EU AI Act 2026: cosa devono cambiare i CTO e i team di prodotto prima di implementare l'IA in Europa

22 aprile 2026

Negli ultimi due anni, la maggior parte delle conversazioni sulla legge europea sull'intelligenza artificiale sono state tenute dai team legali, dai responsabili della conformità e dagli specialisti delle politiche. Dal 2 agosto 2026, le cose cambieranno in modo molto più pratico per i team di prodotto, ingegneria e piattaforma.

Da quel momento inizierà ad applicarsi la maggior parte delle norme della legge sull'IA, compreso il quadro per i sistemi di IA ad alto rischio di cui all'allegato III e gli obblighi di trasparenza di cui all'articolo 50 per determinati sistemi di IA e contenuti generati dall'IA. La legge è entrata in vigore il 1° agosto 2024. Le norme sulle pratiche vietate di IA e sull'alfabetizzazione all'IA si applicano dal 2 febbraio 2025, mentre gli obblighi per i modelli di IA generici si applicano dal 2 agosto 2025. Alcuni obblighi per l'IA ad alto rischio incorporata in prodotti regolamentati si applicano successivamente, il 2 agosto 2027.

Questa non è un'altra panoramica sulla conformità. È una guida pratica per i team che progettano, costruiscono, integrano e spediscono sistemi di IA: cosa rivedere nell'architettura, nei flussi di prodotto, nella registrazione, nella documentazione, nelle dipendenze dei fornitori e nei controlli operativi prima di distribuire l'IA in Europa.

Perché questo è importante per i CTO e i team di prodotto, non solo per gli aspetti legali e di conformità

La legge europea sull'IA è strutturata come una normativa sulla sicurezza dei prodotti applicata all'IA. Gli obblighi che impone non sono principalmente esercizi di documentazione o dichiarazioni politiche. Sono requisiti ingegneristici.

Per i sistemi di intelligenza artificiale ad alto rischio, la legge richiede una registrazione automatica degli eventi incorporata nel sistema fin dall'inizio. Richiede meccanismi di supervisione umana che non siano funzioni aggiuntive. Richiede una documentazione tecnica mantenuta per tutto il ciclo di vita del sistema. Richiede valutazioni di conformità completate prima dell'immissione sul mercato. Queste non sono cose che un team legale può produrre a posteriori. Sono cose che i team di ingegneri devono progettare, costruire e mantenere.

I fallimenti di conformità che emergeranno dall'applicazione del 2026 non deriveranno da team che hanno redatto una documentazione imperfetta. Verranno da team che non hanno mai classificato i loro sistemi, che hanno spedito senza governance gates nel loro processo di sviluppo e che hanno trattato le terze parti in maniera non conforme. Integrazioni AI come dipendenze del software piuttosto che come componenti regolati dell'intelligenza artificiale.

I team di prodotto sono esposti in modo analogo. Gli obblighi di trasparenza previsti dall'articolo 50 richiedono che gli utenti siano informati quando interagiscono con l'IA. Se il vostro sistema genera contenuti, manipola i media o prende decisioni che riguardano gli utenti, i vostri flussi di prodotto potrebbero dover cambiare. I punti di contatto per il consenso, i meccanismi di divulgazione, i percorsi di ripiego e le vie di escalation umane sono questioni di progettazione del prodotto che devono essere risolte prima dell'implementazione.

Il risultato finale: La conformità alla legge sull'IA dell'UE nel 2026 è un problema di prodotto, di ingegneria e di approvvigionamento. La revisione legale fa parte del processo, ma non può sostituire le decisioni di progettazione che avrebbero dovuto essere prese durante la pianificazione dello sprint.

Cosa significa in realtà la scadenza dell'agosto 2026

La legge è stata introdotta per fasi dall'entrata in vigore nell'agosto 2024. Ecco come stanno le cose:

Data Cosa si applica
Febbraio 2025 Pratiche di IA vietate (articolo 5) e obblighi di alfabetizzazione all'IA
Agosto 2025 Obblighi del modello GPAI e requisiti dell'infrastruttura di governance
Agosto 2026 La maggior parte delle norme rimanenti, tra cui l'IA ad alto rischio (Allegato III), la trasparenza dell'articolo 50, l'applicazione nazionale.
Agosto 2027 IA ad alto rischio incorporata in prodotti regolamentati (dispositivi medici, macchinari, ecc.)

