AI Act: obblighi, scadenze e cosa cambia per le polizze

Scheda normativa · aggiornata al 1° novembre 2026 · di cybercoverinsurance

Il regolamento (UE) 2024/1689, l'AI Act, è la prima legge generale sull'intelligenza artificiale. È in vigore dal 1° agosto 2024 e si applica per tappe fino al 2028 (Gibson Dunn). Classifica i sistemi di intelligenza artificiale in base al rischio e fissa obblighi diversi per chi li sviluppa e per chi li usa.

Per chi assume il rischio l'AI Act conta per tre motivi. In Italia la sua violazione fa presumere il nesso causale in una causa di risarcimento. Riguarda direttamente le compagnie, perché i sistemi per tariffare le polizze vita e salute sono ad alto rischio. E crea obblighi verificabili da portare nel questionario di assunzione.

Nel testo, «art.» indica una regola vincolante; «considerando» indica i paragrafi introduttivi che spiegano come leggerla.

Chi riguarda

L'AI Act distingue soprattutto due figure:

• fornitore: chi sviluppa un sistema di intelligenza artificiale e lo mette sul mercato con il proprio nome;
• deployer: chi usa un sistema di intelligenza artificiale nella propria attività professionale, ad esempio un'azienda che usa un software di selezione del personale o una compagnia che usa un modello per tariffare.

Si applica anche a fornitori fuori dall'Unione quando i loro sistemi sono usati in Europa. Ci sono obblighi propri anche per i fornitori di modelli di intelligenza artificiale per finalità generali, cioè i grandi modelli su cui si costruiscono gli altri sistemi.

Le quattro classi di rischio

Pratiche vietate

Dal 2 febbraio 2025 sono vietati alcuni usi considerati inaccettabili (art. 5), tra cui il punteggio sociale delle persone, la manipolazione che sfrutta le vulnerabilità e il riconoscimento delle emozioni sul luogo di lavoro e a scuola. Dal 2 dicembre 2026 si aggiunge il divieto di sistemi che generano immagini intime non consensuali o materiale pedopornografico (FPF).

Sistemi ad alto rischio

Sono di due tipi. Quelli dell'allegato III sono elencati per settore d'uso: selezione e gestione del personale, valutazione del merito di credito, accesso a servizi essenziali, istruzione, giustizia, migrazione. Tra questi ci sono i sistemi usati per la valutazione del rischio e la determinazione del prezzo nelle assicurazioni vita e salute (EIOPA). Quelli dell'allegato I sono componenti di sicurezza di prodotti già regolati, come dispositivi medici, macchine e veicoli.

Il fornitore deve gestire i rischi, garantire la qualità dei dati, redigere la documentazione tecnica, registrare il funzionamento e superare una valutazione di conformità. Il deployer deve usare il sistema secondo le istruzioni, affidarne la sorveglianza a persone competenti, monitorarlo e conservare i log (art. 26).

Trasparenza

Dal 2 agosto 2026 chi usa sistemi che interagiscono con le persone, come un assistente virtuale, deve dire che si tratta di intelligenza artificiale; i contenuti generati o manipolati, compresi i deepfake, vanno segnalati (art. 50) (Gibson Dunn).

Rischio minimo

Tutti gli altri sistemi non hanno obblighi specifici. Fornitori e deployer devono però sostenere l'alfabetizzazione del personale sull'intelligenza artificiale (art. 4), un obbligo attenuato dalle modifiche del 2026 (FPF).

Le scadenze

Il regolamento (UE) 2026/1744, pubblicato nella Gazzetta ufficiale dell'UE il 24 luglio 2026, ha spostato alcune date (FPF, Orrick):

• 2 febbraio 2025: pratiche vietate e alfabetizzazione;
• 2 agosto 2025: modelli per finalità generali e regime delle sanzioni;
• 2 agosto 2026: obblighi di trasparenza dell'art. 50;
• 2 dicembre 2027: sistemi ad alto rischio dell'allegato III, comprese le tariffe vita e salute (prima era il 2 agosto 2026);
• 2 agosto 2028: sistemi ad alto rischio dell'allegato I (prima era il 2 agosto 2027).

