L’EU AI Act ha introdotto un metodo preciso per capire quali sistemi di intelligenza artificiale possono circolare liberamente e quali invece vanno tenuti sotto stretta osservazione. Il cuore di tutto è la classificazione del rischio, un approccio che divide le tecnologie in categorie a seconda di quanto possano incidere sulla vita delle persone, sui loro diritti e sulla sicurezza collettiva. Non tutte le applicazioni vengono trattate allo stesso modo, e questo è il punto di partenza per capire la logica del Regolamento europeo.
La struttura scelta a Bruxelles parte da un presupposto semplice. Più un sistema di intelligenza artificiale può fare danni, più regole deve rispettare. Da qui nasce la distinzione tra applicazioni vietate del tutto, applicazioni ad alto rischio e applicazioni a rischio limitato. Le prime sono quelle considerate incompatibili con i valori europei, come certi usi che potrebbero manipolare i comportamenti o sorvegliare le persone in modo indiscriminato. Le seconde vengono ammesse, ma solo a condizione di rispettare requisiti severi in termini di trasparenza, controllo umano e gestione dei dati. Le terze, infine, godono di margini di libertà più ampi, pur con qualche obbligo informativo di base.
AI vietata, ad alto rischio e a rischio limitato
La categoria dell’AI vietata raccoglie tutti quei sistemi che non possono essere immessi sul mercato europeo in nessun caso. Si tratta della fascia più delicata, quella dove il legislatore ha deciso di tracciare una linea netta senza possibilità di deroghe. Poi c’è la parte dei sistemi ad alto rischio, che rappresenta forse il nodo più complesso dell’intero impianto normativo. Qui rientrano le tecnologie usate in ambiti sensibili, dove un errore o un abuso possono avere conseguenze concrete e pesanti sulle persone. Per queste applicazioni scattano obblighi stringenti che riguardano documentazione, valutazioni preventive e monitoraggio continuo.
Il gradino successivo è quello del rischio limitato, dove le regole si allentano parecchio. In questa fascia troviamo strumenti che devono comunque garantire un minimo di trasparenza verso chi li utilizza, ma senza il carico di adempimenti previsto per le categorie superiori. La logica resta sempre la stessa. Chi sviluppa e distribuisce un sistema deve sapere in quale casella rientra, perché da quella collocazione dipendono responsabilità e obblighi molto diversi tra loro.
Le novità del Digital Omnibus e i decreti italiani
Il quadro non è rimasto fermo. A giugno 2026 è arrivato il Digital Omnibus, un pacchetto di interventi che ha portato aggiustamenti e chiarimenti su alcuni aspetti della normativa. Questo insieme di misure è pensato per rendere più fluida l’applicazione delle regole e per rispondere ai dubbi emersi nei mesi precedenti tra imprese, operatori e autorità di controllo.
Sul fronte nazionale si aggiungono i decreti attuativi italiani, che servono a calare il Regolamento europeo dentro il nostro ordinamento. Sono questi provvedimenti a definire nel concreto come i principi generali dell’EU AI Act si traducono in pratica per chi opera in Italia, stabilendo competenze, procedure e modalità di vigilanza. La combinazione tra la cornice europea e le norme interne disegna così il perimetro entro cui aziende e sviluppatori dovranno muoversi, tenendo sempre presente la posizione del proprio sistema all’interno della scala di rischio.