La regolamentazione dell’IA nel 2026: l’AI Act dell’UE, le regole globali e come le applica Generation Impact Global

Di Anna Shpak, Founder & CEO, Generation Impact Global

In breve

L’AI Act dell’UE è ormai in gran parte applicabile, e una modifica del luglio 2026 ha spostato alcune scadenze lasciando però invariate le regole fondamentali. Sei punti da ricordare:

1. L’AI Act va oltre i confini dell’UE. Si applica ai fornitori e ai deployer con sede fuori dall’UE ogni volta che l’output del loro sistema di IA è utilizzato nell’UE. Un’azienda svizzera con clienti nell’UE rientra probabilmente nel suo ambito.
2. Regola in base al rischio, non alla tecnologia. Alcuni usi sono vietati, un elenco definito è ad alto rischio, alcuni sistemi hanno obblighi di trasparenza e tutto il resto è a rischio minimo.
3. Gran parte delle norme si applica già. Divieti e alfabetizzazione in materia di IA da febbraio 2025, regole sull’IA per finalità generali da agosto 2025, regole di trasparenza e la maggior parte del regolamento dal 2 agosto 2026.
4. Il Digital Omnibus ha rinviato la parte più gravosa. Il Regolamento (UE) 2026/1744 ha spostato gli obblighi per i sistemi ad alto rischio al 2 dicembre 2027 per i sistemi autonomi e al 2 agosto 2028 per i sistemi integrati in prodotti regolamentati. Ha mantenuto i quattro livelli di rischio, pur aggiungendo due nuovi divieti.
5. Anche il resto del mondo si muove, ma in modo diverso. Il Consiglio d’Europa ha un trattato vincolante, la Svizzera prepara un proprio approccio, l’AI Basic Act della Corea del Sud è entrato in vigore a gennaio 2026 e il governo federale degli Stati Uniti si oppone alle regole dei singoli Stati.
6. La finanza ha livelli aggiuntivi. Per banche, gestori patrimoniali e assicuratori, all’IA si applicano, accanto all’AI Act, il DORA, le dichiarazioni di vigilanza di ESMA, EBA ed EIOPA e la normativa sulla protezione dei dati.

Questo articolo spiega ciascun punto in modo semplice, propone una checklist pratica e mostra come Generation Impact Global applica l’AI Act alle proprie funzionalità di IA. Un articolo complementare spiega come funzionano gli agenti di IA e perché una piattaforma specializzata è di solito una strada migliore rispetto allo sviluppo interno.

Questo articolo fornisce informazioni generali e non costituisce consulenza legale.

Perché la regolamentazione dell’IA conta, anche se l’IA la usate soltanto

Molte organizzazioni pensano che le regole sull’IA riguardino le aziende che costruiscono i modelli. È vero solo in parte. L’AI Act dell’UE attribuisce obblighi a due gruppi principali: i fornitori, che sviluppano o commercializzano un sistema di IA con il proprio nome, e i deployer, che lo utilizzano nel proprio lavoro. Se il vostro team usa uno strumento di IA in ambito professionale, siete deployer.

Tre ragioni pratiche per occuparsene:

• I vostri obblighi. I deployer hanno obblighi propri, a cominciare dall’alfabetizzazione in materia di IA del personale e, per alcuni usi, dalla trasparenza verso le persone interessate.
• Gli obblighi dei vostri fornitori. Quando acquistate IA, dipendete dal rispetto degli obblighi da parte del fornitore. Se non li rispetta, il vostro uso può risentirne, e revisori, clienti e autorità di vigilanza ve ne chiederanno conto.
• Le aspettative dei vostri clienti. Banche, investitori e grandi aziende chiedono ormai ai fornitori come governano l’IA. Per gli istituti finanziari queste domande sono sostenute dalle norme di vigilanza su esternalizzazione e rischio ICT.

Per la rendicontazione di sostenibilità il collegamento è diretto. Se l’IA contribuisce a preparare dati destinati a un report CSRD , a un’informativa SFDR o alla valutazione dei rischi ESGdi una banca, chi fa affidamento su quei dati vorrà sapere come viene controllata quell’IA.

L’AI Act dell’UE in parole semplici

L’AI Act, Regolamento (UE) 2024/1689, è stato adottato il 13 giugno 2024 ed è entrato in vigore il 1° agosto 2024. La Commissione europea lo descrive come il primo quadro giuridico completo sull’IA. I riferimenti agli articoli che seguono si basano sul portale AI Act Service Deskdella Commissione europea, che riporta il testo come modificato dal Digital Omnibus.

