Regolamento IA: calendario delle scadenze dal 2024 al 2030
Ogni data di applicazione del regolamento sull'IA dal 2024 al 2030, con l'articolo corrispondente, i soggetti interessati e i livelli di sanzione.
Il regolamento sull'IA si applica per tappe ai fornitori e ai deployer di sistemi di IA nell'UE. Otto divieti si applicano dal 2 febbraio 2025, altri due dal 2 dicembre 2026.
Gli obblighi di trasparenza si applicano dal 2 agosto 2026. Le norme ad alto rischio, dal 2 dicembre 2027 (allegato III) e dal 2 agosto 2028 (allegato I). I sistemi ad alto rischio già sul mercato o in servizio sono coperti solo dopo modifiche significative della progettazione (articolo 111, paragrafo 2). La violazione degli obblighi elencati nell'articolo 99, paragrafo 4 comporta sanzioni. Arrivano a 15 milioni di EUR o al 3 % del fatturato mondiale totale annuo, se superiore. Prossimo passo: trovi qui sotto la data del suo sistema.
Ogni data attiva una parte diversa del regolamento
1 agosto 2024
Il regolamento entra in vigore
Il regolamento è entrato in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale (articolo 113). I suoi obblighi si applicano dalle date successive indicate qui sotto.
2 febbraio 2025
Si applicano i divieti e l'alfabetizzazione in materia di IA
I capi I e II si applicano. Contengono i divieti dell'articolo 5, salvo le lettere b bis) e b ter) e i paragrafi 1 bis e 1 ter dell'articolo 5, e l'obbligo dell'articolo 4 per i fornitori e i deployer di sostenere l'alfabetizzazione in materia di IA (competenze e comprensione) del loro personale (articolo 113, lettera a)).
2 agosto 2025
Si applicano le norme sui modelli GPAI, la governance e le sanzioni
Si applicano le norme per i fornitori di modelli GPAI (capo V, articoli da 51 a 56), gli organismi notificati, la governance (capo VII), le sanzioni (capo XII, salvo l'articolo 101) e l'articolo 78 sulla riservatezza (articolo 113, lettera b)).
2 agosto 2026
Obblighi di trasparenza e data generale di applicazione
Tutte le disposizioni senza un'altra data si applicano da questo giorno (articolo 113). Includono gli obblighi di trasparenza dell'articolo 50: informare le persone che interagiscono con un sistema di IA, marcare i contenuti sintetici e dichiarare i deepfake. La Commissione può sanzionare i fornitori di GPAI ai sensi dell'articolo 101 da questo giorno. Gli articoli da 102 a 110, che modificano altri atti dell'Unione, si applicano prima, dal 27 luglio 2026 (articolo 113, lettera d)).
2 dicembre 2026
Due nuovi divieti e la scadenza della marcatura per i sistemi più vecchi
Si applicano i due nuovi divieti dell'articolo 5, lettere b bis) e b ter), insieme ai paragrafi 1 bis e 1 ter dell'articolo 5 (articolo 113, lettera a)). I fornitori di sistemi di IA che generano contenuti sintetici audio, immagine, video o testo e che sono stati immessi sul mercato prima del 2 agosto 2026 devono adottare entro questa data le misure necessarie per conformarsi all'obbligo di marcatura leggibile meccanicamente dell'articolo 50, paragrafo 2 (articolo 111, paragrafo 4).
2 agosto 2027
I modelli GPAI più vecchi devono essere conformi
I fornitori di modelli GPAI immessi sul mercato prima del 2 agosto 2025 devono adottare entro questa data le misure necessarie per conformarsi al regolamento (articolo 111, paragrafo 3). Gli Stati membri devono inoltre avere operativo almeno uno spazio di sperimentazione normativa per l'IA (articolo 57, paragrafo 1).