Alla fine del 2025 la Commissione europea ha proposto un pacchetto “Digital Omnibus” che potrebbe prorogare alcune scadenze ad alto rischio fino a 16 mesi, a condizione che siano disponibili standard armonizzati. La proposta non è stata confermata come legge. Una pianificazione prudente considera l'agosto 2026 come scadenza vincolante.

La legge si applica a livello extraterritoriale. Come il GDPR, segue la portata dei risultati del vostro sistema, non l'indirizzo di registrazione della vostra azienda. Se il vostro sistema di IA è distribuito nell'UE o interessa residenti dell'UE, la legge si applica, indipendentemente dal fatto che abbiate sede a Londra, Austin o Dubai.

Comprendere il proprio ruolo nella catena di fornitura dell'intelligenza artificiale

Uno degli aspetti più importanti dal punto di vista operativo - e sottovalutato - della Legge è che i vostri obblighi dipendono dal vostro ruolo, non solo la vostra tecnologia.

La legge distingue tra:

  • Fornitori - soggetti che costruiscono o commissionano un sistema di IA e lo immettono sul mercato dell'UE a proprio nome
  • Distributori - entità che utilizzano un sistema di IA in un contesto professionale

Un'azienda SaaS che costruisce uno strumento di assunzione alimentato dall'intelligenza artificiale e lo vende alle imprese europee è una fornitore. Un'azienda che integra questo strumento nel proprio flusso di lavoro delle risorse umane è una distributore. Entrambi hanno obblighi distinti.

Questa distinzione è molto importante quando si integra l'intelligenza artificiale di terze parti:

  • Se integrate un modello di terze parti (tramite API) in un prodotto che distribuite ai clienti europei, potreste assumere obblighi a livello di fornitore per il sistema a valle, anche se non avete formato il modello sottostante.
  • Se perfezionate, adattate o modificate sostanzialmente un modello di terze parti, la vostra posizione di conformità cambia.
  • Se si consuma un modello GPAI come un LLM tramite API, il fornitore del modello ha obblighi GPAI separati, ma il sistema che si costruisce sopra di esso è una vostra responsabilità classificare e governare.

In pratica, molti team di prodotto sono contemporaneamente fornitori per i sistemi che costruiscono e Distributori delle capacità GPAI che integrano. Possono essere applicate entrambe le serie di obblighi.

Classificazione del rischio: La domanda a cui rispondere per prima

Gli obblighi previsti dalla legge sono proporzionali al rischio. Prima di ogni altra cosa - prima della documentazione, prima dell'infrastruttura di registrazione, prima della riprogettazione del prodotto - è necessario classificare i sistemi di IA.

Livello di rischio Cosa copre Livello d'obbligo
Inaccettabile Manipolazione subliminale, social scoring, sorveglianza biometrica in tempo reale Vietato (da febbraio 2025)
Alto rischio Screening delle assunzioni, credit scoring, infrastrutture critiche, categorizzazione biometrica, valutazione dell'istruzione Obblighi di piena conformità
Rischio limitato Chatbot, contenuti generati dall'intelligenza artificiale Solo obblighi di trasparenza
Rischio minimo Filtri antispam, giochi di intelligenza artificiale Nessun obbligo di legge

Il punto critico di decisione per la maggior parte dei team di ingegneri è se un sistema ricade o meno sotto Allegato III ad alto rischio. La Commissione aveva l'obbligo legale di pubblicare le linee guida sulla classificazione dell'articolo 6 entro il febbraio 2026 e non ha rispettato tale scadenza. Le linee guida definitive sono attese nei prossimi mesi. Se non siete sicuri che il vostro sistema sia idoneo, l'assenza di linee guida ufficiali non è un motivo per aspettare: è un motivo per fare la vostra valutazione documentata e costruire verso uno standard più elevato.