A chi si applica

Come stabilisce l’articolo 2, il regolamento si applica a:

• i fornitori che immettono sul mercato dell’UE sistemi di IA o modelli di IA per finalità generali, ovunque abbiano sede;
• i deployer stabiliti nell’UE;
• i fornitori e i deployer con sede fuori dall’UE quando l’output del sistema di IA è utilizzato nell’UE;
• importatori, distributori e alcuni fabbricanti di prodotti.

Le aziende extra UE spesso trascurano il terzo punto. Un’azienda svizzera, britannica o americana il cui output di IA raggiunge utenti nell’UE rientra probabilmente nell’ambito di applicazione.

I ruoli

Un’azienda può ricoprire più ruoli. Una software house che costruisce una funzionalità sul modello di un’altra impresa e la vende con il proprio marchio può essere fornitore di quella funzionalità e deployer del servizio sottostante.

Quattro livelli di rischio

1. Vietato. L’articolo 5 vieta un breve elenco di pratiche, in vigore dal 2 febbraio 2025:

• tecniche manipolative o ingannevoli che distorcono il comportamento e causano danni;
• lo sfruttamento di vulnerabilità legate all’età, alla disabilità o alla situazione sociale o economica;
• il social scoring;
• la previsione che una persona commetterà un reato basata unicamente sulla profilazione;
• lo scraping non mirato di immagini facciali per creare banche dati di riconoscimento;
• il riconoscimento delle emozioni sul luogo di lavoro o negli istituti di istruzione, salvo per motivi medici o di sicurezza;
• la categorizzazione biometrica per dedurre caratteristiche sensibili;
• l’identificazione biometrica remota in tempo reale in spazi pubblici a fini di contrasto, con eccezioni limitate.

Il Digital Omnibus ha aggiunto altri due divieti, applicabili dal 2 dicembre 2026: l’IA che crea immagini intime realistiche di una persona identificabile senza il suo consenso e l’IA che genera materiale pedopornografico.

2. Alto rischio. Si entra in questa categoria per due vie (articolo 6):

• IA che costituisce un componente di sicurezza di un prodotto già disciplinato dalla normativa UE sui prodotti, come dispositivi medici, giocattoli o ascensori (allegato I). A seguito dell’Omnibus, l’IA nei macchinari è invece disciplinata dal regolamento macchine;
• IA utilizzata negli ambiti elencati in allegato III: biometria, infrastrutture critiche, istruzione, occupazione, accesso a servizi essenziali, attività di contrasto, migrazione, giustizia e processi democratici.

Per la finanza spiccano due voci dell’allegato III: la valutazione del merito creditizio delle persone fisiche (esclusa l’individuazione delle frodi) e la valutazione del rischio e la determinazione dei prezzi nelle assicurazioni vita e malattia.

Un sistema dell’allegato III può non essere considerato ad alto rischio se non presenta un rischio significativo, per esempio perché svolge solo un compito procedurale limitato, migliora il risultato di un’attività già svolta da una persona o svolge un lavoro preparatorio. Un sistema che effettua la profilazione di persone fisiche è sempre ad alto rischio. Il fornitore che si avvale di questa eccezione deve documentare la propria valutazione e registrare il sistema.

I sistemi ad alto rischio comportano gli obblighi più gravosi: gestione dei rischi, qualità dei dati, documentazione tecnica, registrazione degli eventi, sorveglianza umana, accuratezza e sicurezza, valutazione della conformità. I deployer di sistemi ad alto rischio devono seguire le istruzioni per l’uso, affidare la sorveglianza umana e conservare i log per almeno sei mesi (articolo 26).

3. Trasparenza. L’articolo 50 si applica dal 2 agosto 2026:

• i fornitori devono informare le persone quando interagiscono con un sistema di IA, salvo che ciò sia evidente;
• i fornitori di IA generativa devono marcare audio, immagini, video e testi sintetici in modo leggibile da macchina;
• i deployer di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica devono informare le persone esposte, e i deployer devono rendere noti i deepfake e i testi generati dall’IA pubblicati per informare il pubblico su questioni di interesse pubblico, a meno che una persona li abbia rivisti e se ne sia assunta la responsabilità editoriale.

