L'EU AI Act è entrato in vigore nell'agosto 2024 e i suoi obblighi si stanno applicando per fasi. Entro agosto 2026, la maggior parte dei sistemi AI ad alto rischio dovrà superare la valutazione di conformità completa. Per le organizzazioni che usano l'AI in ambito HR, credit scoring, sanità, forze dell'ordine e infrastrutture critiche, la domanda non è più se adeguarsi — è come.

Cosa richiede davvero l'AI Act

Il regolamento classifica i sistemi AI in quattro livelli di rischio:

Rischio inaccettabile — vietati tout court (social scoring, sorveglianza biometrica in tempo reale negli spazi pubblici)
Alto rischio — obblighi pesanti: valutazioni di conformità, trasparenza, supervisione umana, governance dei dati
Rischio limitato — obblighi di trasparenza più leggeri (i chatbot devono dichiarare di essere AI)
Rischio minimo — nessun obbligo specifico

La maggior parte dei deployment LLM in ambito enterprise ricade nella categoria alto rischio o rischio limitato. Se il tuo sistema AI influenza decisioni su impiego, credito, salute o istruzione, sei quasi certamente nella prima.

Perché le API di terze parti creano grattacapi di compliance

Quando invii query a un'API LLM basata negli Stati Uniti, diversi requisiti dell'AI Act diventano strutturalmente difficili da soddisfare:

Trasparenza e logging. I sistemi ad alto rischio devono conservare log "nella misura necessaria a garantire che il sistema possa essere monitorato." Con un'API di terze parti black-box, la visibilità su quello che accade davvero è limitata.

Governance dei dati. Il regolamento richiede che i dati di training siano "pertinenti, sufficientemente rappresentativi e, nella massima misura possibile, privi di errori." Usare un modello cloud general-purpose significa accettare i dati di addestramento scelti dal vendor — spesso senza alcuna scheda di conformità AI Act in vista.

Supervisione umana. I sistemi devono essere progettati in modo da consentire agli esseri umani di "supervisionarli efficacemente." È più difficile farlo quando non controlli lo stack di inferenza.

Obblighi per i modelli GPAI. I modelli AI general-purpose con rischio sistemico (grossomodo, quelli sopra i 10²⁵ FLOP) hanno obblighi specifici tra cui testing avversariale e segnalazione degli incidenti. Se costruisci prodotti su questi modelli, ne erediti una quota di rischio.

Il vantaggio dell'infrastruttura sovrana

Gestire la propria infrastruttura LLM all'interno dell'UE risolve molti di questi problemi in modo strutturale:

I tuoi audit trail sono i tuoi audit trail. EULLM Engine include logging integrato progettato per casi d'uso di compliance — controlli cosa viene registrato, conservato e rendicontato.
I dati non escono mai dal tuo perimetro. Nessun trasferimento transfrontaliero di dati significa nessun meccanismo GDPR articolo 46 di cui preoccuparsi.
Scegli tu il modello. EULLM Hub fornisce schede di conformità AI Act per ogni modello — sai esattamente cosa stai deployando e puoi giustificarlo a un'autorità di vigilanza.

Le scadenze da tenere d'occhio

| Data | Obbligo | |------|---------| | Feb 2025 | Entra in vigore il divieto sulle pratiche AI vietate | | Ago 2025 | Si applicano gli obblighi per i modelli GPAI | | Ago 2026 | Piena applicazione dei requisiti per i sistemi AI ad alto rischio | | Ago 2027 | Alcuni sistemi AI legacy devono mettersi in regola |

Se stai leggendo questo articolo nel 2026, la scadenza di agosto è vicina. È il momento di fare un audit del tuo stack AI e spostarti verso un'infrastruttura che controlli davvero.

EULLM è una piattaforma open-source per il deployment di AI sovrana e conforme al GDPR all'interno dell'UE. Vedi su GitHub.