| Entrato in vigore | 1° agosto 2024 |
| Pratiche di IA vietate | 2 febbraio 2025 |
| Obblighi GPAI | 2 agosto 2025 |
| Applicazione generale | 2 agosto 2026 |
| Obblighi per l’IA ad alto rischio | 2 dicembre 2027 (sistemi dell’allegato III); 2 agosto 2028 (IA nei prodotti dell’allegato I) — come modificato dal regolamento (UE) 2026/1744 |
| Ambito | Tutti i sistemi di IA immessi sul mercato dell’UE o utilizzati nell’UE, indipendentemente dal luogo di sviluppo |
| Sanzione | Fino a 35 milioni di € o il 7% del fatturato annuo globale (pratiche vietate) |
Categorie di rischio
L’AI Act classifica i sistemi di IA in quattro livelli:
| Livello di rischio | Esempi | Obblighi |
|---|---|---|
| Inaccettabile | Punteggio sociale, identificazione biometrica in tempo reale in luoghi pubblici (con eccezioni), IA manipolativa | Vietato — non può essere immesso sul mercato dell’UE |
| Alto rischio | Dispositivi medici con IA, componenti di sicurezza nei veicoli, monitoraggio delle infrastrutture critiche, identificazione biometrica, selezione del personale | Valutazione della conformità completa, gestione del rischio, governance dei dati, sorveglianza umana, documentazione tecnica |
| Rischio limitato | Chatbot, riconoscimento delle emozioni, deepfake | Obblighi di trasparenza — gli utenti devono essere informati che stanno interagendo con un’IA |
| Rischio minimo | Filtri antispam basati su IA, IA nei videogiochi, gestione dell’inventario | Nessun obbligo specifico (codici di condotta volontari incoraggiati) |
Impatto sui prodotti hardware
Dispositivi Edge AI
Per i fabbricanti che realizzano prodotti con inferenza IA on-device (Edge AI), l’AI Act incide su:
| Requisito | Cosa significa per l’hardware |
|---|---|
| Classificazione del rischio | Il fabbricante del prodotto deve classificare il livello di rischio del sistema di IA |
| Documentazione tecnica | Documentazione completa del modello di IA, dei dati di addestramento e delle metriche di prestazione |
| Valutazione della conformità | L’IA ad alto rischio integrata nell’hardware può richiedere una valutazione da parte di terzi |
| Sorveglianza umana | L’hardware deve fornire interfacce per la revisione/sostituzione umana delle decisioni dell’IA |
| Registrazione dell’accuratezza | Il sistema deve registrare le decisioni dell’IA per finalità di audit e monitoraggio dei bias |
| Governance dei dati | I dati di addestramento devono essere documentati, con misure di mitigazione dei bias |
| Monitoraggio post-commercializzazione | Monitoraggio continuo delle prestazioni dei sistemi di IA distribuiti |
L’Edge AI come strategia di conformità
L’elaborazione dei dati on-device tramite Edge AI può ridurre l’onere regolamentare rispetto all’IA in cloud:
| Aspetto | IA in cloud | Edge AI |
|---|---|---|
| Trasferimenti di dati | Dati inviati a server di terzi — criticità GDPR | I dati restano sul dispositivo — conformità semplificata |
| Trattamento da parte di terzi | Il fornitore cloud è un responsabile del trattamento — è richiesto un DPA | Nessun trattamento da parte di terzi — controllo diretto |
| Tracciabilità dell’audit | Necessità di sottoporre ad audit i sistemi di IA del fornitore cloud | Sistema autonomo e verificabile sul dispositivo |
| Latenza per la sicurezza | Dipendente dalla rete — inadatto agli usi critici per la sicurezza | Inferenza locale deterministica — adatta alla sicurezza |
| Documentazione AI Act | Necessità di documentare la catena di trattamento IA basata su cloud | Più semplice — singolo dispositivo, singola distribuzione |
Vantaggio strategico: l’Edge AI su una NPU dedicata elimina le criticità relative al trasferimento dei dati, semplifica la conformità al GDPR e riduce l’ambito della valutazione della conformità all’AI Act. Per questo le nostre progettazioni Edge AI privilegiano l’inferenza on-device.
AI Act e altri regolamenti UE
| Regolamento | Si concentra su | Collegamento con l’AI Act |
|---|---|---|
| AI Act | Sistemi di IA (software + hardware) | Il principale regolamento sull’IA |
| CRA | Cibersicurezza dei prodotti | I prodotti dotati di IA devono essere conformi sia all’AI Act sia al CRA |
| GDPR | Protezione dei dati personali | L’IA che tratta dati personali deve essere conforme al GDPR + AI Act |
| NIS2 | Sicurezza organizzativa | Si applica in modo indipendente: un’organizzazione rientra nell’ambito di applicazione della NIS2 in base al settore e alle dimensioni, non perché impiega l’IA |
| Regolamento sui dispositivi medici | Dispositivi medici | I dispositivi medici basati su IA che richiedono la valutazione di un organismo notificato sono ad alto rischio (art. 6(1)) |
| Regolamento Macchine | Macchinari industriali | I componenti di sicurezza basati su IA nei macchinari possono essere ad alto rischio (art. 6(1)); i requisiti sono in fase di integrazione nel Regolamento Macchine |
Modelli di IA per finalità generali (GPAI)
L’AI Act regolamenta anche i modelli di base e i GPAI (ad es. i grandi modelli linguistici):
- Tutti i GPAI: devono fornire documentazione tecnica, rispettare il diritto d’autore dell’UE, pubblicare sintesi dei dati di addestramento.
- GPAI con rischio sistemico (presunto al di sopra di 10^25 operazioni in virgola mobile di potenza di calcolo cumulativa per l’addestramento, oppure designato dalla Commissione): requisiti aggiuntivi per la valutazione del modello, i test avversari, la mitigazione del rischio sistemico, la segnalazione degli incidenti gravi e la cibersicurezza.
Termini correlati
- Edge AI — Inferenza IA on-device che semplifica la conformità all’AI Act tramite l’elaborazione locale dei dati.
- CRA — Il regolamento sulla cibersicurezza dei prodotti che si applica congiuntamente all’AI Act per i dispositivi IA connessi.
- NIS2 — La direttiva sulla cibersicurezza organizzativa; si applica in parallelo quando il deployer è un soggetto essenziale o importante.
Riferimenti ufficiali
- Regolamento (UE) 2024/1689 (EU AI Act) — Testo completo — EUR-Lex, Gazzetta ufficiale dell’Unione europea
- Regolamento (UE) 2026/1744 (Digital Omnibus sull’IA) — atto modificativo — EUR-Lex (nuove date di applicazione degli obblighi per l’IA ad alto rischio)
- EU AI Act — pagina sulle politiche della Commissione europea — Commissione europea, Strategia digitale