Il 10 giugno 2026 la Commissione ha pubblicato un codice di buone pratiche volontario sulla marcatura e l’etichettatura dei contenuti generati dall’IA . Il 20 luglio 2026 ha inoltre pubblicato orientamenti che spiegano come si applicano gli obblighi dell’articolo 50.

4. Rischio minimo. Tutto il resto, ovvero la maggior parte dell’IA oggi in uso. Nessun obbligo specifico oltre all’alfabetizzazione in materia di IA, anche se i codici volontari sono incoraggiati.

Alfabetizzazione in materia di IA

L’articolo 4 si applica dal 2 febbraio 2025 a tutti i fornitori e deployer, qualunque sia il livello di rischio. Il Digital Omnibus ne ha attenuato la formulazione: le organizzazioni devono ora adottare misure per sostenere l’alfabetizzazione in materia di IA del personale e delle altre persone che usano l’IA per loro conto, e la legge non richiede un livello specifico per nessuno. In pratica significa ancora formare le persone su che cosa fa l’IA, che cosa non fa e come verificarne l’output.

Modelli di IA per finalità generali

Le regole per i fornitori di modelli di IA per finalità generali, come i modelli linguistici di grandi dimensioni alla base degli assistenti chat, si applicano dal 2 agosto 2025. Come stabilisce l’articolo 53, questi fornitori devono tenere una documentazione tecnica, fornire informazioni alle aziende che costruiscono sui loro modelli, adottare una politica sul diritto d’autore e pubblicare una sintesi dei contenuti usati per l’addestramento. Si presume che i modelli addestrati con più di 10^25 operazioni in virgola mobile presentino un rischio sistemico, con obblighi aggiuntivi. I modelli immessi sul mercato prima del 2 agosto 2025 hanno tempo fino al 2 agosto 2027.

Un codice di buone pratiche volontario, General-Purpose AI Code of Practice, pubblicato il 10 luglio 2025, aiuta i fornitori a dimostrare la conformità. Tra i firmatari indicati dalla Commissione figurano Amazon, Anthropic, Google, IBM, Microsoft, Mistral AI e OpenAI.

Per le aziende che acquistano IA questo conta indirettamente: i fornitori dei modelli su cui si basa il vostro fornitore di software hanno ora obblighi giuridici propri e documentati.

Sanzioni

Per PMI e start-up si applica il minore dei due importi, e lo stesso vale per le small mid-cap, tranne che per le pratiche vietate (articolo 99).

Chi vigila sull’applicazione

L’Ufficio per l’IA della Commissione europea vigila sui modelli di IA per finalità generali e, a seguito dell’Omnibus, sui sistemi di IA basati sul modello per finalità generali dello stesso fornitore e sui sistemi di IA integrati in piattaforme online e motori di ricerca di dimensioni molto grandi. Le autorità nazionali di vigilanza del mercato si occupano della maggior parte delle altre attività di controllo. Un comitato per l’IA composto da rappresentanti degli Stati membri, un gruppo di esperti scientifici e un forum consultivo supportano il sistema (panoramica della Commissione).

Il calendario dopo il Digital Omnibus

Il Digital Omnibus sull’IA, Regolamento (UE) 2026/1744, è entrato in vigore il 27 luglio 2026, poco prima della scadenza originaria del 2 agosto 2026 per i sistemi ad alto rischio. Ha modificato i tempi del regime per l’alto rischio, non la sua sostanza.

Le date fino al 2 dicembre 2026 si applicano già o sono imminenti. Le due date per l’alto rischio sono quelle spostate dall’Omnibus; la data del 2 dicembre 2026 riguarda i due nuovi divieti e la marcatura leggibile da macchina per i sistemi generativi immessi sul mercato prima del 2 agosto 2026 (articolo 111, articolo 113).

L’Omnibus ha introdotto anche alcune altre modifiche utili da conoscere:

• Alfabetizzazione in materia di IA attenuata da un obbligo di garantire l’alfabetizzazione a un obbligo di adottare misure che la sostengano.
• La registrazione resta per i sistemi dell’allegato III che il fornitore valuta come non ad alto rischio, con meno informazioni richieste.
• Rilevazione delle distorsioni: la base giuridica per trattare dati personali sensibili al fine di rilevare e correggere le distorsioni copre ora tutti i sistemi di IA, non solo quelli ad alto rischio, e sempre solo ove strettamente necessario.
• Agevolazioni per le PMI estese, anche alle small mid-cap.
• L’Ufficio per l’IA ottiene poteri di vigilanza diretta sui sistemi di IA basati sul modello per finalità generali dello stesso fornitore e sui sistemi di IA integrati in piattaforme online e motori di ricerca di dimensioni molto grandi.

