Ti aiutiamo a mettere in regola la tua azienda con il Regolamento (UE) 2024/1689: inventario e classificazione dei tuoi sistemi di IA per livello di rischio, obblighi di trasparenza, governance e sorveglianza umana. Il regolamento si applica già per fasi, l’AESIA ispeziona già in Spagna e le sanzioni arrivano a 35 milioni di euro o al 7% del fatturato. Ti diciamo cosa rispettare e quando, con il calendario aggiornato dopo il Digital Omnibus.
Consulenza gratuita
Ti rispondiamo entro 24 ore
Sei blocchi per passare da «usiamo l’IA senza controllo» a un uso sorvegliato e documentato, difendibile davanti all’AESIA e in linea con l’approccio basato sul rischio del Regolamento.
Individuiamo tutti i sistemi di IA che la tua organizzazione usa o sviluppa — compresa l’IA che i dipendenti usano per conto proprio e gli agenti autonomi — con la loro finalità e i dati che trattano. Senza inventario non c’è modo di dimostrare la conformità.
Classifichiamo ogni sistema nei quattro livelli dell’AI Act — inaccettabile (vietato), alto rischio, rischio limitato o minimo — perché da quella categoria dipendono gli obblighi che ti riguardano e le scadenze da rispettare.
Progettiamo la policy sull’uso dell’IA, i ruoli, un’efficace sorveglianza umana e la gestione dei rischi. Il regolamento non richiede un «responsabile dell’IA», ma richiede persone con competenze sufficienti per svolgere la sorveglianza.
Gli obblighi di trasparenza dell’articolo 50 (informare che si interagisce con un’IA e marcare i contenuti generati o manipolati, compresi i deepfake) sono in vigore dal 2 agosto 2026. Ti aiutiamo a implementarli.
IA e GDPR vanno di pari passo: l’AESIA e l’AEPD (l’autorità spagnola per la protezione dei dati) si dividono le competenze. Coordiniamo l’uso dell’IA con le basi giuridiche del trattamento, l’informativa agli interessati, la biometria e il ruolo del responsabile della protezione dei dati (DPO).
Se usi l’IA nella selezione del personale, nel credit scoring, nella biometria o nell’istruzione, probabilmente è ad alto rischio. Prepariamo la documentazione tecnica, la registrazione, la sorveglianza e la valutazione di conformità prima delle nuove scadenze.
L’AI Act non regola solo chi produce IA: riguarda qualsiasi azienda dell’UE che sviluppi, commercializzi o semplicemente usi sistemi di IA nella propria attività, anche se lo strumento è di un terzo. L’AESIA ispeziona già in Spagna.
«Se usi l’IA nella tua attività sei un “deployer” (utilizzatore) e hai degli obblighi, anche se lo strumento lo ha realizzato qualcun altro. E l’azienda risponde anche dell’uso di IA che i dipendenti fanno per conto proprio.»
«I fornitori hanno gli obblighi più gravosi, soprattutto per i sistemi ad alto rischio: gestione dei rischi, dati, documentazione tecnica, registrazione, sorveglianza umana e conformità.»
«Selezione del personale, credit scoring, biometria, istruzione o accesso a servizi essenziali sono usi ad alto rischio (Allegato III) con obblighi rafforzati, anche se le relative scadenze sono state rinviate con il Digital Omnibus.»
«Se usi ChatGPT, Gemini o un’altra IA generativa, gli obblighi principali ricadono sul fornitore del modello. Il tuo è di trasparenza: informare quando il contenuto è generato dall’IA e, se la usi in un contesto ad alto rischio, rispettare gli obblighi come deployer.»
Il regime sanzionatorio dell’AI Act supera per importo quello del GDPR. E l’AESIA può agire d’ufficio, senza bisogno di una denuncia preventiva. Per molte aziende il rischio maggiore è non sapere nemmeno quale IA stanno usando.
