Sfoglia altri articoli simili con le etichette:
L’EU AI Office ha pubblicato a giugno 2026 il primo bilancio annuale di attività, dopo l’avvio operativo nel febbraio 2025. I numeri sono indicativi del livello di lavoro: oltre 200 procedure di valutazione su modelli GPAI, 14 linee guida operative pubblicate, 7 codici di condotta promossi o sostenuti. In parallelo, in Italia, l’AgID e il Garante Privacy stanno definendo competenze e procedure di coordinamento. Per le aziende italiane che cercano sportelli operativi su questioni AI Act, capire chi fa cosa è prerequisito per ottenere risposte concrete invece di rimpalli istituzionali.
Il punto è che la governance è multilivello e i contatti giusti dipendono dalla domanda.
EU AI Office: la nuova autorità centrale
L’AI Office è stato istituito formalmente con decisione della Commissione UE del febbraio 2024 e ha iniziato a operare nei mesi successivi. Si trova organizzativamente all’interno della DG CNECT (Direzione Generale Reti di Comunicazione, Contenuti e Tecnologie) della Commissione UE. Conta circa 140 dipendenti, in crescita, organizzati in cinque unità: regulation and compliance, AI safety, excellence in AI, AI for societal good, AI innovation and policy coordination.
Le competenze dirette dell’AI Office sono consistenti. Vigilanza sui modelli GPAI con rischio sistemico (notifica, valutazione, mitigazione). Sviluppo dei codici di condotta promossi dall’articolo 56 dell’AI Act. Supporto alla Commissione nello sviluppo di atti delegati e di esecuzione. Coordinamento con le autorità nazionali e con i corpi internazionali (OECD, G7, ISO). Punto di contatto per i provider GPAI e per le autorità di terzi Paesi.
Le competenze indirette includono il monitoraggio dell’implementazione complessiva dell’AI Act negli Stati Membri, il supporto allo sviluppo di standard armonizzati, la pubblicazione di linee guida interpretative. Per un’azienda italiana che ha dubbi su un’interpretazione complessa dell’AI Act, l’AI Office è il punto di riferimento finale dell’interpretazione UE, anche se non sostituisce le autorità nazionali competenti per le ispezioni.
European AI Board: la rappresentanza degli Stati Membri
Il European AI Board, ufficialmente AI Board nel testo del Regolamento, è composto da rappresentanti di ciascuno Stato Membro UE. Ha funzione consultiva nei confronti della Commissione e dell’AI Office, contribuisce alla coerenza dell’applicazione dell’AI Act tra Stati Membri, facilita lo scambio di esperienze tra autorità nazionali.
Per inquadrare il contesto enterprise di applicazione, è utile la sintesi dello Stanford AI Index 2026. Per l’Italia il rappresentante nel Board è di nomina governativa, attualmente integrato nella delegazione che il MIMIT coordina sui temi AI a livello europeo. Le riunioni del Board sono mensili, le decisioni sono prevalentemente di indirizzo. Il Board non è autorità ispettiva, non irroga sanzioni, non emette pareri vincolanti su casi singoli. È spazio di coordinamento, importante ma non operativo.
Sotto il Board operano sottogruppi tematici dedicati a specifiche aree dell’AI Act: market surveillance, GPAI, fundamental rights, scientific support. I sottogruppi includono esperti delle autorità nazionali e in alcuni casi rappresentanti dell’industria e della società civile.
Autorità nazionali italiane: AgID e Garante Privacy in coordinamento
In Italia il quadro istituzionale dell’AI Act è in via di definizione formale con il disegno di legge di adeguamento al Regolamento. L’orientamento consolidato nel 2026 vede l’AgID come autorità competente principale per la maggior parte delle materie AI Act, con il Garante Privacy che mantiene competenza specifica sui trattamenti di dati personali.
L’applicazione concreta dell’AI Act al marketing è uno dei terreni di confronto più frequenti con AgID e Garante. L’AgID (Agenzia per l’Italia Digitale) ha competenze su digitalizzazione della PA, identità digitale, infrastrutture cloud nazionali. L’aggiunta delle competenze AI Act ha richiesto rafforzamento strutturale: nuova divisione AI compliance attivata nel 2026 con 30-50 risorse dedicate. L’AgID è l’autorità che riceverà notifiche di immissione sul mercato di sistemi high-risk, condurrà ispezioni, irrogherà sanzioni nell’ambito di sua competenza.
Il Garante Privacy mantiene competenze su tutto quello che riguarda dati personali in sistemi AI. La sovrapposizione con AgID è gestita attraverso protocolli di coordinamento. Per le aziende italiane il punto pratico è che alcune procedure potranno richiedere doppia comunicazione (notifica AgID per la parte AI Act, eventuale comunicazione al Garante per la parte privacy). I protocolli operativi stanno semplificando questa duplicazione.
Le altre autorità con competenze settoriali
L’AI Act prevede che le autorità di settore esistenti mantengano competenza nelle materie di propria specializzazione. Banca d’Italia su AI applicata al credito e ai servizi bancari. CONSOB su AI nei mercati finanziari. AGCOM su AI nei servizi di comunicazione e media. AGCM su AI in chiave concorrenziale. ENAC sull’AI nell’aviazione. AIFA su AI in dispositivi medici e farmaci.