2 dicembre 2027
Le norme ad alto rischio si applicano ai sistemi dell'allegato III
Gli articoli da 6 a 27 (capo III, sezioni da 1 a 3, salvo l'articolo 6, paragrafo 5) si applicano ai sistemi di IA ad alto rischio ai sensi dell'articolo 6, paragrafo 2, e dell'allegato III (articolo 113, lettera c), punto i)). Fissano i requisiti dei sistemi ad alto rischio (articoli da 8 a 15) e gli obblighi di fornitori, deployer e altri soggetti (articoli da 16 a 27).
2 agosto 2028
Le norme ad alto rischio si applicano ai prodotti dell'allegato I
Gli stessi articoli si applicano ai sistemi di IA ad alto rischio ai sensi dell'articolo 6, paragrafo 1, perché sono prodotti disciplinati dagli atti dell'allegato I, o componenti di sicurezza di tali prodotti (articolo 113, lettera c), punto ii)). Per i prodotti dell'allegato I, sezione B, si applicano solo l'articolo 6, paragrafo 1, l'articolo 60 bis e gli articoli da 102 a 112, e gli articoli da 57 a 59 solo nella misura in cui i requisiti per i sistemi ad alto rischio sono stati integrati in tale normativa (articolo 2, paragrafo 2). Per i prodotti dell'allegato I, sezione A, alcuni requisiti possono essere limitati quando tale normativa offre una protezione equivalente o superiore (articolo 2, paragrafo 13).
2 agosto 2030
Sistemi ad alto rischio per le autorità pubbliche: misure necessarie per conformarsi
In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare entro questa data le misure necessarie per conformarsi. La regola figura nel paragrafo sui sistemi immessi sul mercato o messi in servizio prima delle date per i sistemi ad alto rischio indicate sopra (articolo 111, paragrafo 2).
31 dicembre 2030
I sistemi IT su larga scala dell'UE devono essere conformi
I sistemi di IA che sono componenti dei sistemi IT su larga scala elencati nell'allegato X, immessi sul mercato o messi in servizio prima del 2 agosto 2027, devono essere conformi entro questa data (articolo 111, paragrafo 1).
Fornitori, deployer, importatori, distributori e fornitori di modelli hanno obblighi distinti
Fornitori
I fornitori sviluppano un sistema di IA, o lo fanno sviluppare, e lo immettono sul mercato o lo mettono in servizio con il proprio nome (articolo 3, punto 3)). Per i sistemi ad alto rischio hanno gli obblighi principali: gestione dei rischi, documentazione tecnica, valutazione della conformità e monitoraggio successivo all'immissione sul mercato (articoli 9-17, 43 e 72).
Deployer
I deployer usano un sistema di IA sotto la propria autorità, tranne nell'ambito di un'attività personale non professionale (articolo 3, punto 4)). Per i sistemi ad alto rischio devono seguire le istruzioni per l'uso, affidare la sorveglianza umana a persone, monitorare il funzionamento e conservare i log sotto il proprio controllo per un periodo adeguato alla finalità, di almeno sei mesi salvo diversa disposizione del diritto dell'Unione o nazionale. I datori di lavoro devono informare i rappresentanti dei lavoratori e i lavoratori interessati prima di usare un sistema sul luogo di lavoro (articolo 26). Gli organismi pubblici e alcuni altri deployer devono inoltre valutare prima l'impatto sui diritti fondamentali (articolo 27).
Importatori e distributori
Gli importatori immettono sul mercato dell'UE un sistema di IA che reca il nome o il marchio di una persona stabilita in un paese terzo. I distributori mettono a disposizione un sistema più avanti nella catena di fornitura (articolo 3, punti 6) e 7)). Prima di farlo per un sistema di IA ad alto rischio, entrambi verificano la marcatura CE, la dichiarazione di conformità UE e le istruzioni per l'uso. Gli importatori verificano inoltre la valutazione della conformità e la documentazione tecnica (articoli 23 e 24).
Fornitori di modelli GPAI
I fornitori di modelli GPAI devono documentare il modello, informare i fornitori a valle, pubblicare una sintesi dei dati di addestramento e adottare una politica sul diritto d'autore (articolo 53). I modelli con rischio sistemico hanno obblighi aggiuntivi (articolo 55).
Le sanzioni hanno tre livelli, con un massimale più basso per le PMI
Fino a 35 milioni di EUR o al 7 % del fatturato mondiale totale annuo, se superiore
Per le pratiche vietate dall'articolo 5 (articolo 99, paragrafo 3).
Fino a 15 milioni di EUR o al 3 % del fatturato mondiale totale annuo, se superiore
Per la violazione degli obblighi dei fornitori (articolo 16), dei rappresentanti autorizzati (articolo 22), degli importatori (articolo 23), dei distributori (articolo 24), dei fornitori e operatori ai sensi dell'articolo 25, paragrafi 2 e 4, e dei deployer (articolo 26). Anche per la violazione degli obblighi di trasparenza dell'articolo 50 e dei requisiti degli organismi notificati ai sensi degli articoli 31, 33, paragrafi 1, 3 e 4, e 34 (articolo 99, paragrafo 4). La Commissione può sanzionare i fornitori di modelli GPAI fino allo stesso livello (articolo 101).
Fino a 7,5 milioni di EUR o all'1 % del fatturato mondiale totale annuo, se superiore
Per la fornitura di informazioni inesatte, incomplete o fuorvianti a organismi notificati o autorità nazionali in risposta a una richiesta (articolo 99, paragrafo 5).
Fino al più basso dei due importi
Per le PMI, comprese le start-up, ogni sanzione arriva al massimo al più basso tra la percentuale e l'importo (articolo 99, paragrafo 6). Le piccole imprese a media capitalizzazione (imprese che non rientrano più nella definizione di PMI) hanno la stessa regola per i due livelli inferiori (articolo 99, paragrafo 6 bis).
Domande frequenti
Il regolamento sull'IA si applica alle imprese al di fuori dell'UE?
Sì. L'articolo 2, paragrafo 1, riguarda i fornitori che immettono sul mercato dell'UE sistemi di IA o modelli di IA per finalità generali, ovunque siano stabiliti (lettera a)), e i fornitori e i deployer di un paese terzo quando l'output del sistema è utilizzato nell'UE (lettera c)). Riguarda anche importatori, distributori, fabbricanti di prodotti e rappresentanti autorizzati (lettere da d) a f)). L'articolo 2 pone limiti, ad esempio per gli usi militari, di difesa e di sicurezza nazionale (paragrafo 3) e la ricerca scientifica (paragrafi 6 e 8).
Che cosa succede se il mio sistema di IA è già sul mercato?
I divieti dell'articolo 5 si applicano a tutti i sistemi, quando che siano stati immessi sul mercato. Un sistema ad alto rischio immesso sul mercato o messo in servizio prima del 2 dicembre 2027 (allegato III) o del 2 agosto 2028 (allegato I) rientra nel regolamento solo se la sua progettazione cambia in modo significativo da quella data. Ciò non vale per i componenti dei sistemi IT su larga scala dell'allegato X (articolo 111, paragrafi 1 e 2). In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030. I modelli GPAI immessi sul mercato prima del 2 agosto 2025 devono esserlo entro il 2 agosto 2027 (articolo 111, paragrafo 3). I sistemi di contenuti sintetici immessi sul mercato prima del 2 agosto 2026 devono rispettare l'articolo 50, paragrafo 2, entro il 2 dicembre 2026 (articolo 111, paragrafo 4).
Quale scadenza si applica al mio sistema di IA?
Dipende dal sistema. Pratiche vietate: 2 febbraio 2025, con due nuovi divieti dal 2 dicembre 2026. Modelli GPAI: 2 agosto 2025. Obblighi di trasparenza dell'articolo 50: 2 agosto 2026. Sistemi ad alto rischio dell'allegato III: 2 dicembre 2027. Sistemi ad alto rischio dell'allegato I: 2 agosto 2028. Il regolamento (UE) 2026/1744 ha spostato le due date per i sistemi ad alto rischio dal 2 agosto 2026 (allegato III) e dal 2 agosto 2027 (allegato I) alle date indicate sopra.
Scanara prepara evidenze dai vostri repository
Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.