AI Act: cosa cambia per le imprese

Regolamento UE 2024/1689: come essere compliant e come assicurarsi

Il Regolamento UE 2024/1689, meglio noto come AI Act, è il primo quadro normativo organico al mondo dedicato all'Intelligenza Artificiale. Entrato in vigore il 1° agosto 2024, il testo europeo ha scelto un percorso di applicazione graduale: i divieti sulle pratiche a rischio inaccettabile sono scattati già a febbraio 2025, gli obblighi per i modelli di IA per finalità generali sono partiti nell'agosto dello stesso anno, mentre il grosso dell'impianto normativo (le regole sui sistemi ad alto rischio e il regime sanzionatorio a pieno regime) è pienamente applicabile  dal 2 agosto 2026.
Si rende quindi urgente, per ogni impresa che utilizza sistemi di IA nei propri processi, la verifica del proprio stato di conformità. Non si tratta di un adempimento riservato a poche grandi aziende tecnologiche: riguarda imprese, istituti finanziari, pubbliche amministrazioni e professionisti. Il settore assicurativo, poi, è chiamato in questo caso ad interpretare due ruoli distinti,  quello di utilizzatore di algoritmi nei propri processi e quello di soggetto chiamato ad assicurare i rischi generati dall'IA.

Il nodo centrale dell'Articolo 50: la trasparenza diventa un obbligo di legge

Tra le disposizioni pienamente in vigore dal 2 agosto 2026, l'articolo 50 dell'AI Act occupa una posizione centrale perché riguarda, in pratica, chiunque interagisca con un sistema di IA. La norma riguarda gli obblighi di trasparenza e impone che l'utilizzo di un sistema di intelligenza artificiale sia sempre riconoscibile: non è più ammesso relegare l'informazione sull'uso dell'IA in fondo ai termini d'uso del servizio. L'interazione con un sistema artificiale deve essere palese fin dal primo contatto e, per i contesti più sensibili (minori, soggetti fragili, sanità, finanza, ambito legale) anche attraverso richiami periodici nel corso dell'interazione.
Nella pratica, gli obblighi di trasparenza si declinano su tre fronti principali:

• Il primo riguarda i chatbot e gli assistenti virtuali. Chi dialoga con un sistema conversazionale deve poter capire, senza ambiguità, che sta parlando con una macchina e non con una persona, a meno che ciò non sia già evidente dal contesto.
• Il secondo fronte è quello dei contenuti sintetici (testo, audio, immagini, video generati o manipolati dall'IA, compresi i deepfake) che dovranno essere marcati in formato leggibile da macchina e riconoscibili come artificiali, con un'etichettatura che, nel caso dei deepfake, deve essere chiara fin dal primo momento di esposizione del pubblico.
• Il terzo fronte riguarda i sistemi di riconoscimento delle emozioni e di categorizzazione biometrica, per i quali le persone esposte devono essere espressamente informate.

Va segnalata una possibile eccezione all'etichettatura per i testi generati dall'IA: se il contenuto viene sottoposto a un'effettiva revisione editoriale umana prima della pubblicazione, l'obbligo di marcatura può essere attenuato. Resta fermo, in ogni caso, l'obiettivo di fondo perseguito dal legislatore europeo, quello cioè di evitare che utenti e consumatori scambino un interlocutore o un contenuto sintetico per un prodotto dell'ingegno umano, tutelando così la fiducia nel mercato digitale.