Che cosa dovrebbero fare ora le organizzazioni

Il rinvio delle regole sull’alto rischio non è un motivo per aspettare. Alfabetizzazione in materia di IA, divieti e obblighi di trasparenza si applicano già, e il lavoro sui sistemi ad alto rischio richiede tempo. Una sequenza pratica:

1. Sapere che cosa si usa

• Elencate ogni sistema di IA in uso, comprese le funzionalità integrate nei software che già acquistate.
• Registrate il fornitore, la finalità, i dati utilizzati e il responsabile interno di ciascun sistema.
• Annotate dove il personale usa strumenti di IA personali per lavoro e decidete che cosa è consentito.

2. Classificare ogni uso

• Confrontate ogni uso con le pratiche vietate dall’articolo 5.
• Verificate se un uso rientra nell’allegato III, come la valutazione del merito creditizio, le decisioni HR o la determinazione dei prezzi assicurativi.
• Annotate se, per ciascun sistema, siete fornitori, deployer o entrambi.
• Annotate quali obblighi di trasparenza dell’articolo 50 si applicano.

3. Agire su ciò che si applica già

• Adottate misure di alfabetizzazione in materia di IA: formazione per ruolo su che cosa fa ogni strumento, sui suoi limiti e su come verificarne l’output.
• Etichettate le interazioni con l’IA e i contenuti generati dall’IA dove l’articolo 50 lo richiede.
• Scrivete una breve policy sull’IA: strumenti approvati, regole sui dati, revisione umana, escalation.

4. Gestire i fornitori

• Chiedete a ogni fornitore di IA la propria classificazione dei rischi e la propria informativa sulla trasparenza.
• Verificate nei contratti uso dei dati, addestramento dei modelli, conservazione, sub-responsabili e diritti di audit.
• Per le entità finanziarie, inserite i fornitori di IA nel registro DORA e nel processo di gestione del rischio di terzi.

5. Prepararsi agli obblighi per l’alto rischio, se pertinenti

• Se un uso è ad alto rischio, iniziate subito a lavorare su gestione dei rischi, governance dei dati, registrazione degli eventi e sorveglianza umana. La scadenza è il 2 dicembre 2027, e le norme tecniche e gli orientamenti di supporto sono ancora in arrivo.
• Seguite le bozze di orientamenti della Commissione sulla classificazione ad alto rischio, pubblicate a maggio 2026.

6. Mantenere tutto aggiornato

• Rivedete l’inventario e le classificazioni almeno una volta all’anno e ogni volta che cambiano uno strumento, un modello o una finalità.
• Valutate un framework riconosciuto come ISO/IEC 42001 per strutturare il lavoro.

Oltre l’UE: il quadro globale

Nessun’altra giurisdizione ha copiato in blocco l’AI Act, ma gli stessi temi ricorrono ovunque: trasparenza, sorveglianza umana, equità, sicurezza e responsabilità.

Convenzione quadro del Consiglio d’Europa sull’IA

Il La Convenzione quadro sull’intelligenza artificiale è il primo trattato internazionale vincolante sull’IA. È stata aperta alla firma il 5 settembre 2024 e si concentra su diritti umani, democrazia e Stato di diritto lungo l’intero ciclo di vita di un sistema di IA. La Svizzera l’ha firmata il 27 marzo 2025. L’UE l’ha ratificata il 15 maggio 2026, la prima e finora unica ratifica. Entrerà in vigore tre mesi dopo la ratifica da parte di cinque firmatari, di cui almeno tre Stati membri del Consiglio d’Europa. Non è quindi ancora in vigore.

Svizzera

La Svizzera ha scelto di non copiare l’AI Act. Il 12 febbraio 2025il Consiglio federale ha deciso di ratificare la Convenzione del Consiglio d’Europa, adeguare il diritto svizzero dove necessario e mantenere una regolamentazione in gran parte settoriale. Un progetto per la consultazione su trasparenza, protezione dei dati, non discriminazione e vigilanza è in preparazione presso l’Ufficio federale di giustizia, e il calendario ufficiale più recente indica l’inizio o la primavera del 2027.

