Il regolamento sull'IA per un team di otto.

Quasi tutta la guidance sul regolamento sull'IA è scritta per organizzazioni che hanno una funzione compliance. Se siete in otto e uno di voi se ne occupa tra uno sprint e l'altro, la domanda utile non è «che cosa richiede il regolamento» - è qual è la posizione difendibile più piccola che posso tenere, e quanto in fretta ci arrivo. Di solito: circa un giorno.

La risposta breve per la maggior parte delle start-up: sei un deployer, oppure il fornitore di un sistema a rischio limitato o minimo, devi tre obblighi in vigore che si sbrigano in un pomeriggio, e il materiale spaventoso del capo III non ti riguarda. Il lavoro è metterlo per iscritto - perché «abbiamo guardato, questa è la nostra posizione, con la data» è quello che investitori e acquirenti enterprise chiedono davvero.

Ti si applica, poi?

Se i tuoi utenti sono nell'UE, sì - ovunque tu sia costituito. L'articolo 2 raggiunge i fornitori stabiliti ovunque quando l'output è usato nell'Unione. Una C-corp del Delaware che vende a Berlino rientra. E così una società britannica con clienti nell'UE.

Quello che non significa è che si applichi ogni obbligo. Ambito di applicazione e livello di rischio sono domande diverse, e confonderle è l'errore più diffuso tra le start-up.

I tre che sono in vigore proprio adesso

È tutto qui il carico in vigore per una start-up tipica. Sanzionabile dal 2 agosto 2026 - non rinviato dall'omnibus, qualunque cosa abbiano scritto i titoli.

Le due domande che decidono tutto il resto

1. Sei fornitore o deployer? L'hai costruito e spedito con il tuo nome → fornitore di quel sistema. Hai preso in licenza quello di qualcun altro e lo usi → deployer. Molti team rispondono «fornitore» perché hanno scritto del codice, mentre il sistema di IA in sé è in licenza. Sbagliare qui significa prendersi gli obblighi di un altro. Il test completo.

2. Qualcosa di quello che spedisci valuta una persona? È questo il bivio. Assegnare punteggi, ordinare, selezionare o fare previsioni su persone fisiche - per il lavoro, il credito, l'istruzione, i servizi essenziali - ti mette nell'allegato III, e la profilazione chiude l'uscita dell'articolo 6(3). Tutto il resto è quasi certamente a rischio limitato o minimo.

Costruire su GPT o Claude non ti rende fornitore GPAI. Uso dell'API, prompt e fine-tuning leggero lasciano l'articolo 53 al fornitore del modello. ChatGPT / API di OpenAI · Dove passa la linea.

Le cifre delle sanzioni, corrette

Vedrai citati ovunque 35 M€ / 7%. Quel livello vale per le pratiche vietate dell'articolo 5, e per le PMI e le start-up l'articolo 99(6) applica il minore dei due - l'importo fisso o la percentuale - non il maggiore. Con 2 M€ di fatturato, il massimale per una violazione dell'articolo 50 è all'incirca 60.000 €, non 15 M€. Quasi tutte le sintesi pubblicate lo raccontano al contrario. I tre livelli.

Perché i founder finiscono per farlo comunque

Raramente perché ha chiamato un'autorità. Di solito perché:

• L'ha chiesto l'ufficio acquisti di un cliente enterprise. «Posizione sull'AI Act disponibile su richiesta» sta diventando in sordina un filtro, e una security review impantanata costa più del lavoro.
• L'ha chiesto la due diligence. Una domanda normativa senza risposta in una data room è uno sconto.
• L'ha chiesto il DPO di un cliente, e la tua risposta deve essere un documento, non un messaggio su Slack.

In tutti e tre i casi il risultato da consegnare è lo stesso: una posizione scritta, motivata e datata che nomina il tuo prodotto. È esattamente questo un report delle lacune (in English) (in inglese), ed è il motivo per cui il livello gratuito si ferma al livello di rischio: il livello risponde alla tua domanda, il documento risponde alla loro.

Un giorno, all'incirca

• Elenca le tue funzionalità di IA e chi tocca ciascuna
• Fai la verifica gratuita per ogni funzionalità che tocca delle persone
• Aggiungi la riga di dichiarazione dell'IA a tutto ciò che conversa - questa settimana, è diritto in vigore
• Tieni e verbalizza una sessione di alfabetizzazione in materia di IA
• Metti per iscritto il tuo ruolo e il tuo livello di rischio per ciascun sistema, con il ragionamento e la data
• Solo se qualcosa rientra davvero nell'allegato III: avvia adesso il programma del capo III, perché la valutazione della conformità richiede 12-18 mesi e dicembre 2027 è più vicino di quanto sembri

Domande frequenti

Il regolamento sull'IA si applica alle start-up fuori dall'UE?

Sì, se i tuoi utenti sono nell'UE. L'articolo 2 raggiunge i fornitori stabiliti ovunque quando l'output del sistema è usato nell'Unione. Una società del Delaware che vende a Berlino rientra, e così una società britannica con clienti nell'UE. Rientrare nell'ambito di applicazione non è la stessa cosa che vedersi applicare ogni obbligo.

Che cosa deve fare davvero una start-up in questo momento?

Tre cose, tutte sanzionabili dal 2 agosto 2026: la dichiarazione dell'articolo 50 su tutto ciò che è rivolto agli utenti e conversa, una sessione di alfabetizzazione in materia di IA ai sensi dell'articolo 4 messa a verbale e una verifica ai sensi dell'articolo 5 che niente di quello che fai girare sia vietato del tutto. Per una start-up tipica il carico in vigore è tutto qui.

Le start-up sono esentate dal regolamento sull'IA?

No. Non esiste un'esenzione per le start-up. Quello che esiste è la proporzionalità: l'articolo 99(6) applica alle PMI e alle start-up il minore fra la sanzione fissa e la percentuale del fatturato, e la maggior parte degli obblighi morde solo se il tuo sistema è davvero ad alto rischio.

A quanto ammontano le sanzioni del regolamento sull'IA per una start-up?

Per le PMI e le start-up si applica il minore fra l'importo fisso e la percentuale del fatturato mondiale - l'inverso della regola per le grandi imprese. Con 2 M€ di fatturato il massimale per una violazione dell'articolo 50 è all'incirca 60.000 €, non 15 M€.

Perché a una start-up serve una valutazione sul regolamento sull'IA?

Di solito non perché ha chiamato un'autorità. È l'ufficio acquisti di un cliente enterprise che la chiede, la due diligence che la chiede o il DPO di un cliente che la chiede - e in ciascun caso il risultato da consegnare è una posizione scritta, motivata e datata che nomina il tuo prodotto, non un messaggio su Slack.

Il regolamento sull'IA si applica alle aziende fuori dall'UE?

Spesso sì. L'articolo 2 raggiunge i fornitori a prescindere da dove sono stabiliti, e raggiunge fornitori e deployer in paesi terzi quando l'output prodotto dal sistema di IA è usato nell'Unione. Una società statunitense o britannica con utenti nell'UE di norma rientra - anche se rientrare non è la stessa cosa che essere ad alto rischio.