La piramide del rischio dell'AI Act: come identificare il livello di compliance

L'intero impianto dell'AI Act si fonda su una classificazione dei sistemi di IA in quattro livelli di rischio, disposti secondo una logica piramidale che determina il tipo e l'intensità degli obblighi da rispettare. Comprendere in quale fascia ricade un determinato sistema è il primo passo che ogni impresa, assicurazioni comprese, deve compiere per orientare la propria strategia di adeguamento.
Al vertice della piramide si collocano le pratiche vietate, cioè quei sistemi che comportano un rischio inaccettabile per i diritti fondamentali delle persone. Rientrano in questa categoria, tra gli altri, i sistemi di scoring sociale da parte di autorità pubbliche o private e le tecniche di manipolazione subliminale. Questi utilizzi sono proibiti in modo assoluto e i relativi divieti sono già applicati dal febbraio 2025.
Il livello successivo è quello dei sistemi ad alto rischio (High-Risk AI), disciplinati in modo puntuale dall'Allegato III del Regolamento. Vi rientrano gli utilizzi dell'IA per la valutazione del merito creditizio, la selezione e gestione del personale, la gestione delle infrastrutture critiche e l'accesso a servizi sanitari. Per questi sistemi la data spartiacque ea fissata al 2 agosto 2026, a partire dalla quale sarebbero diventati operativi i requisiti stringenti in materia di gestione del rischio, qualità dei dati di addestramento, documentazione tecnica, registrazione degli eventi (logging) e sorveglianza umana. 
Tuttavia il Digital Omnibus ha rinviato gli obblighi più onerosi per sistemi ad alto rischio:

• al 2 dicembre 2027 per quelli standalone in aree come biometria, istruzione e lavoro;
• al 2 agosto 2028 per quelli incorporati in prodotti regolati, come ascensori o giocattoli.

Più in basso nella piramide si trovano i sistemi a rischio limitato, per i quali valgono essenzialmente gli obblighi di trasparenza ed etichettatura dell'articolo 50 illustrati nel paragrafo precedente, è il caso tipico dei chatbot e dei generatori di contenuti, e infine i sistemi a rischio minimo, la stragrande maggioranza delle applicazioni oggi in uso, per i quali l'AI Act non impone obblighi cogenti ma incoraggia l'adesione volontaria a codici di condotta. Questa parte entra in vigore dal 2 agosto 2026.
Per le imprese, dunque, il primo passo pratico è quello di fare una mappatura puntuale di tutti i sistemi di IA effettivamente in uso, inclusi quelli adottati informalmente dai singoli reparti, per collocare ciascuno strumento nella fascia di rischio corretta e programmare gli adempimenti di conseguenza.

Le ripercussioni sul settore assicurativo

Il settore assicurativo occupa una posizione peculiare nell'ecosistema dell'AI Act, perché si trova a dover rispondere contemporaneamente a due logiche distinte:

• da un lato è "deployer", cioè utilizzatore di sistemi di intelligenza artificiale nei propri processi interni;
• dall'altro è, o sta diventando, l'assicuratore dei rischi che l'IA genera per le altre imprese e per la società nel suo complesso.

Concentriamoci su questo secondo aspetto. Le compagnie sono chiamate a ripensare i propri prodotti per rispondere ai rischi che l'intelligenza artificiale genera presso i propri clienti aziendali. Nel settore si parla apertamente di un "vuoto di protezione" (protection gap): i danni causati dall'IA raramente coincidono con le fattispecie tradizionali coperte dalle polizze di responsabilità civile professionale o da prodotto difettoso, perché spesso non sono riconducibili a un singolo soggetto responsabile né a una causa immediatamente identificabile.
Il primo ambito di intervento riguarda dunque la revisione della responsabilità civile prodotti e professionale. La Direttiva europea 2024/2853 sulla responsabilità da prodotto difettoso, in vigore dal dicembre 2024 e da recepire entro il 9 dicembre 2026, estende il concetto di "prodotto" anche al software e ai sistemi di IA, ma i danni non fisici (perdita finanziaria, discriminazione algoritmica, pregiudizio reputazionale) restano in larga parte fuori dal perimetro tradizionale della RC prodotti, imponendo alle compagnie di ripensare le proprie clausole.
Il secondo ambito è quello delle nuove polizze Cyber & Compliance Risk. Il mercato sta sviluppando anche prodotti dedicati, le cosiddette "Polizze Gen AI", pensate per coprire la responsabilità civile da errore algoritmico, i costi di gestione di una crisi reputazionale, le spese legali e, in alcuni casi, le conseguenze economiche del blocco operativo (business interruption) causato da sistemi dichiarati non conformi dalle autorità di vigilanza.
Il terzo ambito, infine, è quello della data governance e della conservazione dei log. Proprio gli obblighi di tracciabilità imposti dall'AI Act ai sistemi ad alto rischio stanno diventando un requisito essenziale anche dal punto di vista assicurativo: in fase di perizia e di liquidazione di un sinistro legato a un malfunzionamento dell'IA, la disponibilità di log completi e verificabili può fare la differenza tra una copertura riconosciuta e una contestazione per assenza di prova del nesso causale.