Per un’azienda italiana che opera in settori regolamentati, il quadro delle autorità competenti è quindi multidimensionale. Un’azienda fintech può avere interlocuzione con Banca d’Italia (regolamentazione settoriale), AgID (AI Act), Garante Privacy (dati personali), CONSOB se quotata. La compliance richiede coordinamento interno tra queste relazioni.
Le autorità settoriali stanno sviluppando linee guida AI specifiche per i propri ambiti. Banca d’Italia ha pubblicato a dicembre 2025 orientamenti sull’uso dell’AI nel credit scoring. CONSOB sta lavorando a linee guida sui robo-advisor e sull’uso AI nei controlli di mercato. AGCOM ha emesso orientamenti su trasparenza AI nei contenuti media.
Sportelli operativi: a chi rivolgersi per cosa
Domanda concreta che arriva spesso dalle aziende italiane: “Devo notificare un sistema AI, a chi mi rivolgo?”. Risposta articolata. Per notifica di sistema AI high-risk immesso sul mercato: AgID, attraverso il portale dedicato in fase di implementazione (intanto via PEC alla casella ufficiale). Per notifica di incidente grave: AgID con eventuale coinvolgimento dell’autorità settoriale sostanziale.
Per parere preventivo su un sistema in fase di sviluppo: l’AI Act prevede meccanismi di sandbox regolatoria che in Italia saranno operativi dal 2026. AgID coordinerà il processo. Per chiarimenti interpretativi su norme specifiche: prima il proprio consulente legale, poi le linee guida dell’AI Office UE, infine richiesta formale ad AgID o all’autorità settoriale pertinente.
Per reclami di soggetti danneggiati da sistemi AI: dipende dalla natura del danno. Discriminazione: UNAR e Tribunale civile. Violazione privacy: Garante Privacy. Sicurezza prodotto: Ministero competente o autorità di vigilanza del mercato. Frode o reato: forze dell’ordine. Lo sportello unico AI Act gestirà i casi misti, ma la procedura non è ancora pubblicata in dettaglio.
I tempi reali delle interazioni con le autorità
Da quello che vedo nelle prime esperienze italiane le tempistiche sono variabili. Una notifica di sistema high-risk al portale AgID dovrebbe ricevere conferma in 30 giorni, in pratica i primi casi hanno richiesto 60-90 giorni per chiusura. Un parere preventivo informale può richiedere 90-180 giorni, formale può superare i 12 mesi. Una sandbox regolatoria dura 12-24 mesi tipicamente.
Per le aziende italiane la conseguenza pratica è pianificare in anticipo. Le tempistiche di interlocuzione con le autorità non possono essere assorbite dentro un singolo trimestre. Se l’obiettivo è lanciare un sistema high-risk per il 2027, le interazioni con AgID dovrebbero iniziare entro la fine del 2026. Per i provider GPAI le interazioni con l’AI Office hanno tempistiche analoghe.
Le aziende più strutturate stanno costruendo relazioni continuative con le autorità attraverso associazioni di categoria, gruppi di lavoro tematici, partecipazione a consultazioni pubbliche. È approccio che funziona meglio del rapporto sporadico caso per caso.
L’opportunità del primo periodo
I primi due-tre anni di operatività dell’AI Act sono finestra di opportunità per le aziende italiane proattive. Le autorità stanno costruendo la propria prassi, sono disponibili al dialogo con le imprese che si presentano in modo costruttivo, accolgono input e suggerimenti per affinare le procedure. Chi si pone come interlocutore serio nel 2026-2027 costruisce relazioni che valgono nei prossimi anni.
Le associazioni di categoria stanno giocando un ruolo consistente. Confindustria, AssoSoftware, Anitec-Assinform, AICA e altre realtà rappresentative sono interlocutori formali delle autorità. Per le PMI italiane partecipare attraverso queste rappresentanze è modo efficiente per essere ascoltati. Anche AIPIA, l’associazione italiana professionisti AI, è uno spazio dove i singoli professionisti contribuiscono alla definizione delle prassi. Per approfondisci con AIPIA i tavoli tecnici in corso sui temi dell’attuazione italiana dell’AI Act.
Come prepararsi al rapporto con le autorità
Quattro principi che funzionano in pratica. Trasparenza: presentarsi alle autorità con documentazione chiara e veritiera, anche quando ci sono punti deboli. Le autorità apprezzano la trasparenza, scopriranno comunque i punti deboli in caso di occultamento. Tempismo: anticipare le interlocuzioni rispetto ai problemi, non aspettare le ispezioni. Le autorità sono più cooperative con chi si presenta in fase di progettazione che con chi arriva quando il problema è già esplose.
Competenza tecnica: portare alle interlocuzioni persone che sanno di cosa parlano, non solo avvocati o consulenti commerciali. Le autorità AI hanno staff tecnico che valuta la sostanza, non solo la forma. Continuità: mantenere relazione strutturata nel tempo, non solo nei momenti di criticità. Le aziende che le autorità conoscono come interlocutori abituali partono da una posizione di fiducia operativa migliore.
Il sistema istituzionale AI in costruzione è imperfetto, in evoluzione, occasionalmente lento. È però lo spazio dentro cui si definirà l’innovazione AI europea dei prossimi anni. Capirlo, frequentarlo, contribuire a definirlo è investimento strategico, non costo accessorio. Le aziende italiane che lo faranno saranno quelle che troveranno spazio nel mercato europeo che sta nascendo.