Usare un’IA vietata (manipolazione subliminale, social scoring, alcuni usi della biometria o deepfake sessuali) comporta una sanzione fino a 35.000.000 € o al 7% del fatturato mondiale annuo, se superiore.
Violare gli obblighi dei sistemi ad alto rischio o quelli di trasparenza può costare fino a 15.000.000 € o il 3% del fatturato. Le informazioni false all’autorità, fino a 7,5 milioni di euro o l’1%.
Non inventariare né classificare: se non puoi dimostrare quali sistemi di IA usi, per quale scopo e con quali controlli, non potrai dimostrare la conformità. L’onere della prova, come nel GDPR, ricade sulla tua organizzazione.
Non etichettare i contenuti di IA: da agosto 2026 bisogna informare dell’interazione con un’IA e marcare i contenuti sintetici. Non farlo è un’infrazione, particolarmente delicata per media, marketing e piattaforme.
Responsabilità per i tuoi dipendenti: l’azienda risponde dell’uso di IA fatto dai suoi lavoratori, anche se non era autorizzato. Il «non lo sapevo» non esonera dal rispetto degli obblighi.
L’Agenzia spagnola di supervisione dell’IA è operativa da febbraio 2025, con un proprio corpo ispettivo e potere sanzionatorio sulle pratiche vietate. Può emettere ammonimenti e agire d’ufficio.
Facciamo l’inventario, classifichiamo i tuoi sistemi per livello di rischio e ti diciamo esattamente cosa rispettare e per quando, con il calendario aggiornato dopo il Digital Omnibus. Cominciare ora costa poco; farlo sotto ispezione, molto.
L’AI Act è il Regolamento (UE) 2024/1689, la prima normativa organica sull’IA al mondo. Si applica a qualsiasi azienda che sviluppi, commercializzi o usi sistemi di IA nell’Unione europea, anche se lo strumento è di un terzo. Classifica i sistemi in quattro livelli di rischio con obblighi proporzionati.
Sì, per fasi. I divieti e l’alfabetizzazione in materia di IA si applicano da febbraio 2025; le regole sui modelli per finalità generali e il regime sanzionatorio, da agosto 2025; e gli obblighi di trasparenza dell’articolo 50, dal 2 agosto 2026.
Il Digital Omnibus (accordo di maggio 2026) ha rinviato gli obblighi di alto rischio: quelli dell’Allegato III a dicembre 2027 e quelli dell’Allegato I ad agosto 2028. Questi nuovi termini hanno effetto una volta pubblicati formalmente.
Tre fasce: l’uso di IA vietata, fino a 35.000.000 € o al 7% del fatturato mondiale; la violazione degli obblighi di alto rischio o di trasparenza, fino a 15.000.000 € o al 3%; e le informazioni false all’autorità, fino a 7,5 milioni di euro o all’1%. Per PMI e startup si applica la cifra minore, ma non c’è un’esenzione totale.
ChatGPT è un modello per finalità generali (GPAI): gli obblighi principali ricadono sul suo fornitore. Il tuo è di trasparenza: se generi contenuti presentati come umani, devi informare. E se lo usi in un contesto di alto rischio (valutare i dipendenti, decisioni di credito), come deployer ti si applicano quegli obblighi rafforzati.
Sistemi il cui uso può incidere sui diritti o sulla sicurezza: selezione del personale, valutazione dei dipendenti, credit scoring, biometria, istruzione, accesso a servizi essenziali o IA integrata in prodotti regolamentati. Comportano gestione dei rischi, documentazione tecnica, registrazione, sorveglianza umana e conformità.
Resti comunque deployer (utilizzatore) e hai obblighi tuoi: usarla secondo le sue istruzioni, garantire la sorveglianza umana, informare gli interessati quando serve e monitorarne il funzionamento. L’ignoranza non esonera: se il tuo software HR o di credito include un’IA ad alto rischio, la priorità è classificarlo.