Sanzioni e governance: il prezzo della non-conformità

Il regime sanzionatorio dell'AI Act, disciplinato dall'articolo 99 del Regolamento, si articola su tre fasce di gravità crescente:

• Per le violazioni più gravi, dunque l'utilizzo di pratiche vietate ai sensi dell'articolo 5, le sanzioni possono arrivare fino a 35 milioni di euro o al 7% del fatturato globale annuo dell'impresa, a seconda di quale valore risulti più elevato.
• Per la non conformità agli obblighi sui sistemi ad alto rischio, comprese le carenze nella documentazione, nella valutazione del rischio o nella sorveglianza umana, il tetto scende a 15 milioni di euro o al 3% del fatturato.
• Per la comunicazione di informazioni inesatte, incomplete o fuorvianti alle autorità di vigilanza, la sanzione massima è di 7,5 milioni di euro o dell'1,5% del fatturato.

Per le piccole e medie imprese e le startup vale un criterio di favore: tra l'importo fisso e la percentuale sul fatturato si applica sempre il valore più basso, non il più alto.
Sul piano della governance, l'Italia ha completato l'assetto istituzionale con la Legge 132/2025, in vigore dal 10 ottobre 2025, che designa l'Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di vigilanza generale, con poteri ispettivi e sanzionatori, mentre l'Agenzia per l'Italia Digitale (AgID) cura la notifica e l'accreditamento degli organismi di valutazione della conformità. Per i settori regolamentati (banche, mercati finanziari e assicurazioni) restano competenti le rispettive Autorità di settore: Banca d'Italia, Consob e IVASS. Il Garante per la protezione dei dati personali mantiene infine la propria competenza sui profili di trattamento dei dati personali, in un rapporto di integrazione, non di sostituzione, tra AI Act e GDPR: quando un sistema di IA tratta dati personali, entrambe le discipline si applicano cumulativamente.

I prossimi passi per le imprese
 

La trasparenza algoritmica e la gestione del rischio IA non vanno lette come meri ostacoli burocratici, ma come un'occasione concreta per rafforzare la fiducia con clienti, intermediari e autorità di vigilanza. Per il settore assicurativo, che unisce il ruolo di utilizzatore e quello di potenziale assicuratore del rischio IA, la scadenza del 2 agosto 2026 rappresenta un banco di prova su entrambi i fronti.
Tre le priorità operative da affrontare nelle prossime settimane:

1. Mappare in modo sistematico tutti i sistemi di intelligenza artificiale effettivamente in uso in azienda, inclusi quelli adottati informalmente dai singoli uffici al di fuori di un percorso di validazione centralizzato.
2. Aggiornare le informative rivolte ai clienti e adeguare i chatbot e gli assistenti virtuali agli obblighi di trasparenza dell'articolo 50, assicurandosi che l'interazione con un sistema artificiale sia sempre riconoscibile fin dal primo contatto.
3. Verificare la congruità delle coperture assicurative esistenti, colmando, dove necessario, le lacune di protezione che le polizze tradizionali di responsabilità civile professionale e da prodotto difettoso non sono state pensate per coprire.
    

Le imprese che affronteranno per prime questo percorso di adeguamento avranno un vantaggio competitivo non trascurabile e potranno presentarsi al mercato come soggetti affidabili in un contesto normativo destinato, nei prossimi mesi, a diventare sempre più stringente.