L'AI Act (Reg. UE 2024/1689, in vigore da agosto 2024) regola l'AI per livelli di rischio: pratiche vietate (social scoring, manipolazione – divieti già applicabili da febbraio 2025), sistemi ad alto rischio (assunzioni, credito, sanità, infrastrutture critiche: requisiti pesanti di qualità dati, supervisione umana, documentazione – già applicabili da agosto 2026 per l'Allegato III, da agosto 2027 per i prodotti regolamentati), obblighi di trasparenza (chatbot e contenuti sintetici vanno dichiarati) e regole per i modelli general-purpose (da agosto 2025).
Per un'azienda italiana il punto pratico: censire dove l'AI è già entrata (shadow AI inclusa), classificare i casi d'uso per rischio, e documentare. Sanzioni fino al 7% del fatturato mondiale per le pratiche vietate. Si integra con GDPR e NIS2 – i tre pilastri della compliance digitale europea.