L’AI Act non richiede una figura equivalente al responsabile della protezione dei dati. Richiede però che ci siano persone con competenze sufficienti per sorvegliare i sistemi (alfabetizzazione in materia di IA) e, per l’alto rischio, una sorveglianza umana efficace. In pratica, conviene assegnare responsabilità chiare all’interno della compliance.
L’Agenzia spagnola di supervisione dell’intelligenza artificiale (AESIA), con sede ad A Coruña, è l’autorità di vigilanza del mercato dell’IA in Spagna e il punto di contatto con l’Ufficio per l’IA dell’UE. Può ispezionare, richiedere documentazione, ordinare il ritiro dei sistemi non conformi e avviare procedimenti sanzionatori, anche d’ufficio.
Solo in parte, ed è una sfumatura importante. Rinvia gli obblighi di alto rischio (Allegato III a dicembre 2027; Allegato I ad agosto 2028), ma non i divieti, né le regole sui modelli per finalità generali, né la trasparenza dell’articolo 50, che resta al 2 agosto 2026. E aggiunge nuovi divieti sui deepfake sessuali con effetto da dicembre 2026.
Sì. L’organizzazione è responsabile dell’IA usata nella sua attività, compresa quella che i dipendenti usano per conto proprio (la cosiddetta «shadow AI») e gli agenti che implementa internamente. Per questo l’inventario deve coprire anche l’IA che oggi è fuori dal radar.
Si sovrappongono. Molti sistemi di IA trattano dati personali, quindi l’AI Act va coordinato con il GDPR e con il responsabile della protezione dei dati. In Spagna l’AESIA e l’AEPD si dividono le competenze: l’AEPD mantiene il suo ruolo su dati e biometria.
Sì. Da agosto 2026 bisogna informare dell’interazione con un’IA e marcare i contenuti sintetici (testo, immagini, audio e video), con obblighi specifici di marcatura leggibile da macchina per i fornitori a partire da dicembre 2026. Riguarda da vicino media, marketing, agenzie e piattaforme.
Sì, con sfumature. Ci sono documentazione semplificata, sanzioni proporzionate e accesso alla sandbox regolatoria dell’AESIA per testare sistemi ad alto rischio in un ambiente sorvegliato. L’Omnibus estende alcune di queste agevolazioni alle «small mid-caps». Ma nessuna azienda è completamente esente.
È in arrivo. A maggio 2026 il Governo ha approvato il progetto di Legge organica per la governance dell’IA, che adatta il regolamento all’ordinamento spagnolo e fissa autorità e sanzioni nazionali. È ancora in corso di esame, ma gli obblighi sostanziali sono già esigibili in base al regolamento europeo: non serve aspettare la legge per cominciare.
L’AI Act è una normativa basata sul rischio: più rischioso è l’uso, più obblighi ci sono. Classificare bene ogni sistema è il passaggio da cui dipende tutto il resto. Ecco il quadro, con il calendario già adeguato al Digital Omnibus.
Obblighi, scadenze e sanzioni dipendono dal livello di rischio di ciascun sistema. Uno stesso software può essere ad alto rischio o a rischio limitato a seconda dell’uso che ne fai.
Prima l’inventario, poi la classificazione e l’analisi delle lacune, e infine la governance e la documentazione di cui ogni sistema ha bisogno in base alla sua categoria.
| Livello di rischio | Esempi | Obblighi | Applicabile da |
|---|---|---|---|
| Inaccettabile (vietato) | Manipolazione subliminale, social scoring, alcuni usi della biometria, deepfake sessuali | Divieto assoluto | Feb 2025 (deepfake sessuali: dic 2026) |
| Rischio alto | Selezione del personale, credit scoring, biometria, istruzione, IA in prodotti regolamentati | Gestione dei rischi, documentazione, registrazione, sorveglianza umana, conformità | Allegato III: dic 2027 · Allegato I: ago 2028 |
| Rischio limitato | Chatbot, assistenti, IA generativa, deepfake non sessuali | Trasparenza: informare l’utente e marcare il contenuto | Ago 2026 (marcatura: dic 2026) |
| Rischio minimo | Filtri antispam, sistemi di raccomandazione, videogiochi, la maggior parte degli usi | Nessun obbligo specifico; buone prassi volontarie | — |
Calendario adeguato al Digital Omnibus (accordo di maggio 2026, in attesa di pubblicazione formale): i nuovi termini per l’alto rischio hanno effetto solo dopo la pubblicazione nella Gazzetta ufficiale dell’UE. Questa pagina ha carattere informativo e non costituisce consulenza legale; ogni sistema va analizzato singolarmente.