Le sanzioni

L'art. 99 prevede tre livelli: fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate; fino a 15 milioni o il 3% per la violazione degli altri obblighi; fino a 7,5 milioni o l'1% per informazioni inesatte fornite alle autorità. Per le piccole e medie imprese vale l'importo più basso tra i due.

In Italia

La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, affianca l'AI Act (Cleary Gottlieb):

• l'Agenzia per la Cybersicurezza Nazionale (ACN) è l'autorità di vigilanza del mercato, con poteri di ispezione e sanzione; l'Agenzia per l'Italia Digitale (AgID) segue gli organismi che valutano la conformità; Banca d'Italia, Consob e IVASS restano competenti per i propri settori;
• i professionisti possono usare l'intelligenza artificiale solo come supporto e devono informarne il cliente (art. 13);
• la diffusione di deepfake che causano un danno ingiusto è reato (art. 612-quater del codice penale), punito con la reclusione da uno a cinque anni.

Il decreto legislativo 9 settembre 2026, n. 160, in vigore dal 30 settembre 2026, completa il quadro (PG Legal, Lavorosì):

• se sono violati gli obblighi dell'AI Act, il nesso causale con il danno si presume, salvo prova contraria (art. 18);
• la conformità all'AI Act, anche certificata, non esclude da sola la responsabilità (art. 19);
• il danneggiato può chiedere al responsabile se ha una polizza di responsabilità civile e agire direttamente contro l'assicuratore (art. 20);
• l'omissione delle misure di sicurezza o della sorveglianza umana sui sistemi ad alto rischio diventa reato (art. 437-bis del codice penale) e rientra tra i reati che fanno scattare la responsabilità dell'ente ai sensi del d.lgs. 231/2001.

Cosa cambia per le polizze

Responsabilità civile e PI. In Italia la violazione dell'AI Act fa presumere il nesso causale e il danneggiato può agire direttamente contro l'assicuratore. Gli obblighi del deployer, come sorveglianza umana e conservazione dei log, diventano la linea di difesa dell'assicurato e quindi dell'assicuratore. Il tema è approfondito nell'analisi sulla responsabilità civile da intelligenza artificiale.

Sanzioni. I massimali dell'AI Act superano quelli di NIS2. Come per le altre norme, la copertura delle sanzioni amministrative «ove assicurabili per legge» non va data per scontata.

D&O e 231. Il nuovo reato dell'art. 437-bis e la responsabilità dell'ente ai sensi del d.lgs. 231/2001 portano la governance dell'intelligenza artificiale nel perimetro della D&O e dei modelli organizzativi.

Cyber. L'AI Act chiede ai sistemi ad alto rischio un livello adeguato di sicurezza informatica. Un attacco che altera un modello, come l'avvelenamento dei dati di addestramento, è insieme un incidente cyber e una possibile violazione dell'AI Act.

Le compagnie come deployer. Dal 2 dicembre 2027 i modelli di tariffazione e valutazione del rischio nelle assicurazioni vita e salute sono sistemi ad alto rischio. Per i rami danni, compreso il cyber, l'AI Act non li classifica ad alto rischio, ma IVASS e EIOPA chiedono comunque governance, equità e spiegabilità dei modelli usati.

Impatto per gli assicuratoriAlto

L'AI Act fissa obblighi verificabili per chi sviluppa e chi usa l'intelligenza artificiale, e in Italia la loro violazione fa presumere il nesso causale in una causa di risarcimento.

Fonti

• Gibson Dunn, accordo sull'Omnibus AI
• FPF, il calendario dell'AI Act dopo l'Omnibus
• Orrick, Omnibus digitale e AI Act
• EIOPA, parere su governance e gestione del rischio dell'intelligenza artificiale
• Cleary Gottlieb, la legge italiana sull'intelligenza artificiale
• PG Legal, il d.lgs. 160/2026 e il mercato assicurativo
• Lavorosì, d.lgs. 9 settembre 2026, n. 160