Nel frattempo si applica già il diritto vigente. L’Incaricato federale della protezione dei dati e della trasparenza ha dichiarato che la legge federale sulla protezione dei dati si applica direttamente all’IA. In pratica ciò significa essere trasparenti sulla finalità, sul funzionamento e sulle fonti di dati dei trattamenti basati sull’IA, consentire alle persone di opporsi al trattamento automatizzato e di chiedere una revisione umana delle decisioni automatizzate, effettuare valutazioni d’impatto per i trattamenti ad alto rischio, informare le persone quando parlano con una macchina ed etichettare chiaramente i deepfake.

Per gli istituti finanziari svizzeri, la Comunicazione FINMA sulla vigilanza 08/2024 definisce le aspettative di vigilanza in materia di governance e gestione dei rischi dell’IA, compresi i rischi legati a modelli, dati, IT e dipendenza da terzi.

Un’azienda svizzera che vende nell’UE è quindi soggetta a entrambi i regimi: la legge svizzera sulla protezione dei dati in patria e l’AI Act ovunque il suo output di IA sia utilizzato nell’UE.

Principi internazionali

• Principi dell’OCSE sull’IA. Adottati nel 2019 e aggiornati a maggio 2024, stabiliscono cinque principi basati su valori: crescita inclusiva, sviluppo sostenibile e benessere; rispetto dello Stato di diritto, dei diritti umani e dei valori democratici, compresi equità e privacy; trasparenza e spiegabilità; robustezza, sicurezza e protezione; responsabilità.
• Raccomandazione dell’UNESCO sull’etica dell’IA. Adottata a novembre 2021 da tutti i 193 Stati membri, stabilisce valori e principi tra cui sorveglianza umana, trasparenza e non discriminazione.
• Processo di Hiroshima del G7. Un codice di buone pratiche volontario, codice di condotta per le organizzazioni che sviluppano IA avanzata, concordato il 30 ottobre 2023, con un quadro di rendicontazione dell’OCSE avviato nel 2025.
• Nazioni Unite. Una risoluzione dell’Assemblea generale dell’agosto 2025 ha istituito un gruppo scientifico internazionale indipendente sull’IA e un dialogo globale sulla governance dell’IA. Il primo dialogo si è riunito a Ginevra a luglio 2026.

Altre giurisdizioni principali

• Regno Unito. Nessuna legge specifica sull’IA. Le autorità di regolamentazione esistenti applicano cinque principi intersettoriali: sicurezza, protezione e robustezza; adeguata trasparenza e spiegabilità; equità; responsabilità e governance; contestabilità e ricorso. Ai dati personali continua ad applicarsi lo UK GDPR.
• Stati Uniti. Nessuna legge federale sull’IA. Un ordine esecutivo di gennaio 2025 ha chiesto alle agenzie di rivedere e annullare le misure adottate in base all’ordine sulla sicurezza dell’IA del 2023, poi revocato, e un ordine di dicembre 2025 punta a un quadro nazionale e contesta le leggi statali sull’IA. Gli Stati continuano ad agire: il Colorado ha sostituito il suo AI Act del 2024 con una legge più circoscritta sul processo decisionale automatizzato (SB 26-189), che dovrebbe entrare in vigore il 1° gennaio 2027 se lo Stato completerà entro allora le norme di attuazione, e la SB 53 della California impone obblighi di trasparenza agli sviluppatori dei modelli di frontiera più grandi.
• Cina. Regole vincolanti e specifiche per servizio. Le misure provvisorie per i servizi di IA generativa si applicano da agosto 2023, e le regole sull’etichettatura dei contenuti generati dall’IA dal 1° settembre 2025, con l’obbligo sia di etichette visibili sia di metadati nascosti.
• Corea del Sud. Il L’AI Basic Act è entrato in vigore il 22 gennaio 2026, con obblighi per l’IA ad alto impatto e per l’etichettatura dell’IA generativa, e un periodo di tolleranza di almeno un anno prima delle sanzioni.
• Giappone. Il L’AI Promotion Act del 2025 incoraggia un’IA responsabile e chiede alle imprese di collaborare con le misure del governo. Non prevede sanzioni.
• Brasile. Un disegno di legge sull’IA basato sul rischio è stato approvato dal Senato a dicembre 2024 ed è ancora all’esame della Camera dei deputati.