Il rinvio dell’alto rischio dà respiro, ma non è una scusa per non fare nulla: la parte difficile non è il modello di documentazione, ma trovare e classificare tutta l’IA dell’organizzazione. Si può iniziare già adesso.
Sistemi propri, integrati, acquistati e quelli che i tuoi dipendenti usano per conto proprio. Tutto il resto dipende dall’inventario.
Dalla categoria di rischio di ciascun sistema dipendono obblighi e scadenze. Uno stesso modello cambia categoria a seconda dell’uso.
Policy, sorveglianza umana e documentazione. Se non puoi dimostrare il controllo, per l’AESIA è come non averlo.
Vuoi integrarlo nel tuo programma di compliance? Valutalo insieme alla corporate compliance e al compliance officer esterno.
Mettersi in regola con l’AI Act non significa firmare un documento: è un processo di inventario, classificazione e governance che deve poter essere dimostrato davanti all’AESIA. Ecco il percorso, dalla scoperta dell’IA che usi fino al mantenimento delle evidenze nel tempo.
1) InventarioMappiamo tutti i sistemi di IA: propri, integrati, acquistati e la «shadow AI» che usano i dipendenti, con la loro finalità e i dati che trattano.
2) ClassificazioneAssegniamo a ogni sistema il suo livello — vietato, alto, limitato o minimo — e il ruolo dell’azienda: fornitore o deployer.
3) LacuneConfrontiamo ogni sistema con ciò che il regolamento richiede per la sua categoria e fissiamo le priorità: cosa ritirare, correggere o documentare, e per quando.
4) Governance + evidenzeImplementiamo la policy sull’uso dell’IA, la sorveglianza umana, la trasparenza dell’articolo 50 e la documentazione di cui ogni sistema ha bisogno. E lasciamo pronte le evidenze per dimostrare la conformità davanti all’AESIA.
Decisione rapidaRitiralo o riprogettalo subito: i divieti dell’articolo 5 sono in vigore dal 2025.
Documentazione, registrazione e sorveglianza; preparati per dicembre 2027 / agosto 2028.
Trasparenza e marcatura dei contenuti sintetici da agosto / dicembre 2026.
Conoscere tutti i sistemi di IA usati o sviluppati, compresa la shadow AI.
Registro dei sistemi con finalità, dati, ruolo e fornitore.
Assegnare un livello di rischio e un ruolo (fornitore o deployer).
Matrice di classificazione e motivazione per ciascun sistema.
Informare dell’interazione con l’IA e marcare i contenuti generati o manipolati.
Avvisi nell’interfaccia e marcatura leggibile da macchina dei contenuti sintetici.
Gestione dei rischi, dati, sorveglianza umana, registrazione e conformità.
Documentazione tecnica, registrazione nella banca dati e valutazione di conformità.
Coordinare l’uso dell’IA con il GDPR e i diritti degli interessati.
Basi giuridiche, informativa agli interessati e coordinamento con il DPO.
Individuali prima che lo faccia l’AESIA.
Se stai adeguando la tua azienda al Regolamento sull’IA, questi termini compaiono nella classificazione, nella documentazione e nel rapporto con l’AESIA.
Software che, con un certo grado di autonomia, genera risultati (previsioni, raccomandazioni, decisioni, contenuti) che influenzano il suo ambiente. È l’unità che si inventaria e si classifica.
Usi proibiti: manipolazione subliminale, social scoring, alcuni usi della biometria e deepfake sessuali. Non possono essere offerti né utilizzati. In vigore da febbraio 2025.
