AI Act: cosa si applica dal 2 agosto 2026 e cosa no

In molti piani di progetto del settore life sciences il 2 agosto 2026 era annotato come data generale dell'AI Act. Per i dispositivi medici basati su IA, tuttavia, la situazione di partenza era già più articolata secondo la logica originaria dei termini: gli obblighi per i sistemi di IA ad alto rischio di cui all'articolo 6, paragrafo 1 avrebbero dovuto applicarsi soltanto dal 2 agosto 2027. Con il regolamento (UE) 2026/1744 questo termine è stato rinviato al 2 agosto 2028. Per i sistemi di IA ad alto rischio di cui all'allegato III vale ora il 2 dicembre 2027. Per il MedTech il percorso 2028 è rilevante quando il sistema di IA è esso stesso un prodotto regolamentato o un componente di sicurezza di un prodotto e quando, per la conformità del prodotto, è necessaria una valutazione di conformità da parte di terzi.

Indipendentemente da questi rinvii, l'obbligo di assicurare un livello sufficiente di alfabetizzazione in materia di IA previsto dall'articolo 4 si applica già dal 2 febbraio 2025. Le imprese che forniscono o utilizzano sistemi di IA devono pertanto garantire già oggi che le persone coinvolte dispongano di conoscenze adeguate ai loro compiti e al contesto di utilizzo.

Che cosa diventa effettivamente applicabile in quel giorno

Il 2 agosto 2026 l'AI Act diventa applicabile in larga parte. Immediatamente rilevanti nella pratica per molte imprese sono soprattutto gli obblighi di trasparenza dell'articolo 50. Occorre distinguere se un'impresa è fornitore o deployer del sistema di IA in questione e quale funzione concreta il sistema svolge:

• I fornitori di sistemi di IA destinati a interagire direttamente con persone fisiche devono garantire che le persone interessate possano riconoscere di stare interagendo con un sistema di IA, salvo che ciò sia già evidente.
• I fornitori di sistemi di IA che generano contenuti sintetici audio, immagine, video o testo devono in linea di principio garantire che tali output siano marcati in un formato leggibile dalle macchine e siano riconoscibili come generati o manipolati artificialmente.
• I deployer di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica devono informare le persone interessate dell'utilizzo del sistema.
• I deployer devono rendere noti i deepfake in quanto tali.
• I deployer devono etichettare determinati testi generati o manipolati dall'IA quando sono pubblicati per informare il pubblico su questioni di interesse pubblico. L'etichettatura non è necessaria se il testo è stato sottoposto a un'effettiva verifica specialistica o a un controllo editoriale e una persona o un'organizzazione ne assume la responsabilità editoriale.

Per i sistemi di IA già immessi sul mercato prima del 2 agosto 2026 esiste un periodo transitorio limitato fino al 2 dicembre 2026 esclusivamente per l'obbligo tecnico di marcatura e riconoscibilità dei contenuti sintetici di cui all'articolo 50, paragrafo 2.

Per un ospedale con un chatbot per i pazienti il 2 agosto 2026 diventa immediatamente rilevante, perché i pazienti devono poter riconoscere di stare interagendo con un sistema di IA. Obblighi di etichettatura o di informativa possono sussistere anche per contenuti generati dall'IA utilizzati pubblicamente. Una refertazione preliminare assistita dall'IA, al contrario, non ricade sotto l'articolo 50 per la sola funzione diagnostica; è determinante se sia presente anche una delle funzioni di interazione o di contenuto ivi disciplinate.

Per i requisiti specifici relativi all'alto rischio applicabili a un sistema diagnostico basato su IA valutato secondo MDR o IVDR con il coinvolgimento di un organismo notificato è invece determinante, in linea di principio, il 2 agosto 2028. Indipendentemente da ciò, singoli obblighi di trasparenza dell'articolo 50 possono essere rilevanti già dal 2 agosto 2026.

Perché il rinvio non è un motivo per sospendere il progetto

La conclusione più immediata che si trae dal rinvio è: riprenderemo il tema più avanti. Tre ragioni sconsigliano di farlo.

In primo luogo, il rinvio non modifica la classificazione regolatoria del sistema. Se un sistema di IA debba essere classificato come ad alto rischio dipende dall'articolo 6 dell'AI Act. Per i dispositivi medici e gli IVD è determinante in particolare se il sistema di IA sia esso stesso un prodotto regolamentato o un componente di sicurezza di un prodotto e se, per la conformità del prodotto, sia necessaria una valutazione da parte di terzi. Chi non effettua oggi questa classificazione non ottiene alcuna chiarezza regolatoria dal rinvio.

In secondo luogo, i requisiti dell'AI Act non dovrebbero essere affrontati solo dopo la conclusione della valutazione di conformità secondo MDR o IVDR. Devono essere integrati nello sviluppo del prodotto, nel sistema di gestione della qualità, nella documentazione tecnica e nella valutazione di conformità esistente. Chi integra i requisiti specifici per l'IA solo successivamente rischia rilavorazioni considerevoli su documenti, processi ed evidenze già predisposti.

In terzo luogo, la base dei dati è spesso il vero collo di bottiglia. Le evidenze mancanti su origine, selezione, qualità, rappresentatività o preparazione dei dati di addestramento, convalida e prova potrebbero in seguito non essere più ricostruibili in modo completo e affidabile. In tal caso non si tratta soltanto di una carenza documentale, ma eventualmente di una lacuna nella base dei dati che non può più essere colmata.

Cosa fare adesso

• Documentare per iscritto la classificazione regolatoria del sistema di IA, comprese le motivazioni. Costituisce la base per determinare i requisiti e i termini applicabili.
• Radicare nell'organizzazione l'obbligo di alfabetizzazione in materia di IA, applicabile dal 2 febbraio 2025: individuare i ruoli interessati, definire il fabbisogno di competenze e documentare misure adeguate di formazione o qualificazione.
• Verificare il proprio portafoglio di IA per stabilire quali sistemi e casi d'uso ricadano sotto l'articolo 50. Oltre ai prodotti propri vanno considerati anche i sistemi acquistati o impiegati internamente.
• Pianificare l'attuazione a partire dall'inizio di applicazione previsto dalla legge e dalla successiva valutazione di conformità rilevante, procedendo a ritroso. Il termine di legge resta vincolante; i tempi di trattazione e valutazione dell'organismo notificato devono essere pianificati in aggiunta e concordati tempestivamente.

Entourage supporta fabbricanti e strutture sanitarie nella classificazione dei loro sistemi di IA, nell'integrazione dei requisiti dell'AI Act in una procedura MDR o IVDR già in corso e nella questione di quali obblighi si applichino già oggi.