Quadro sintetico

Regole settoriali per la finanza

Per banche, gestori patrimoniali, assicuratori e le aziende che li riforniscono, l’AI Act è solo uno dei livelli. Le autorità di vigilanza finanziaria applicano all’IA anche le regole esistenti.

L’AI Act alleggerisce inoltre il carico per gli istituti finanziari sotto un aspetto: i deployer che sono istituti finanziari possono adempiere ad alcuni obblighi di monitoraggio e conservazione dei log attraverso la governance e la documentazione già previste dalla normativa sui servizi finanziari (articolo 26).

Per un fornitore di dati di sostenibilità, il punto DORA è il più immediato. Quando una banca usa un software per raccogliere i dati ESG dei clienti ai sensi degli orientamenti dell’EBA sulla gestione dei rischi ESG, quel software rientra nel quadro della banca per la gestione del rischio ICT di terzi, funzionalità di IA comprese. Si vedano anche le nostre pagine su ESG per investimenti e finanza e stress test.

Gli standard che rendono concreta la governance

Le leggi dicono che cosa si deve ottenere. Standard e framework mostrano come. Quattro meritano di essere conosciuti.

OWASP ha pubblicato anche una Top 10 per le applicazioni agentiche, che copre il dirottamento del comportamento degli agenti, l’uso improprio degli strumenti e l’abuso di identità o privilegi.

Per un’azienda già certificata ISO/IEC 27001, la ISO/IEC 42001 è un passo naturale: la struttura è familiare e gran parte delle evidenze si sovrappone.

Etica, governance e sicurezza: i tre pilastri

Letti insieme, l’AI Act, la Convenzione del Consiglio d’Europa, i principi dell’OCSE e dell’UNESCO e le indicazioni degli sviluppatori di IA indicano gli stessi tre pilastri. Insieme coprono la maggior parte di ciò che le regole richiedono.

Etica: che cosa l’IA deve e non deve fare

• Sorveglianza umana. Le persone restano responsabili delle decisioni e possono rivedere, correggere o scavalcare l’IA.
• Equità. L’IA non dovrebbe produrre risultati discriminatori. Dove incide sulle persone, va testata per individuare distorsioni.
• Trasparenza. Le persone dovrebbero sapere quando è coinvolta l’IA, che cosa fa e quali sono i suoi limiti.
• Proporzionalità. Usare l’IA dove aggiunge valore ed evitare gli usi i cui rischi superano i benefici.

Governance: chi è responsabile, e come

• Titolarità. Ogni sistema di IA ha un responsabile designato.
• Inventario e classificazione. Sapete che cosa usate, perché e secondo quali regole.
• Policy e formazione. Il personale sa che cosa è consentito e come verificare l’output.
• Registri. Decisioni, valutazioni e modifiche sono documentate per poterle mostrare a revisori e autorità di vigilanza.
• Gestione dei fornitori. I contratti disciplinano uso dei dati, addestramento dei modelli, conservazione e diritti di audit.

Sicurezza: proteggere il sistema e i dati

• Protezione dei dati. Ai servizi di IA vanno solo i dati necessari, in base ad accordi che ne limitano l’uso.
• Privilegio minimo. Le funzionalità di IA ottengono l’accesso minimo richiesto dal loro compito.
• Test di attacco. Le difese contro la prompt injection e altri attacchi specifici dell’IA vengono testate e ritestate.
• Registrazione e monitoraggio. L’uso dell’IA viene registrato per poter individuare e analizzare i problemi.
• Certificazione. Audit indipendenti, come ISO/IEC 27001, confermano che i controlli funzionano nella pratica.

Questi pilastri non sono progetti separati. Un unico controllo, come registrare chi ha approvato ogni dato prodotto con l’aiuto dell’IA, li serve tutti e tre: sostiene la sorveglianza, garantisce la responsabilità e crea un audit trail.

Come Generation Impact Global applica l’AI Act

Siamo un’azienda svizzera e molti dei nostri clienti si trovano nell’UE, quindi l’AI Act si applica alle funzionalità di IA che offriamo. Tutto ciò che riguarda il modo in cui lo applichiamo è riunito in un unico documento: la nostra AI Transparency Notice, pubblicata ai sensi dell’articolo 50. Spiega quali funzionalità usano l’IA, come funzionano, come le abbiamo classificate ai sensi dell’AI Act e che cosa ci aspettiamo dagli utenti.

