L’AI Act è entrato nella fase in cui produce atti concreti. L’AI Office della Commissione europea ha inviato le prime richieste formali di informazioni (RFI, requests for information) a oltre 30 aziende che sviluppano modelli di intelligenza artificiale per finalità generali. La conferma è arrivata dalla vicepresidente esecutiva il 29 agosto, con i dettagli forniti nel briefing del 1º settembre.
Non sono lettere di cortesia. Le richieste riguardano sicurezza, safety, diritto d’autore e trasparenza, e chi le riceve è giuridicamente tenuto a rispondere.
Cosa rischia chi risponde male
Qui sta il dato che merita attenzione: una risposta inesatta, incompleta o fuorviante espone a una sanzione diretta della Commissione fino a 15 milioni di euro o il 3% del fatturato mondiale annuo, a seconda di quale importo sia maggiore. È lo stesso massimale previsto per la violazione degli obblighi sui modelli per finalità generali.
Per inquadrare la scala dell’impianto sanzionatorio: le pratiche vietate arrivano fino a 35 milioni o al 7% del fatturato mondiale, mentre per la mancata risposta relativa ai sistemi di IA il tetto è di 7,5 milioni o l’1%.
I poteri dell’AI Office non si fermano alle richieste scritte. L’ufficio può disporre valutazioni dei modelli affidate a esperti indipendenti, chiedere accesso ai modelli per valutarli, imporre misure restrittive sulla disponibilità al pubblico e svolgere ispezioni presso le sedi dei fornitori.
Il calendario che conta
Dal 2 agosto 2026 è operativa l’applicazione delle norme su pratiche vietate, obblighi per i modelli per finalità generali e trasparenza: le richieste di questi giorni sono la prima conseguenza visibile di quella data. Seguono il 2 dicembre 2026 per i divieti su materiale intimo non consensuale e materiale pedopornografico, il 2 dicembre 2027 per i sistemi ad alto rischio dell’Allegato III e il 2 agosto 2028 per i sistemi ad alto rischio incorporati in prodotti già regolamentati.
Perché riguarda anche chi non produce modelli
La maggior parte delle organizzazioni italiane non sviluppa modelli: li usa. Sembrerebbe una buona notizia, e in parte lo è, perché gli obblighi più pesanti stanno a monte. Ma tre conseguenze arrivano comunque a valle.
La prima: chi integra un modello nei propri servizi eredita, in forma diversa, il tema della trasparenza verso i propri utenti. La seconda: le informazioni che i fornitori stanno consegnando alla Commissione — su dati di addestramento, diritto d’autore, misure di sicurezza — sono le stesse che i clienti aziendali dovrebbero chiedere in fase contrattuale, e che a breve saranno più facili da ottenere. La terza: la vigilanza su un fornitore può tradursi in misure restrittive sulla disponibilità del suo modello, e chi ci ha costruito sopra un servizio ha un problema di continuità.
Cosa fare in pratica
Tre azioni ragionevoli, nell’ordine. Censire dove l’intelligenza artificiale è già entrata nei processi: quasi sempre l’elenco è più lungo di quanto il management immagini, perché include strumenti adottati dai singoli reparti. Chiedere ai fornitori la documentazione su finalità, limiti, dati e misure di sicurezza dei modelli che vi forniscono: oggi è una domanda che ha una base normativa, non una cortesia. Prevedere un’alternativa per i servizi che dipendono da un solo modello.
Chi lo fa adesso, quando la vigilanza è appena partita, lavora con calma. Chi aspetta la scadenza del 2027 sui sistemi ad alto rischio farà le stesse cose con più fretta e meno margine.