AI Act spiegato semplice: cosa cambia per chi usa ChatGPT o Claude
Il giorno in cui la legge ti tocca davvero
Immagina di gestire un piccolo studio che riceve venti candidature a settimana per una posizione aperta. Da qualche mese usi un assistente AI per fare una prima scrematura dei curriculum: gli dai il testo, ti restituisce un punteggio di idoneità. Ti sembra un uso innocuo, lo stesso tipo di cosa che fai quando chiedi a ChatGPT di riassumerti un'email. Poi un collega ti dice: "occhio, quello che stai facendo probabilmente rientra nell'AI Act, la legge europea sull'intelligenza artificiale". La tua prima reazione, probabilmente, è la stessa di chiunque: "ma io non sto costruendo un'AI, la sto solo usando. Mi riguarda comunque?"
La risposta breve è sì, ma non nel modo in cui la maggior parte delle persone se lo immagina. L'AI Act non è una legge per "i tecnici" o per le grandi aziende che addestrano modelli: è una legge che classifica gli usi, non gli strumenti, e per questo può toccarti anche quando ti limiti a premere invio su un sito che già usi da tempo. Questo articolo mette in fila cosa dice davvero la legge, con le scadenze aggiornate all'ultima modifica — perché su questo, più che su altri temi tecnici, girano da mesi date sbagliate.
Cosa fa, in una frase
L'AI Act — Regolamento UE 2024/1689, entrato in vigore il 1° agosto 2024 — è la prima legge organica al mondo sull'intelligenza artificiale. La sua idea di fondo è più semplice di quanto il nome faccia temere: non prova a regolare "l'AI" come categoria unica, cosa impossibile viste le migliaia di usi diversi che ne vengono fatti, ma classifica i sistemi in base al rischio concreto che pongono alle persone. Più il rischio è alto, più stringenti sono gli obblighi. È lo stesso principio con cui funzionano da decenni le normative su farmaci o dispositivi medici: non si vieta "la chimica", si regola cosa quella sostanza fa a chi la usa.
Quattro categorie, un solo criterio: il rischio
Rischio inaccettabile: vietato punto e basta
Al vertice della piramide ci sono le pratiche che la legge considera talmente pericolose da bandirle del tutto, in vigore già dal 2 febbraio 2025. Tra queste: il social scoring all'occidentale (assegnare un punteggio ai cittadini in base al comportamento e usarlo per discriminarli), la manipolazione subliminale che aggira la volontà cosciente delle persone, e alcuni usi del riconoscimento biometrico di massa in spazi pubblici. Se stai leggendo questo articolo per capire se il tuo uso quotidiano dell'AI rientra qui: quasi certamente no, sono pratiche di frontiera che nessun prodotto mainstream propone.
Alto rischio: permesso, ma con obblighi pesanti
Questa è la categoria che conta davvero per il caso del CV all'inizio dell'articolo. Un sistema AI usato per selezionare candidati, valutare l'accesso al credito, orientare decisioni giudiziarie o gestire infrastrutture critiche rientra nell'alto rischio quasi automaticamente, perché la legge guarda all'ambito d'uso, non alla tecnologia sottostante. Gli obblighi sono seri: documentazione tecnica dettagliata, supervisione umana effettiva (non solo formale), controlli di qualità sui dati, tracciabilità delle decisioni. Non è una lista che scoraggia l'uso dell'AI in questi ambiti: è una lista che impone di farlo con criterio, esattamente come già succede per un software che gestisce dati sanitari.
Rischio limitato: trasparenza, non divieti
Se un contenuto è generato dall'AI, chi lo pubblica deve dichiararlo. Se stai parlando con un chatbot invece che con una persona, devi poterlo sapere. Sono obblighi leggeri — un'etichetta, un avviso — ma pensati per una ragione precisa: le persone hanno diritto a sapere quando stanno interagendo con una macchina o consumando contenuti sintetici, per poter calibrare la propria fiducia di conseguenza.
Rischio minimo: la stragrande maggioranza
Filtro antispam, suggerimenti di scrittura, un chatbot AI che ti aiuta a riassumere un documento o a scrivere una bozza di email: nessun obbligo particolare. È la categoria in cui rientra il 90% di ciò che le persone fanno ogni giorno con ChatGPT o Claude. La sfumatura importante, però, è che lo stesso identico modello può cambiare categoria a seconda dell'uso: Claude che ti riassume la posta è rischio minimo, un sistema costruito su Claude che scarta automaticamente curriculum è alto rischio. Non si regola lo strumento, si regola cosa ci fai.
