L'AI Act non regola la tecnologia in sé, ma l'uso che se ne fa. Lo stesso modello può non avere obblighi dentro un'app di produttività e averne molti dentro una piattaforma che seleziona il personale. Il caso che scegli serve ad accorciare il percorso: le domande che non ti riguardano non te le facciamo.

Chi dialoga con un sistema di IA deve saperlo, salvo che sia evidente (par. 1). I contenuti sintetici vanno marcati in un formato leggibile da una macchina (par. 2). Chi usa il riconoscimento delle emozioni o la categorizzazione biometrica deve informare le persone esposte (par. 3), e chi pubblica deep fake deve dichiararlo (par. 4). L'informazione si dà in modo chiaro, al più tardi alla prima interazione (par. 5).

I divieti si applicano dal 2 febbraio 2025. Le 2 pratiche sui contenuti intimi non consensuali e sul materiale di abuso su minori sono state aggiunte dal Regolamento (UE) 2026/1744 e sono vietate dal 2 dicembre 2026 (art. 5, par. 1, lett. b bis e b ter). Altre 2 riguardano solo le forze dell'ordine. La sanzione arriva a 35 milioni di euro o al 7% del fatturato mondiale (art. 99, par. 3).

L'Allegato III elenca gli usi ad alto rischio: biometria, infrastrutture critiche, istruzione, lavoro, accesso a servizi essenziali pubblici e privati (compresi credito e assicurazioni vita e salute), attività di contrasto, migrazione, giustizia e processi democratici. Dopo il Regolamento (UE) 2026/1744 i relativi obblighi si applicano dal 2 dicembre 2027.

Un sistema dell'Allegato III non è ad alto rischio se non influisce in modo rilevante sulla decisione: quando svolge un compito procedurale limitato, migliora il risultato di un'attività umana già completata, rileva scostamenti senza sostituire la valutazione umana, o prepara una valutazione (par. 3). È sempre ad alto rischio se effettua profilazione. Chi ritiene di esserne fuori deve documentarlo e registrarsi nella banca dati UE (par. 4 e art. 49, par. 2).

È ad alto rischio l'IA che fa da componente di sicurezza di un prodotto soggetto a valutazione di conformità di terzi, secondo le norme dell'Allegato I. Nella sezione A ci sono giocattoli, ascensori, apparecchiature radio, attrezzature a pressione, DPI, dispositivi medici e diagnostici. Nella sezione B veicoli, aviazione, ferrovie, marittimo e, dal 27 luglio 2026, le macchine: per questi l'art. 2, par. 2 applica solo una parte del Regolamento. Gli obblighi si applicano dal 2 agosto 2028.

Chi immette sul mercato un sistema di IA con il proprio nome ne è fornitore, anche se sotto c'è il modello di un altro (art. 3, n. 3). I modelli per finalità generali, come quelli dei grandi fornitori, hanno obblighi propri a carico di chi li sviluppa (art. 53), applicabili dal 2 agosto 2025.

È fornitore chi sviluppa o fa sviluppare un sistema di IA e lo immette sul mercato con il proprio nome o marchio, anche gratis (art. 3, n. 3). Per questo, quando un'agenzia costruisce un prodotto per un cliente che lo vende col suo marchio, il fornitore è il cliente. Chi rivende il prodotto di un altro senza modificarlo è distributore (art. 3, n. 6), ma diventa fornitore se ci mette il proprio nome o lo modifica in modo sostanziale (art. 25).

Il Regolamento si applica ai fornitori che immettono sistemi di IA sul mercato dell'Unione, indipendentemente da dove sono stabiliti (lett. a), agli utilizzatori stabiliti nell'Unione (lett. b), e a fornitori e utilizzatori di paesi terzi quando l'output del sistema è usato nell'Unione (lett. c).

Divieti e alfabetizzazione dal 2 febbraio 2025; modelli per finalità generali dal 2 agosto 2025; trasparenza e regola generale dal 2 agosto 2026; alto rischio dell'Allegato III dal 2 dicembre 2027 e dell'Allegato I dal 2 agosto 2028. Le ultime due date sono state spostate dal Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026.