Le nostre funzionalità di IA servono a supportare il lavoro professionale, con persone che rivedono l’output prima che venga utilizzato. VitAI™, il livello di IA della nostra piattaforma, mostra le sue proposte di mappatura per la revisione e conserva un log di audit delle decisioni.

Pagine correlate:

• Sicurezza e Licenze e certificazioni
• Documenti legali, tra cui la nostra informativa sulla privacy e l’accordo sul trattamento dei dati
• Conformità e governance
• Gestione dei dati
• Il nostro articolo complementare, Gli agenti di IA spiegati

Domande frequenti

Altre letture sul nostro sito

• Gli agenti di IA spiegati: come funziona l’IA agentica e perché la maggior parte delle organizzazioni non dovrebbe costruirla da sola
• AI Transparency Notice
• VitAI™
• Guide: Hub CSRD, Hub SFDR, Tassonomia UE, ESPR
• Framework: ESRS, GRI, SFDR, VSME
• Le regole ESG dell’EBA sono operative: le banche ora hanno bisogno dei dati ESG dei propri clienti
• Sicurezza e Licenze e certificazioni
• Notizie su politiche e regolamentazione

Fonti

Unione europea

• Regolamento (UE) 2024/1689, l’AI Act, EUR-Lex
• Regolamento (UE) 2026/1744, il Digital Omnibus sull’IA, EUR-Lex
• Commissione europea, AI Act Service Desk, testo consolidato al 27 luglio 2026, compresi gli articoli 4, 5, 6, 26, 50, 53, 99, 111, 113 e allegato III
• Commissione europea, Timeline for the implementation of the AI Act
• Commissione europea, AI Act governance and enforcement
• Commissione europea, General-Purpose AI Code of Practice, 10 luglio 2025
• Commissione europea, Code of practice on marking and labelling AI-generated content, 10 giugno 2026
• Commissione europea, Guidelines on the transparency obligations for providers and deployers of certain AI systems, 20 luglio 2026
• Commissione europea, Draft guidelines on the classification of high-risk AI systems, maggio 2026

Autorità di vigilanza finanziaria

• EIOPA, Digital Operational Resilience Act (DORA)
• ESMA, Public statement on AI and investment services, 30 maggio 2024
• EBA, AI Act implications for the EU banking sector, 21 novembre 2025
• EIOPA, Opinion on AI governance and risk management, 6 agosto 2025
• FINMA, Guidance 08/2024 on AI governance and risk management, 18 dicembre 2024
• Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati, articolo 22, EUR-Lex

Svizzera e Consiglio d’Europa

• Consiglio federale, decisione sull’approccio alla regolamentazione dell’IA, 12 febbraio 2025
• Ufficio federale di giustizia, Künstliche Intelligenz
• Portale PMI, Draft AI regulation expected by early 2027, settembre 2026
• IFPDT, Current data protection law is directly applicable to AI
• Consiglio d’Europa, Switzerland signs the global treaty on AI, 27 marzo 2025
• Consiglio d’Europa, EU ratifies the Framework Convention on AI, maggio 2026

Internazionale

• OCSE, Recommendation of the Council on Artificial Intelligence, come modificata a maggio 2024
• UNESCO, Recommendation on the Ethics of Artificial Intelligence
• Commissione europea, Hiroshima Process International Code of Conduct for Advanced AI Systems, 30 ottobre 2023
• Nazioni Unite, dialogo globale sulla governance dell’IA e gruppo scientifico internazionale indipendente sull’IA

Altre giurisdizioni

• Governo del Regno Unito, A pro-innovation approach to AI regulation: government response, 6 febbraio 2024
• The White House, Removing Barriers to American Leadership in Artificial Intelligence, gennaio 2025
• The White House, Executive order on a national AI policy framework, dicembre 2025
• Cyberspace Administration of China, Interim Measures for Generative AI Services, 2023, e Measures for Labelling AI-Generated Content, 2025
• US International Trade Administration, South Korea AI Basic Act
• Japanese Law Translation, Act on the Promotion of AI-related Technology
• Camera dei deputati brasiliana, PL 2338/2023

Standard

• ISO/IEC 42001:2023, sistemi di gestione dell’IA
• ISO/IEC 23894:2023, gestione dei rischi dell’IA
• NIST, AI Risk Management Framework
• OWASP, Top 10 for LLM Applications 2026, agosto 2026, e Top 10 per le applicazioni agentiche, dicembre 2025

Generation Impact Global

• AI Transparency Notice, ultimo aggiornamento 2 settembre 2026