Il Regolamento UE sull’IA entra in vigore ad agosto 2026, rinviate le norme per i sistemi ad alto rischio

Il Regolamento UE sull’IA entra ufficialmente in vigore, ma con una riserva

Dall'inizio di agosto 2026, il Regolamento sull'Intelligenza Artificiale dell'Unione Europea è passato dall'essere un atto legislativo in sospeso a un corpus normativo che le aziende sono effettivamente tenute a rispettare. L'ultimo bollettino sulla protezione dei dati di TechGDPR segnala questo traguardo, sottolineando che il Regolamento è diventato applicabile mentre le norme per i sistemi di IA ad alto rischio restano temporaneamente escluse. Per chiunque tenga traccia di come la regolamentazione dell'IA si intersechi con la privacy dei dati, questo è un momento significativo: la legge è tecnicamente in vigore, ma uno dei suoi capitoli più importanti è in sospeso.

Il Regolamento sull'IA è stato concepito attorno a un quadro basato sul rischio. I sistemi sono suddivisi in categorie, dal rischio minimo al rischio inaccettabile, con obblighi che aumentano di conseguenza. L'IA ad alto rischio, si pensi ai sistemi utilizzati nelle assunzioni, nel credit scoring, nelle forze dell'ordine o nella diagnostica medica, era destinata fin dall'inizio a sostenere l'onere di conformità più gravoso: valutazioni di conformità, requisiti di sorveglianza umana e documentazione dettagliata. Il fatto che questi obblighi specifici vengano rinviati, anche mentre la legge più ampia entra in vigore, indica quanto sia stato difficile per le autorità di regolamentazione e l'industria concordare le tempistiche di attuazione per le disposizioni più severe.

Perché le norme sull'IA ad alto rischio sono in pausa

Il rinvio non è un segnale che le autorità di regolamentazione abbiano ammorbidito la loro posizione sulla supervisione dell'IA. Riflette piuttosto la realtà pratica dell'introduzione di una legge così complessa. Gli organismi di normazione, le autorità di regolamentazione nazionali e la Commissione Europea avevano tutti bisogno di più tempo per finalizzare le specifiche tecniche che i fornitori di IA ad alto rischio sarebbero tenuti a soddisfare. Invece di costringere le aziende a conformarsi a regole non ancora completamente definite, gli obblighi legati ai sistemi ad alto rischio sono stati posticipati, mentre il resto del Regolamento, comprese le disposizioni sulle pratiche vietate e l'alfabetizzazione all'IA, è progredito come da programma.

Questa introduzione scaglionata è particolarmente importante per i professionisti della protezione dei dati. Molti casi d'uso dell'IA ad alto rischio, l'identificazione biometrica, il processo decisionale automatizzato in materia di impiego o prestiti, comportano un trattamento sostanziale di dati personali. Quando la scadenza di conformità per questi sistemi slitta, si crea un vuoto temporaneo in cui le garanzie specifiche per l'IA non sono ancora applicabili, anche se gli obblighi del GDPR relativi alle stesse attività di trattamento dei dati personali rimangono pienamente in vigore. Le organizzazioni non possono considerare il rinvio come un via libera generale sulla conformità alla privacy, ma solo sul livello aggiuntivo di requisiti del Regolamento IA per le categorie ad alto rischio.

Il collegamento con il GDPR: la privacy resta in primo piano

Uno degli aspetti più utili da comprendere riguardo al Regolamento sull'IA è che non sostituisce il GDPR, ma si affianca ad esso. Qualsiasi sistema di IA che tratti dati personali, sia esso classificato o meno come ad alto rischio, deve comunque soddisfare la normativa vigente sulla protezione dei dati: base giuridica per il trattamento, trasparenza verso gli interessati e garanzie contro l'uso improprio. Il Regolamento sull'IA aggiunge norme settoriali e specifiche per il rischio su queste fondamenta.

Questo approccio a doppio binario non è esclusivo dell'UE. I regimi di protezione dei dati in tutto il mondo sono alle prese con questioni simili su come regolamentare le nuove tecnologie senza creare vuoti nella supervisione. L'autorità di regolamentazione delle telecomunicazioni dello Zimbabwe, ad esempio, si sta preparando ad applicare attivamente la propria legge sulla protezione dei dati a partire da settembre 2026, un cambiamento trattato nel nostro report sui piani di applicazione del POTRAZ. Altrove, proposte come il piano del Sudafrica di collegare la registrazione della SIM mobile all'identità digitale hanno sollevato preoccupazioni simili su come i dati personali vengono utilizzati una volta raccolti, un tema che abbiamo approfondito nella nostra copertura del dibattito SIM-ID in Sudafrica. Regioni diverse, meccanismi diversi, ma la stessa tensione di fondo: la tecnologia si muove più velocemente delle regole destinate a governarla.

Cosa significa per te

Se sei un consumatore, l'impatto pratico immediato è limitato. Le disposizioni del Regolamento UE sull'IA per i sistemi ad alto rischio sono sempre state pensate per le aziende e gli enti pubblici che impiegano sistemi di IA, non per i singoli utenti. Ma vale la pena osservare l'implementazione più ampia perché segnala quanto seriamente le autorità di regolamentazione stiano prendendo il trattamento dei dati guidato dall'IA e quanto lavoro rimanga prima che queste tutele siano pienamente operative.

Se lavori in un'azienda che sviluppa o utilizza strumenti di IA che coinvolgono utenti dell'UE, il rinvio degli obblighi per l'alto rischio non significa che puoi aspettare a prepararti. Le autorità di regolamentazione hanno chiarito che il rinvio riguarda le tempistiche di attuazione, non un cambio di direzione. Anticipare la documentazione, le valutazioni del rischio e la governance dei dati sarà importante una volta che le scadenze per l'alto rischio arriveranno.

Punti chiave

• Il Regolamento UE sull’IA è diventato applicabile nell'agosto 2026, ma gli obblighi per i sistemi di IA ad alto rischio sono stati temporaneamente esclusi in attesa del completamento delle norme tecniche.
• Gli obblighi del GDPR continuano ad applicarsi integralmente, indipendentemente dall'introduzione graduale del Regolamento IA; pertanto, il trattamento dei dati legato ai sistemi di IA richiede ancora una base giuridica e trasparenza.
• Le aziende che utilizzano l'IA nell'UE dovrebbero considerare il rinvio come una finestra di pianificazione, non un'esenzione dalla conformità, e continuare a prepararsi per i futuri requisiti per l'alto rischio.
• Osservare come altre giurisdizioni, dallo Zimbabwe al Sudafrica, gestiscono l'applicazione della protezione dei dati offre un contesto utile su come lo slancio normativo globale sui dati personali stia crescendo in parallelo alle norme specifiche per l'IA.