Cosa i team di ingegneri devono rivedere prima della distribuzione

Se il vostro sistema è classificato come ad alto rischio, le implicazioni ingegneristiche sono notevoli. Ecco dove i team trovano di solito le maggiori lacune.

Registrazione e verificabilità

L'articolo 12 prevede che i sistemi di IA ad alto rischio permettano tecnicamente di registrazione automatica degli eventi durante la vita del sistema. “Automatico” significa che il sistema genera autonomamente i registri; la documentazione manuale non soddisfa questo requisito. Per “durata” si intende dall'implementazione alla dismissione, non solo la release corrente.

I registri devono riguardare: le situazioni in cui il sistema può presentare un rischio o subire modifiche sostanziali, i dati per il monitoraggio successivo all'immissione sul mercato e i dati per il monitoraggio operativo dell'installatore. L'articolo 18 prevede che i registri siano conservati per un minimo di sei mesi.

La maggior parte delle pipeline di registrazione cattura gli output ma non la logica decisionale. È in questa lacuna che risiede l'esposizione alla conformità.

In pratica, i team dovrebbero rivedere:

  • Se i log catturano gli input, gli output, le fasi decisionali intermedie, i timestamp e le interazioni dell'operatore.
  • Se i flussi di lavoro multi-step degli agenti sono tracciati end-to-end
  • Se i registri sono archiviati in modo da dimostrare che non sono stati manomessi.

Documentazione tecnica

Per i sistemi ad alto rischio, l'Allegato IV specifica nove categorie di documentazione tecnica obbligatoria che deve essere preparata prima dell'immissione sul mercato e mantenuta per tutto il ciclo di vita del sistema, tra cui l'architettura del sistema, la metodologia di formazione, i parametri di prestazione, le limitazioni note e la documentazione sulla gestione del rischio. L'articolo 18 prevede che questa documentazione sia conservata per 10 anni.

In pratica, i team dovrebbero rivedere:

  • Se la documentazione è versionata insieme alle versioni del modello
  • Se copre le prestazioni su insiemi di dati rappresentativi, compresi i casi limite
  • Se è strutturato in modo tale da consentire all'autorità di regolamentazione di valutare la conformità senza dover ricorrere al reverse-engineering del modello.

Provenienza del modello e dipendenze da terze parti

Se il vostro sistema dipende da un modello di base di terze parti, dovete capire quale documentazione fornisce il fornitore e da dove iniziano i vostri obblighi. Quando si costruisce un'applicazione su un modello GPAI e la si distribuisce in un contesto ad alto rischio, gli obblighi del fornitore a livello di applicazione ricadono su voi.

In pratica, i team dovrebbero rivedere:

  • La documentazione sulla governance dell'IA fornita da ciascun fornitore di modelli di terze parti.
  • I confini contrattuali della responsabilità
  • Se il vostro caso d'uso rientra nell'ambito di ciò che il fornitore del modello ha documentato

Meccanismi di supervisione umana

I sistemi di intelligenza artificiale ad alto rischio devono essere progettati in modo da consentire ai distributori di implementare la supervisione umana. Questo è un requisiti dell'architettura, non una dichiarazione di processo. Il sistema deve poter essere messo in pausa, annullato o segnalato da un operatore umano.

In pratica, i team dovrebbero rivedere:

  • Se il vostro sistema dispone di soglie di confidenza configurabili che attivano la revisione umana
  • Esistono percorsi di sovrascrittura nell'interfaccia utente e nel backend?
  • Se gli interventi di supervisione umana sono registrati

Controlli di accesso e responsabilità basata sui ruoli

La legge richiede implicitamente di poter identificare chi ha preso decisioni, modificato il sistema o approvato le implementazioni. L'IA ombra - i dipendenti che utilizzano strumenti di IA esterni che toccano i dati di produzione senza visibilità centrale - crea un'esposizione alla conformità che la maggior parte dei team di ingegneri non sta attualmente misurando.

In pratica, i team dovrebbero rivedere:

  • Se tutti i componenti dell'IA nel vostro stack di produzione sono inventariati a livello centrale
  • Se i controlli di accesso basati sui ruoli regolano chi può distribuire, modificare o disabilitare i componenti dell'intelligenza artificiale.
  • Se il vostro processo di gestione degli incidenti copre specificamente i guasti del sistema di IA

Cosa devono rivedere i team di prodotto prima dell'installazione

Trasparenza e divulgazione

Gli obblighi di trasparenza previsti dall'articolo 50 si applicano a determinati sistemi di IA, tra cui alcuni sistemi di IA interattivi, sistemi di contenuti sintetici, sistemi di riconoscimento delle emozioni/categorizzazione biometrica e alcuni usi legati al deepfake - non solo ad alto rischio - a partire dall'agosto 2026. Se il vostro prodotto interagisce con gli utenti attraverso un'interfaccia di conversazione, genera contenuti o prende decisioni visibili che riguardano gli utenti, potreste dover dichiarare che l'IA è coinvolta.

In pratica, i team dovrebbero rivedere:

  • Se i contenuti generati dall'IA sono identificati come tali nell'interfaccia
  • Se gli utenti sono informati quando interagiscono con un chatbot o un assistente AI
  • Se i punti di contatto per la divulgazione sono visibili e chiari, non sepolti nei termini di servizio.

Escalation umana e percorsi di ripiego

Per i sistemi ad alto rischio, gli utenti hanno bisogno di un percorso per rivolgersi a un umano quando il sistema di intelligenza artificiale prende una decisione che li riguarda. Questo non è facoltativo.

In pratica, i team dovrebbero rivedere:

  • Se ogni decisione guidata dall'IA che potrebbe riguardare un utente ha un percorso di escalation o di revisione corrispondente.
  • Se i percorsi di fallback funzionano quando il componente AI non è disponibile
  • Se il fallback è documentato come parte dei requisiti operativi del sistema.

Consenso e trattamento dei dati

Per i team che utilizzano l'IA che elabora dati personali, gli obblighi del GDPR e dell'AI Act si sovrappongono in modo significativo. Il processo decisionale automatizzato, la base giuridica dei dati di formazione e i diritti degli interessati si applicano contemporaneamente.

In pratica, i team dovrebbero rivedere:

  • Se i flussi di consenso sono allineati con le modalità di elaborazione dei dati da parte della componente di intelligenza artificiale.
  • Se gli interessati possono esercitare i diritti (accesso, cancellazione, opposizione) che si propagano attraverso la vostra pipeline di AI
  • Se il vostro sistema è in grado di gestire la revoca del consenso senza lasciare in produzione dati di formazione obsoleti.

Una lista di controllo pratica di preparazione per i CTO e i team di prodotto

Questa lista di controllo riflette raccomandazioni pratiche basate sui requisiti della Legge, non su interpretazioni legali consolidate. La si utilizzi come punto di partenza per una valutazione interna, non come sostituto di un esame legale formale.

Inventario e classificazione del sistema

  • [ ] Tutti i componenti dell'IA in produzione e nella roadmap sono stati inventariati.
  • [ ] Ogni sistema ha una valutazione documentata del livello di rischio
  • [ ] I sistemi vicini al territorio dell'Allegato III sono stati valutati in base a criteri specifici per i casi d'uso.
  • [ ] Sono state identificate le integrazioni AI di terze parti e ne è stata verificata la conformità.
  • [ ] Per ogni componente dell'IA è stato determinato il ruolo di provider e di deployer.

Ingegneria e architettura

  • [ ] L'infrastruttura di registrazione acquisisce input, output, fasi decisionali, timestamp e azioni dell'operatore.
  • [ ] I registri vengono conservati per almeno sei mesi e conservati in forma antimanomissione.
  • [ ] La documentazione tecnica esiste per ogni sistema ed è aggiornata insieme alle versioni dei modelli.
  • [ ] I meccanismi di esclusione umana sono integrati nell'architettura del sistema.
  • [ ] I controlli di accesso basati sui ruoli regolano chi può distribuire, modificare o disabilitare i componenti dell'IA.
  • [ ] La provenienza del modello e la documentazione del modello di terze parti sono esaminate e conservate.
  • [ ] Il processo di gestione degli incidenti copre i guasti del sistema di IA e i risultati negativi.

Prodotto e UX

  • [ ] I punti di contatto per la divulgazione sono presenti nei casi in cui la legge richiede la trasparenza.
  • [ ] Esistono percorsi di escalation umana per le decisioni guidate dall'IA che riguardano gli utenti.
  • [ ] I flussi di fallback funzionano quando il componente AI non è disponibile.
  • [ ] I flussi di consenso sono in linea con le pratiche di trattamento dei dati dell'IA.
  • [ ] La documentazione del prodotto copre le capacità, le limitazioni e l'uso previsto dei componenti dell'IA.

Governance e processo

  • [ ] Esiste un responsabile della conformità all'IA nella vostra organizzazione
  • [ ] La governance dell'IA è integrata nel processo di sviluppo e non è trattata come una revisione legale in fase finale.
  • [ ] Esiste un piano di monitoraggio post-vendita per i sistemi ad alto rischio.
  • [ ] È stata condotta (o programmata) una valutazione di conformità per i sistemi ad alto rischio.
  • [ ] È prevista la registrazione della banca dati UE per i sistemi ad alto rischio applicabili.

La connessione tra architettura e governance

C'è uno schema che vale la pena sottolineare: i team più esposti al rischio di conformità ai sensi della legge UE sull'IA non sono necessariamente quelli che stanno costruendo l'IA più sofisticata. Sono quelli che si sono mossi velocemente, hanno integrato le capacità di IA in modo opportunistico e non hanno mai costruito l'architettura sottostante per supportare l'osservabilità, la tracciabilità e la governance a livello di sistema.

Infrastruttura di registrazione che produce prove di livello audit. Pipeline di orchestrazione dei modelli con percorsi decisionali tracciabili. Quadri di documentazione che accompagnano il sistema durante il suo ciclo di vita. Ganci di supervisione umana integrati nel flusso principale. Non si tratta di caratteristiche di conformità, ma di buone pratiche ingegneristiche applicate ai sistemi di intelligenza artificiale. La legge, per molti aspetti, sta codificando ciò che la produzione di grado superiore Implementazione dell'intelligenza artificiale dovrebbe apparire come.

I team che hanno investito nella disciplina della piattaforma scopriranno che la preparazione alla conformità è in gran parte un esercizio di documentazione e valutazione, non una ricostruzione. Le squadre che non lo hanno fatto dovranno affrontare un percorso più difficile.

Questa è la differenza sostanziale tra sperimentare l'IA E implementazione dell'IA. La sperimentazione è a basso rischio. L'implementazione della produzione nei mercati regolamentati significa che ogni componente del sistema ha un proprietario, uno scopo, un confine e una traccia di controllo.

Domande da porsi prima di implementare l'IA in Europa

Si tratta di raccomandazioni pratiche, non di una lista di controllo legale definitiva.

  1. Abbiamo classificato questo sistema? È ad alto rischio secondo l'Allegato III? Abbiamo documentato la nostra valutazione?
  2. Siamo il fornitore, il distributore o entrambi? Comprendiamo i nostri obblighi in ciascun ruolo?
  3. Da quale AI di terze parti dipende questo sistema? Dove finisce la loro responsabilità e dove inizia la nostra?
  4. Possiamo ricostruire cosa ha fatto il sistema e perché? La nostra infrastruttura di registrazione produce prove che soddisfano un revisore?
  5. Se il sistema prende una decisione che riguarda un utente, cosa succede dopo? Esiste un percorso di escalation umano? Funziona?
  6. Il nostro prodotto rivela il coinvolgimento dell'IA laddove richiesto? Gli obblighi di trasparenza si riflettono nell'interfaccia utente e non solo nell'informativa sulla privacy?
  7. Abbiamo eseguito una DPIA o una FRIA? Per i sistemi ad alto rischio che trattano dati personali, potrebbero essere necessari entrambi.
  8. La nostra documentazione tecnica è aggiornata e aggiornabile? Un'autorità di regolamentazione sarebbe in grado di valutarne la conformità?
  9. Il nostro processo di sviluppo include un gate di governance per l'implementazione dell'IA? O la conformità è ancora un pensiero secondario al momento del rilascio?