Usi che incidono su diritti o sicurezza (risorse umane, credito, biometria, istruzione). Obblighi rafforzati, con scadenze rinviate dal Digital Omnibus.
Modelli come quelli di ChatGPT o Gemini, validi per molteplici compiti. Gli obblighi principali ricadono sul loro fornitore; l’utente assume la trasparenza e, se del caso, l’alto rischio.
Informare che si interagisce con un’IA e marcare i contenuti generati o manipolati (compresi i deepfake). Non sono stati rinviati: in vigore dal 2 agosto 2026.
Il fornitore sviluppa o commercializza il sistema; il deployer (utilizzatore) lo usa nella propria attività. Ogni ruolo ha obblighi diversi e la maggior parte delle aziende sono deployer.
Autorità di vigilanza del mercato dell’IA in Spagna, con sede ad A Coruña e punto di contatto con l’Ufficio per l’IA dell’UE. Ispeziona e sanziona, anche d’ufficio.
Spazio sorvegliato dall’AESIA dove testare sistemi di IA innovativi — compresi quelli ad alto rischio — prima del lancio, particolarmente utile per PMI e startup.
Marchio leggibile da macchina che identifica i contenuti generati o manipolati dall’IA, per distinguere il reale dal sintetico. Obbligo dei fornitori da dicembre 2026.
Scarica la guida con l’essenziale per essere in regola: a chi si applica, i quattro livelli di rischio, il calendario aggiornato dopo il Digital Omnibus, gli obblighi di trasparenza, l’AESIA e il regime sanzionatorio.
Raccontaci quale IA usa la tua azienda e ti diciamo se l’AI Act ti riguarda, in quale livello di rischio rientrano i tuoi sistemi e cosa devi rispettare, con il calendario aggiornato e il minimo sforzo possibile.
L’AI Act è il Regolamento (UE) 2024/1689, la prima normativa organica sull’intelligenza artificiale al mondo, in vigore da agosto 2024 e con applicazione scaglionata. Adotta un approccio basato sul rischio: classifica i sistemi in quattro livelli e impone obblighi proporzionati. In Spagna l’autorità di vigilanza è l’AESIA (Agenzia spagnola di supervisione dell’intelligenza artificiale), con sede ad A Coruña, che si divide le competenze con l’AEPD e con le autorità di vigilanza settoriali. Il regime sanzionatorio arriva a 35 milioni di euro o al 7% del fatturato.
Il Digital Omnibus (accordo politico di maggio 2026, sostenuto dal Parlamento a giugno e in attesa di adozione formale) rinvia gli obblighi di alto rischio: quelli dell’Allegato III a dicembre 2027 e quelli dell’Allegato I ad agosto 2028. Non vengono invece rinviati i divieti dell’articolo 5, le regole sui modelli per finalità generali e la trasparenza dell’articolo 50 (in vigore dal 2 agosto 2026), e si aggiungono nuovi divieti sui deepfake sessuali con effetto da dicembre 2026. I nuovi termini hanno effetto solo dopo la pubblicazione nella Gazzetta ufficiale dell’UE.
A maggio 2026 il Governo ha approvato il progetto di Legge organica per il buon uso e la governance dell’IA, che adatta il regolamento all’ordinamento spagnolo e fissa le autorità e il regime sanzionatorio nazionali. È ancora in corso di esame, ma gli obblighi sostanziali sono già esigibili in base al regolamento europeo: l’AESIA può già emettere ammonimenti e ispezionare, quindi non conviene aspettare la sua approvazione per iniziare a rispettarli.
Puoi consultare la normativa e l’autorità competente nelle loro fonti ufficiali: il Regolamento (UE) 2024/1689 (EUR-Lex) e l’Agenzia spagnola di supervisione dell’intelligenza artificiale (AESIA). Questa pagina ha carattere informativo e non costituisce consulenza legale; ogni sistema di IA va analizzato singolarmente.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .