AI Act: calendario 2026-2028 e cosa riguarda gli studi legali

Redatto con Lex, rivisto e validato da Anis Aidoudi

Il regolamento (UE) 2024/1689 sull’intelligenza artificiale, l’AI Act, è entrato in vigore il 1° agosto 2024 e si applica per fasi (articolo 113). Il regolamento (UE) 2026/1744 dell’8 luglio 2026, l’«Omnibus digitale sull’IA», ha modificato diverse di queste date e l’articolo 4. Questa pagina riassume ciò che dicono questi testi, letti nella loro versione ufficiale in italiano, e cosa cambiano per uno studio legale che usa strumenti di IA.

Il calendario di applicazione

• 1° agosto 2024: entrata in vigore del regolamento, il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea del 12 luglio 2024 (articolo 113, primo comma).
• 2 febbraio 2025: si applicano i capi I e II, tra cui l’articolo 4 sull’alfabetizzazione in materia di IA (articolo 113, terzo comma, lettera a). Il regolamento 2026/1744 vi aggiunge un’eccezione: l’articolo 5, paragrafo 1, primo comma, lettere b bis) e b ter), e i paragrafi 1 bis e 1 ter si applicano a decorrere dal 2 dicembre 2026.
• 2 agosto 2025: si applicano il capo III, sezione 4, i capi V, VII e XII e l’articolo 78, ad eccezione dell’articolo 101 (articolo 113, terzo comma, lettera b).
• 2 agosto 2026: data generale di applicazione (articolo 113, secondo comma), mantenuta dal regolamento 2026/1744, fatte salve le eccezioni del terzo comma dell’articolo 113. I fornitori di sistemi che generano contenuti sintetici immessi sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026 per conformarsi all’articolo 50, paragrafo 2 (articolo 111, paragrafo 4, aggiunto dal regolamento 2026/1744).
• 2 dicembre 2027: si applica il capo III, sezioni 1, 2 e 3, per i sistemi di IA classificati come ad alto rischio ai sensi dell’articolo 6, paragrafo 2, e dell’allegato III (articolo 113, terzo comma, lettera c), punto i), nella formulazione del regolamento 2026/1744).
• 2 agosto 2028: lo stesso capo per i sistemi classificati come ad alto rischio ai sensi dell’articolo 6, paragrafo 1, e dell’allegato I (articolo 113, terzo comma, lettera c), punto ii), nella stessa formulazione).

Altre date lette: gli articoli da 102 a 110 si applicano a decorrere dal 27 luglio 2026 (articolo 113, terzo comma, lettera d), e i fornitori e deployer di sistemi ad alto rischio destinati alle autorità pubbliche già immessi sul mercato devono conformarsi entro il 2 agosto 2030 (articolo 111, paragrafo 2).

Quali sistemi sono ad alto rischio?

L’allegato III, richiamato dall’articolo 6, paragrafo 2, elenca otto settori: biometria; infrastrutture critiche; istruzione e formazione professionale; occupazione e gestione dei lavoratori; accesso a servizi privati e pubblici essenziali e a prestazioni sociali; attività di contrasto; migrazione, asilo e gestione del controllo delle frontiere; amministrazione della giustizia e processi democratici.

Il punto 8 dell’allegato III riguarda i sistemi di IA destinati a essere usati da un’autorità giudiziaria o per suo conto per assisterla nella ricerca e nell’interpretazione dei fatti e del diritto e nell’applicazione della legge a una serie concreta di fatti, o utilizzati in modo analogo nella risoluzione alternativa delle controversie, nonché i sistemi destinati a influenzare l’esito di un’elezione o di un referendum. Non riguarda, in quanto tali, gli strumenti che uno studio legale usa per le proprie ricerche e analisi. L’allegato III descrive i sistemi in base alla loro destinazione («destinati a essere utilizzati»): la qualificazione di uno strumento dipende dalla sua finalità e dal suo uso e va verificata caso per caso.

Lo studio come deployer di sistemi di IA

Il regolamento si applica, tra l’altro, ai deployer di sistemi di IA che hanno il loro luogo di stabilimento o sono situati all’interno dell’Unione (articolo 2, paragrafo 1, lettera b), il che include uno studio che usa un tale sistema nella propria attività professionale. Gli obblighi dell’articolo 26 riguardano i deployer di sistemi ad alto rischio: usare il sistema conformemente alle istruzioni per l’uso, affidare la sorveglianza umana a persone competenti, monitorare il funzionamento, conservare i log sotto il loro controllo per almeno sei mesi (articolo 26, paragrafi 1, 2, 5 e 6).

Due punti vanno precisati. Da un lato, l’articolo 26, paragrafo 11, prevede che i deployer di sistemi ad alto rischio dell’allegato III che adottano decisioni o assistono nell’adozione di decisioni che riguardano persone fisiche informino queste ultime che sono soggette all’uso del sistema. Dall’altro, l’obbligo di registrazione nella banca dati dell’UE dell’articolo 49, paragrafo 3, riguarda i deployer che sono autorità pubbliche, istituzioni, organi e organismi dell’Unione o persone che agiscono per loro conto; non riguarda, in quanto tale, uno studio privato.

Per i sistemi dell’allegato III, questi obblighi si applicano solo a decorrere dal 2 dicembre 2027 (articolo 113).

Trasparenza: l’articolo 50

L’articolo 50 si applica a decorrere dal 2 agosto 2026 (articolo 113, secondo comma). Prevede, a seconda dei casi:

• per i fornitori, l’informazione delle persone che interagiscono direttamente con un sistema di IA (paragrafo 1) e la marcatura in formato leggibile meccanicamente dei contenuti sintetici audio, immagine, video o testuali (paragrafo 2);
• per i deployer di un sistema di riconoscimento delle emozioni o di categorizzazione biometrica, l’informazione delle persone esposte (paragrafo 3);
• per i deployer di un sistema che genera o manipola immagini o contenuti audio o video che costituiscono un «deep fake», l’indicazione che il contenuto è stato generato o manipolato artificialmente; la stessa indicazione è prevista per i testi generati dall’IA e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico, salvo revisione umana o controllo editoriale di cui una persona assume la responsabilità (paragrafo 4).

Queste disposizioni riguardano quindi usi precisi. Uno studio è interessato solo se impiega un sistema corrispondente a uno di questi casi, ad esempio se pubblica testi generati dall’IA per informare il pubblico.

L’articolo 4: alfabetizzazione in materia di IA

Nella sua versione originaria, l’articolo 4 chiedeva ai fornitori e ai deployer di adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di IA del loro personale. Il regolamento 2026/1744 (articolo 1, punto 5) lo ha sostituito: i fornitori e i deployer adottano misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA del loro personale e delle altre persone che usano i sistemi per loro conto, tenendo conto delle loro conoscenze, della loro esperienza e del contesto d’uso. Il testo precisa che tale obbligo non impone di garantire un livello specifico di alfabetizzazione per alcuna persona. La Commissione e gli Stati membri sostengono questi sforzi, in particolare quelli delle PMI.

Dove si colloca LegisBox

LegisBox è uno strumento di ricerca e di analisi documentale per avvocati. È pensato per facilitare il lavoro dello studio: con LegisBox Private i documenti possono restare nella tua rete, e le fonti usate dalle risposte sono citate per consentirne la verifica. LegisBox non ti dispensa da alcuna analisi: ogni avvocato resta responsabile dell’uso che fa di uno strumento di IA, della qualificazione di tale uso rispetto all’allegato III e degli obblighi che ne derivano.

Fonti: Regolamento (UE) 2024/1689 (AI Act) — EUR-Lex · Regolamento (UE) 2026/1744 che modifica l’AI Act — EUR-Lex