Abbiamo un piano di monitoraggio post-market? Cosa fa scattare una revisione o un rapporto sugli incidenti?

Errori comuni delle aziende

Trattare la conformità come un esame legale in fase finale. I requisiti imposti dalla legge - registrazione, documentazione, supervisione umana, trasparenza - sono decisioni di progettazione. Non possono essere inseriti a posteriori in un prodotto spedito senza una significativa rielaborazione.

Ignorare gli obblighi di modello di terzi. Integrare un LLM L'API non trasferisce le vostre responsabilità di conformità al fornitore del modello. Se state costruendo un prodotto sulla base di un modello GPAI e lo distribuite in un contesto ad alto rischio, gli obblighi del fornitore ad alto rischio ricadono su di voi.

Confondere l'alfabetizzazione all'IA con la governance dell'IA. Sapere cosa dice la legge non significa avere l'infrastruttura per dimostrare la conformità. La documentazione, la registrazione, i meccanismi di supervisione e le valutazioni di conformità sono risultati operativi, non posizioni politiche.

In attesa dell'estensione del Digital Omnibus. La proposta esiste. Potrebbe passare. Ma non è stata confermata come legge e non elimina gli obblighi di conformità sottostanti, ma modifica solo potenzialmente la tempistica per specifiche categorie dell'Allegato III.

Applicare la logica del GDPR e supporre che sia sufficiente. I quadri normativi si sovrappongono ma non sono identici. L'AI Act aggiunge requisiti specifici - registrazione, documentazione tecnica, supervisione umana, valutazione della conformità - che il GDPR non contempla.

Come può essere d'aiuto un partner per l'implementazione guidato dall'ingegneria

Passare dalla sperimentazione dell'IA all'implementazione pronta per la produzione nei mercati regolamentati è una sfida ingegneristica, non solo un esercizio di controllo della conformità. Il lavoro è concreto: costruire un'infrastruttura di registrazione che produca prove di livello audit; progettare meccanismi di supervisione umana che funzionino a livello di architettura; stabilire quadri di documentazione che accompagnino il sistema per tutto il suo ciclo di vita; rivedere il sistema di controllo. orchestrazione del modello pipeline per la tracciabilità, la valutazione delle dipendenze di terzi e l'integrazione dei gate di governance nei flussi di lavoro dello sviluppo.

In Carmatec, questo è il lavoro che abbiamo svolto con i clienti attraverso l'integrazione dell'IA, ingegneria della piattaforma, e sistemi aziendali. Abbiamo costruito Condotte RAG, implementato Automazione basata sull'intelligenza artificiale, e ha aiutato le aziende a passare dal proof-of-concept alla produzione. I requisiti infrastrutturali che derivano dalla conformità alla legge europea sull'intelligenza artificiale non sono una nuova categoria di lavoro, ma rappresentano l'aspetto dell'implementazione dell'intelligenza artificiale a livello di produzione quando viene eseguita correttamente.

Se il vostro team sta costruendo sistemi di IA per il mercato europeo e sta affrontando le domande di preparazione di cui sopra, siamo in grado di aiutarvi a valutare la vostra situazione, a identificare ciò che deve cambiare e a costruire sistemi distribuibili con un'architettura in grado di supportare la conformità.

FAQ

L'EU AI Act si applica alla mia azienda se abbiamo sede al di fuori dell'UE?

