EU AI Act e agenti AI: cosa devono fare i deployer

L'EU AI Act è il primo quadro normativo organico al mondo dedicato all'intelligenza artificiale. Per chi sta portando agenti AI in produzione — sistemi che non si limitano a rispondere, ma agiscono: prenotano, comprano, rispondono ai clienti, gestiscono flussi operativi — non è una questione astratta. È un insieme di obblighi concreti che, a seconda del ruolo, iniziano ad applicarsi in modo scaglionato già da ora.

In questo articolo vediamo cos'è l'EU AI Act, come funziona la sua timeline di applicazione, la differenza cruciale tra "provider" e "deployer", e quali obblighi ricadono su chi mette un agente AI al lavoro sotto la propria autorità.

Cos'è l'EU AI Act

L'EU AI Act è il Regolamento (UE) 2024/1689, entrato in vigore il 1 agosto 2024. Come regolamento europeo, si applica direttamente in tutti gli Stati membri, senza bisogno di recepimento nazionale. Il suo impianto è basato sul rischio: invece di trattare "l'AI" come un blocco unico, distingue i sistemi in base al livello di rischio che pongono per la salute, la sicurezza e i diritti fondamentali delle persone.

All'estremo più critico ci sono le pratiche vietate (Art. 5): usi dell'AI considerati inaccettabili. Poi ci sono i sistemi ad alto rischio (high-risk), soggetti agli obblighi più stringenti. Seguono i sistemi con obblighi di trasparenza (come i chatbot e i generatori di contenuti) e, all'estremità opposta, i sistemi a rischio minimo, sostanzialmente liberi. A questo si aggiunge un capitolo dedicato ai modelli di AI per finalità generali (GPAI), cioè i grandi modelli su cui si costruiscono molte applicazioni.

La timeline di applicazione

Il Regolamento non è entrato in vigore "tutto insieme". L'applicazione è scaglionata, e capire il calendario è il primo passo per non farsi trovare impreparati.

• Febbraio 2025 — Diventano applicabili i divieti sulle pratiche vietate (Art. 5). È la prima scadenza concreta.
• Agosto 2025 — Entrano in applicazione gli obblighi per i modelli GPAI e le disposizioni sulla governance.
• 2026 — Diventa applicabile gran parte degli obblighi per i sistemi ad alto rischio e degli obblighi di trasparenza (Art. 50).
• 2027 — Si applicano gli obblighi per i sistemi ad alto rischio legati a prodotti regolamentati.

Il punto chiave: se un'organizzazione aspetta l'ultima scadenza per iniziare, arriva tardi. Molti degli adempimenti — mappare i sistemi, classificarne il rischio, predisporre documentazione e supervisione — richiedono mesi, non giorni.

Provider e deployer: chi fa cosa

L'EU AI Act distingue due ruoli fondamentali, con obblighi diversi.

Il provider è chi sviluppa un sistema AI (o lo fa sviluppare) e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. È il costruttore del sistema.

Il deployer è chi utilizza un sistema AI sotto la propria autorità nell'ambito della propria attività. È l'organizzazione che prende un agente AI — sviluppato internamente o da terzi — e lo mette al lavoro nei propri processi.

La distinzione conta perché gli obblighi si distribuiscono in modo diverso. Il grosso degli obblighi tecnici di progettazione ricade sul provider. Ma i deployer non sono spettatori: hanno responsabilità proprie, che crescono soprattutto quando il sistema è ad alto rischio. E c'è un'insidia in più: in certe condizioni un deployer che modifica in modo sostanziale un sistema, o lo usa per finalità diverse, può assumere gli obblighi di un provider.

Dove si collocano gli agenti AI

Un agente AI non appartiene a una sola categoria: la sua collocazione dipende da cosa fa e dal contesto. Un agente che gestisce raccomandazioni a basso impatto può ricadere tra i sistemi a rischio minimo; lo stesso agente, applicato a un dominio sensibile, può rientrare tra i sistemi ad alto rischio. E quasi ogni agente conversazionale o generativo incrocia gli obblighi di trasparenza dell'Art. 50. Per questo il primo compito di un deployer non è "essere conforme in generale", ma classificare ciascun sistema: capire in quale fascia di rischio ricade determina quali obblighi si applicano.

