Un sistema in produzione è soggetto a obblighi più ampi di un prototipo di laboratorio, ma anche un prototipo che tratta dati personali reali deve rispettare il GDPR, il Regolamento (UE) 2016/679, applicabile dal 25 maggio 2018 come ricorda il Garante per la protezione dei dati personali. L'AI Act, il Regolamento UE 2024/1689, è in vigore dal 1 agosto 2024 e si applica in modo progressivo. Dal 2 febbraio 2025 sono operativi i divieti sulle pratiche a rischio inaccettabile e l'obbligo di alfabetizzazione AI per il personale; dal 2 agosto 2025 si applicano gli obblighi per i modelli di AI per finalità generali.
Gli obblighi per i sistemi ad alto rischio dell'Allegato III sono stati rinviati al 2 dicembre 2027 dal regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus, pubblicato il 24 luglio 2026 ed entrato in vigore il 27 luglio 2026. Le sanzioni massime arrivano a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate, a 15 milioni o al 3% per gli obblighi elencati all'articolo 99, paragrafo 4, tra cui quelli dei deployer e la trasparenza dell'articolo 50, e a 7,5 milioni o all'1% per informazioni false fornite alle autorità; per le PMI si applica il minore dei due importi.
Sul piano nazionale, la Legge 23 settembre 2025, n. 132 è entrata in vigore il 10 ottobre 2025 e designa AgID e ACN come Autorità nazionali per l'intelligenza artificiale. La stessa legge autorizza inoltre investimenti fino a 1 miliardo di euro, tramite strumenti di venture capital, in PMI e startup innovative attive nell'intelligenza artificiale e in settori collegati.
In attuazione della delega dell'articolo 24, il Governo ha adottato il decreto legislativo 9 settembre 2026, n. 160, pubblicato in Gazzetta Ufficiale il 15 settembre 2026, che introduce tra l'altro nuove ipotesi di responsabilità degli enti ai sensi del D.Lgs. 231/2001. Un secondo decreto, il D.Lgs. n. 179/2026, è stato pubblicato in Gazzetta Ufficiale l'8 ottobre 2026 ed è in vigore dal 23 ottobre 2026: definisce poteri e sanzioni delle Autorità nazionali e le regole su lavoro, professioni e formazione. Per una panoramica aggiornata può consultare la nostra pagina sul quadro normativo AI in Italia.
In pratica, chi mette un sistema AI nelle mani dei propri dipendenti deve adottare misure a sostegno della loro alfabetizzazione in materia di AI, come prevede l'articolo 4 dell'AI Act nella versione modificata dal Digital Omnibus: la formazione degli utenti è il modo più diretto per farlo e fa parte del progetto, non è un extra.