L’AI Act più severo slitta al 2027 (ma potrebbe essere già tardi), quello che vi riguarda parte lunedì

A maggio, all’AI Week di Milano, Lucilla
Sioli ha proiettato dal palco una slide sul Digital
Omnibus e ha detto, con la tranquillit� di chi comunica un dettaglio
tecnico, che la scadenza sui sistemi ad alto rischio slittava di circa
sedici mesi. In sala eravamo in pochi a prendere appunti. Quella slide
adesso � diritto vigente, e luned� 2 agosto si vede cosa � rimasto in
piedi.

Cosa succede luned�

Scatta l’articolo
50, gli obblighi di trasparenza: un sistema che parla con voi
deve dirvi di essere un sistema. La voce al telefono che vi propone
la fornitura di luce e gas deve dichiararsi, il chatbot dell’assistenza
pure, e i contenuti generati o manipolati artificialmente devono essere
riconoscibili come tali. La marcatura leggibile dalle macchine, che � il
pezzo tecnico dell’obbligo, arriva il 2 dicembre insieme a due divieti
nuovi sui sistemi che generano materiale pedopornografico e immagini
intime non consensuali, i nudifier.

Da luned� diventano vere anche le multe: attraverso l’AI Office, la
Commissione pu� sanzionare direttamente chi fornisce modelli di uso
generale fino a 15 milioni di euro o al 3% del fatturato mondiale
annuo, prendendo l’importo pi� alto dei due, e per chi viola i
divieti assoluti si sale a 35 milioni o al 7%. Gli obblighi su questi
modelli c’erano gi� dall’agosto scorso, solo che a chi non li rispettava
non succedeva niente.

Cosa invece slitta

I sistemi ad alto rischio dell’Allegato III, quelli che decidono cose
sulla pelle delle persone (selezione del personale, credit scoring,
accesso ai servizi pubblici, istruzione, infrastrutture critiche,
amministrazione della giustizia), dovevano applicarsi luned� e si
applicheranno dal 2 dicembre 2027, con possibilit� di anticipare di
sei mesi se gli standard tecnici arrivano prima. Quelli incorporati nei
prodotti gi� regolati, dai dispositivi medici ai giocattoli, passano da
agosto 2027 ad agosto 2028.

Nel pacchetto rinviato c’� anche l’articolo
26, che avrebbe obbligato chi usa un sistema ad alto rischio a
mettere una persona competente a supervisionarlo, a conservare i log e ad
avvisare i lavoratori coinvolti. Su diversi siti italiani, anche seri, in
questi giorni l’ho visto dare per operativo da luned�: se avete letto
che dal 2 agosto dovete tenere i registri del software che vi screma i
curriculum, avete letto una notizia che era vera fino a giugno.

Restano dove stavano il divieto sulle pratiche inaccettabili dell’articolo
5 e l’obbligo di alfabetizzazione del personale dell’articolo
4, in vigore da febbraio 2025 e mai toccati. L’articolo 4 dice che
chi mette l’IA in mano ai dipendenti deve assicurarsi che sappiano cosa
hanno in mano. L’unico campione di campo tutto italiano che ho trovato,
una rilevazione FAIRFLAI su 83 organizzazioni che essendo di una societ�
di consulenza va presa con le pinze, misura l’uso non autorizzato dei
modelli da parte dei dipendenti a 3,27 su una scala di 5: gente che si
arrangia da sola con quello che trova.

A vigilare, da noi, sono l’Agenzia per
la Cybersicurezza Nazionale e AgID, in base alla legge
132 del 2025.

Il rinvio, e cosa ne penso

Gli standard armonizzati, cio� le norme tecniche che spiegano in concreto
come si dimostra di essere conformi, non sono pronti, e chiedere a
un’azienda di conformarsi a un requisito di cui non esiste ancora il metro
produce montagne di carta e zero sicurezza. Chi le valutazioni le fa
per lavoro stima tra gli otto e i quattordici mesi per portarne a
termine una su un sistema ad alto rischio, quindi le imprese in
scadenza ad agosto 2026 avrebbero dovuto partire nel 2025 su specifiche
inesistenti. Le lobby hanno spinto, sarebbe ingenuo far finta di niente,
per� stavolta la realt� spingeva nella stessa direzione.

Su Agenda
Digitale, chi tiene i corsi in Lombardia racconta che nelle PMI
il messaggio recepito � stato “possiamo congelare”, con i budget gi�
spostati altrove. Sedici mesi sembrano tanti finch� non ti ricordi che una
valutazione completa ne richiede fino a quattordici.

A maggio, finito il keynote, sono andato a fare tre domande a Sioli sul
rapporto tra il piano europeo e il singolo cittadino, e tutte e tre hanno
preso una piega laterale. Ne
avevo scritto qui con una certa insoddisfazione, perch� mi
sembrava che l’Europa avesse un vocabolario ottimo per il compute
industriale e nessuno per la persona che apre l’app. Luned�, per una
volta, parte per prima proprio quella parte: il chatbot che deve
presentarsi, la voce sintetica che non pu� fingersi umana e il contenuto
generato che va marcato. � il pezzo di regolamento pi� vicino alla vita di
chiunque, ed � anche quello che nel dibattito italiano ha ricevuto meno
attenzione, perch� fa meno notizia di una multa da 35 milioni.

L’AI Act sta
arrivando al pubblico come una scadenza di compliance, roba da consulenti
e uffici legali, e dentro quella cornice il rinvio dell’alto rischio
diventa la notizia principale mentre la trasparenza verso le persone
finisce in nota. La norma che da luned� vieta a una macchina di spacciarsi
per un essere umano tocca molte pi� vite di qualsiasi articolo
sull’Allegato III, e nessuno la sta spiegando a chi ne beneficia.

L’AI Act regola i modelli quando escono, e la ricerca e sviluppo
precedente all’immissione sul mercato sta fuori dall’ambito di
applicazione, per una ragione difendibile, visto che nessuno
vuole un’Europa in cui provare un modello richiede l’apertura di un
fascicolo. Poi per� succede quello che � successo a Hugging
Face due settimane fa, con un
modello di OpenAI che durante un test interno � uscito dall’ambiente
isolato e si � andato a prendere le risposte del benchmark sui server
altrui, e l’unica ragione per cui l’abbiamo saputo � che due aziende
private hanno deciso di raccontarlo. Nessun obbligo europeo copriva quella
sequenza, e luned� continuer� a non coprirla.

Cosa vi conviene fare

Se avete un’azienda, l’articolo 4 sull’alfabetizzazione � gi� in vigore,
costa poco e nessuno lo sta guardando. E fatevi l’inventario dei sistemi
che usate: se una valutazione completa richiede fino a quattordici mesi e
la scadenza � dicembre 2027, chi vuole arrivarci in regola deve partire
entro ottobre.

Se non avete un’azienda, da luned�, quando una voce al telefono vi
suona strana, avete il diritto di chiedere se state parlando con un
sistema e di ricevere una risposta onesta. � poco rispetto a quello
che servirebbe, per� � il primo pezzo di questo regolamento che vi
appartiene davvero.

A voi la trasparenza sembra sufficiente, oppure vi sembra il minimo
sindacale spacciato per tutela? Scrivetemelo nei commenti.