La legge si applica a livello extraterritoriale. Se il vostro sistema di IA è distribuito nell'UE o se i suoi risultati interessano residenti dell'UE, la legge si applica, indipendentemente dal luogo in cui la vostra azienda è costituita o dove il modello è ospitato. Questo rispecchia il modello territoriale del GDPR.

Cosa si intende per sistema di IA ad alto rischio ai sensi dell'EU AI Act?

I sistemi ad alto rischio sono elencati nell'Allegato III e riguardano casi d'uso specifici, tra cui lo screening delle assunzioni e dei CV, il credit scoring, la gestione delle infrastrutture critiche, la categorizzazione biometrica e gli strumenti di valutazione educativa. Se il vostro sistema rientra o si avvicina a queste categorie, dovreste condurre un esercizio di classificazione del rischio documentato.

Se utilizziamo un LLM di terzi tramite API, abbiamo obblighi di conformità?

Sì. Se costruite un'applicazione sulla base di un modello GPAI e la distribuite in un contesto ad alto rischio, gli obblighi del fornitore ad alto rischio sono vostri. La conformità del fornitore del modello non sostituisce la vostra come costruttore dell'applicazione.

Qual è l'esposizione alla multa in caso di non conformità?

Per le violazioni del sistema di IA ad alto rischio, le sanzioni possono raggiungere i 15 milioni di euro o il 3% del fatturato annuo globale, a seconda del valore più alto. Per le pratiche di IA vietate, il tetto massimo è di 35 milioni di euro o 7% di fatturato annuo globale. L'esposizione al GDPR per il processo decisionale automatizzato può aggiungersi a questi importi.

La proposta Digital Omnibus potrebbe ritardare alcune scadenze. Dobbiamo aspettare?

No. La proposta non è stata confermata come legge e, anche se dovesse essere approvata, modifica solo potenzialmente la tempistica per specifiche categorie dell'Allegato III, senza eliminare gli obblighi sottostanti. Pianificare la scadenza dell'agosto 2026 è l'approccio più prudente.

La legge si applica agli strumenti interni di IA e non solo ai prodotti rivolti ai clienti?

Dipende dal caso d'uso. Gli strumenti interni di intelligenza artificiale che prendono decisioni che riguardano i lavoratori (valutazione delle prestazioni, assegnazione dei compiti, monitoraggio del posto di lavoro) possono rientrare nelle categorie ad alto rischio dell'Allegato III e richiedere una revisione della classificazione.

Conclusione

L'EU AI Act non è un onere di conformità futuro. È un requisito ingegneristico attuale con data di entrata in vigore il 2 agosto 2026.

Le organizzazioni che riusciranno a gestirla nel modo più efficace sono quelle che la considerano per quello che effettivamente è: una normativa sulla sicurezza dei prodotti che richiede lo stesso rigore ingegneristico che merita qualsiasi sistema di produzione. Classificazione del sistema, registrazione di livello audit, documentazione versionata, architettura di supervisione umana, flussi di prodotto trasparenti e governance integrata nel processo di sviluppo: questi sono gli elementi costitutivi di un'implementazione dell'IA conforme. Non a caso, sono anche gli elementi costitutivi di sistemi di IA affidabili, manutenibili e degni di fiducia in produzione.

Se il vostro team sta portando avanti le funzionalità di AI verso la distribuzione europea e non ha ancora eseguito un esercizio di classificazione sistematica, rivisto l'infrastruttura di registrazione o valutato le dipendenze dei modelli di terze parti, il momento di iniziare è adesso.

A proposito di Carmatec

Carmatec costruisce piattaforme software da 23 anni. Lavoriamo con aziende tecnologiche nel Regno Unito, in Europa, Nord America, Medio Oriente e India per portare l'intelligenza artificiale dalla sperimentazione all'implementazione pronta per la produzione, con l'architettura, l'osservabilità e la disciplina di consegna richieste dai sistemi di produzione.

Se state preparando i sistemi di IA per l'implementazione in Europa e avete bisogno di un partner ingegneristico che vi aiuti a valutare la preparazione, a rivedere l'architettura e a costruire per una consegna conforme, parlate con il nostro team.