L'AI Act europeo: cosa cambia per le imprese

L’AI Act è il primo quadro normativo organico al mondo sull’intelligenza artificiale. È un regolamento dell’Unione europea, quindi non è diritto svizzero — ma sarebbe un errore concludere che non riguardi le aziende in Svizzera. Come è successo con il GDPR, la sua portata è extraterritoriale, e per chi sviluppa, integra o vende soluzioni di AI verso il mercato europeo diventa un riferimento concreto. Vediamo cosa introduce, chi tocca e come conviene prepararsi.

La logica di fondo: il rischio, non la tecnologia

L’AI Act non regola l’intelligenza artificiale in astratto. Adotta un approccio basato sul rischio: più un sistema di AI può incidere sui diritti e sulla sicurezza delle persone, più stringenti sono gli obblighi. La stessa tecnologia può quindi ricadere in categorie diverse a seconda di come e dove viene usata.

Le categorie sono quattro:

• Rischio inaccettabile: pratiche vietate. Rientrano usi come il social scoring generalizzato o la manipolazione comportamentale dannosa.
• Rischio alto: sistemi ammessi ma con obblighi pesanti. Riguardano ambiti sensibili come selezione del personale, credito, dispositivi medici, infrastrutture critiche.
• Rischio limitato: obblighi soprattutto di trasparenza. Ad esempio, informare l’utente che sta interagendo con un sistema di AI o che un contenuto è generato artificialmente.
• Rischio minimo: la grande maggioranza delle applicazioni comuni, senza obblighi specifici.

Per una PMI la domanda operativa non è “uso l’AI?” ma “in quale categoria ricade l’uso che ne faccio?”.

Chi è interessato

Il regolamento distingue i ruoli, e questo conta perché gli obblighi cambiano. I due principali:

• Fornitore (provider): chi sviluppa un sistema di AI o lo immette sul mercato con il proprio marchio. Ha gli obblighi più estesi.
• Utilizzatore professionale (deployer): chi impiega un sistema di AI nella propria attività. Ha obblighi più contenuti ma reali, soprattutto per i sistemi ad alto rischio.

Il punto chiave per chi è in Svizzera: l’AI Act si applica anche a soggetti stabiliti fuori dall’UE quando l’output del sistema è usato nell’Unione, o quando si immette un sistema sul mercato europeo. Un’azienda svizzera che vende software con componenti di AI a clienti nell’UE, o che integra l’AI in un prodotto destinato a quel mercato, rientra nel raggio d’azione.

I sistemi di AI per finalità generali

Il regolamento dedica regole specifiche ai modelli di AI per finalità generali (i modelli di base, quelli su cui si costruiscono molte applicazioni). Prevede obblighi di trasparenza e documentazione a carico di chi li sviluppa, con requisiti rafforzati per i modelli più potenti considerati a rischio sistemico. Per la PMI che usa questi modelli tramite servizi di terzi, l’effetto pratico è indiretto ma utile: più informazioni disponibili sul sistema che sta integrando.

Tempistiche: un’entrata in vigore scaglionata

L’AI Act non si applica tutto insieme. L’entrata in vigore è scaglionata nel tempo: i divieti sulle pratiche a rischio inaccettabile scattano per primi, mentre gli obblighi per i sistemi ad alto rischio arrivano più avanti. Questa gradualità dà alle imprese il tempo di adeguarsi, ma non è un invito a rimandare: mappare i propri usi dell’AI richiede tempo, e conviene iniziare presto.

E la Svizzera?

La Svizzera non ha (ancora) un equivalente dell’AI Act. Questo non significa vuoto normativo: l’uso dell’AI resta soggetto al diritto esistente, in particolare alla nuova legge sulla protezione dei dati (nLPD) quando si trattano dati personali, oltre alle regole generali su responsabilità e contratti. Per le aziende svizzere che operano verso l’UE, l’AI Act diventa comunque uno standard di riferimento de facto, esattamente come è avvenuto per la protezione dei dati.

Come prepararsi, in pratica

Non serve reagire con ansia, serve metodo. Alcuni passi concreti:

1. Fai l’inventario: dove usi già l’AI, in quali processi, con quali dati.
2. Classifica il rischio: verifica se qualche uso ricade in categorie ad alto rischio o sensibili (es. HR, valutazione dei clienti).
3. Cura la trasparenza: dove interagisci con clienti tramite AI o generi contenuti automatici, prevedi informazioni chiare.
4. Presidia i dati: assicurati che l’uso dell’AI sia conforme alla nLPD e ai contratti con i fornitori.
5. Verifica la catena: se compri soluzioni con AI incorporata, chiedi ai fornitori come gestiscono la conformità.

SIH ONE è un gruppo fiduciario AI-native: conosciamo l’AI dal punto di vista di chi la usa nei propri processi e di chi deve inquadrarla in modo conforme. Ti aiutiamo a capire se e come l’AI Act tocca la tua attività e a impostare gli usi dell’AI in linea con il diritto svizzero della protezione dei dati.

Vuoi capire cosa cambia per la tua impresa? Parliamone con il nostro desk legale.