Le date sono cambiate: ecco il calendario aggiornato
Qui si annida la fonte più comune di confusione, perché per tutto il 2025 circolava un calendario che nel 2026 è stato in parte riscritto. Il 27 luglio 2026 è entrato in vigore il Digital Omnibus on AI (Regolamento UE 2026/1744), che ha spostato in avanti alcune scadenze per dare più tempo alle imprese di adeguarsi. Il calendario oggi, secondo la pagina ufficiale della Commissione Europea, è questo:
- 2 febbraio 2025 — in vigore i divieti sulle pratiche a rischio inaccettabile.
- 2 agosto 2025 — regole sui modelli general-purpose (GPAI) e avvio della governance a livello UE.
- 2 agosto 2026 — scattano gli obblighi di trasparenza (articolo 50, etichettatura dei contenuti sintetici), le regole GPAI si consolidano e parte l'enforcement generale: da qui la Commissione può iniziare a indagare e sanzionare.
- 2 dicembre 2026 — entrano in vigore i nuovi divieti specifici su deepfake sessuali non consensuali e materiale di abuso su minori generato dall'AI, insieme a una scadenza transitoria legata all'articolo 50.
- 2 dicembre 2027 — applicazione piena degli obblighi per i sistemi ad alto rischio dell'Allegato III: quelli autonomi, dalla selezione del personale al credito. È lo spostamento più rilevante del Digital Omnibus: in origine questa scadenza cadeva un anno e mezzo prima.
- 2 agosto 2028 — applicazione degli stessi obblighi per l'AI incorporata in prodotti già regolamentati (Allegato I), come macchinari e ascensori.
Il punto pratico da portarti via: ad agosto 2026 non è "scattato tutto", come molti articoli lasciano intendere. Sono scattate trasparenza, GPAI ed enforcement; il grosso degli obblighi sull'alto rischio arriva più avanti, nel 2027 e nel 2028. Se stai leggendo una data sull'AI Act da qualche parte — un articolo, un post, persino questo — la pagina che vale come riferimento ultimo è il calendario ufficiale della Commissione, aggiornato con l'Omnibus: le leggi si muovono, gli articoli no.
Tre motivi per cui ti riguarda comunque
Come cittadino. L'AI Act ti dà diritti concreti quando un algoritmo prende decisioni che ti riguardano: diritto a saperlo, in certi casi diritto a una spiegazione, diritto di reclamo. Conoscerli significa poterli esercitare.
Come lavoratore. Se nella tua azienda l'AI tocca dati di clienti o processi che riguardano persone — assunzioni, valutazioni, accesso a servizi — prima o poi la conformità arriverà sulla tua scrivania sotto forma di procedura da seguire. Chi capisce la logica del rischio in anticipo, invece di subirla come burocrazia incomprensibile, vale di più in quella conversazione.
Come persona che costruisce con l'AI. Se stai seguendo questo percorso fino ai livelli più avanzati, arriverà un momento — costruire un'automazione, un agente che decide qualcosa per conto di altri — in cui "è conforme?" sarà una domanda di progettazione tanto quanto "funziona?". Prima la incontri, meno costa aggiustarla dopo.
L'errore più comune: pensare che riguardi solo "i tecnici"
La confusione più diffusa che si legge in giro è pensare che l'AI Act parli a chi addestra modelli, alle grandi aziende tecnologiche, ai giuristi d'impresa. In realtà la legge classifica gli usi, e un uso lo fa chiunque prema invio con uno scopo. Un piccolo studio che valuta CV con un chatbot, un comune che sperimenta un sistema di assegnazione di servizi, un'azienda che filtra richieste di credito: sono tutti dentro il perimetro, indipendentemente dalle dimensioni. La legge non guarda quanto sei grande: guarda cosa stai decidendo e su chi.
Prova subito
Prendi tre sistemi AI che incontri davvero nella tua vita o nel tuo lavoro — per esempio: il filtro antispam della tua email, un chatbot di assistenza clienti di un sito che usi, e un ipotetico strumento che selezionasse candidature per un lavoro. Per ciascuno chiediti: che decisione prende? Su chi? Cosa succede alla persona se sbaglia? Prova a collocare ognuno nelle quattro categorie di rischio di questo articolo, poi verifica il tuo ragionamento sulla pagina ufficiale della Commissione Europea (digital-strategy.ec.europa.eu) o sul calendario aggiornato dell'AI Act Service Desk. Se li azzecchi tutti e tre, hai capito la logica della legge meglio della maggior parte di chi ne scrive senza averla mai letta — ed è esattamente la differenza tra "sapere che esiste una legge sull'AI" e sapere cosa fare quando ti riguarda.