Cosa ricade sui deployer di agenti AI

Per chi mette agenti AI in produzione, gli obblighi si concentrano su alcune aree. Vale la pena guardarle una per una.

Supervisione umana. L'Art. 14 richiede che i sistemi ad alto rischio siano progettati per consentire una supervisione umana efficace, proporzionata al rischio e al contesto, con l'obiettivo di prevenire o minimizzare i rischi per salute, sicurezza e diritti fondamentali. Per un deployer questo significa, in pratica, assicurarsi che ci sia sempre un punto in cui una persona può capire, verificare e — quando serve — fermare o correggere l'agente.

Trasparenza. L'Art. 50 impone che, quando un sistema AI interagisce con persone o genera o manipola contenuti, gli utenti siano informati in modo chiaro di trovarsi di fronte a un'AI o a contenuto generato artificialmente. Per un agente conversazionale o generativo, questo è un obbligo diretto e visibile.

Gestione del rischio. L'Art. 9 prevede, per i sistemi ad alto rischio, un sistema di gestione del rischio continuo e iterativo lungo tutto il ciclo di vita. Non è un adempimento una tantum: è un processo che accompagna il sistema dal disegno all'esercizio.

Documentazione. Attraversa tutti gli altri obblighi. Poter dimostrare cosa fa un sistema, come è stato valutato, quali controlli sono in atto e chi è responsabile della supervisione è ciò che trasforma le buone intenzioni in conformità verificabile.

Perché conviene prepararsi ora

Ci sono tre ragioni pratiche per non aspettare.

La prima è il calendario: come abbiamo visto, alcune scadenze sono già passate e altre arrivano nel 2026 e nel 2027. La preparazione richiede tempo.

La seconda è la complessità: mappare i sistemi AI in uso, classificarne il rischio e mettere in piedi supervisione e documentazione è un lavoro di mesi, che tocca più funzioni aziendali.

La terza è il valore intrinseco: gran parte di ciò che l'AI Act chiede — sapere cosa decide un agente, poterlo supervisionare, documentare le scelte — coincide con ciò che rende un deployment robusto a prescindere dalla norma. La conformità, ben impostata, non è un costo aggiuntivo: è ingegneria del rischio fatta bene.

Da dove iniziare

Tradurre tutto questo in pratica, per un deployer, significa procedere per passi. Il primo è l'inventario: sapere quali sistemi AI e quali agenti sono in uso, chi li ha forniti e per quali finalità. Non si può governare ciò che non si conosce.

Il secondo è la classificazione del rischio: per ciascun sistema, capire in quale fascia ricade e quali obblighi ne discendono. È il passaggio che determina tutto il resto: un sistema ad alto rischio attiva un ventaglio di adempimenti che un sistema a rischio minimo non richiede.

Il terzo è la progettazione dei controlli: dove inserire la supervisione umana, come mostrare la trasparenza all'utente, come organizzare la gestione del rischio lungo il ciclo di vita. Qui l'AI Act non chiede formalità astratte, ma meccanismi che funzionino davvero nel contesto operativo.

Il quarto, trasversale, è la documentazione: tenere traccia di scelte, valutazioni e responsabilità in modo che, se richiesto, si possa dimostrare cosa fa il sistema e come è tenuto sotto controllo. È il filo che tiene insieme tutti gli altri passi e che trasforma un insieme di buone pratiche in una posizione difendibile.

Nessuno di questi passi è un evento singolo: sono attività che si ripetono man mano che i sistemi cambiano, si aggiornano o cambiano finalità.

DAMM come layer di governance decisionale

Un agente AI in produzione prende decisioni. La sfida della supervisione e della documentazione è proprio questa: rendere quelle decisioni leggibili, controllabili e — quando serve — fermabili. È qui che un framework decisionale come DAMM può aiutare, come layer di governance tra l'agente e l'azione: valuta ogni decisione a rischio, la documenta e la instrada verso una revisione umana quando è fragile.

Attenzione a non fraintendere: DAMM aiuta a soddisfare requisiti specifici — soprattutto quelli legati alla supervisione umana e alla tracciabilità delle decisioni — ma non "rende conforme" un'organizzazione all'intero AI Act, che richiede adempimenti tecnici, organizzativi e legali molto più ampi. Se vuoi capire meglio come mappare questi requisiti, la nostra guida all'EU AI Act per chi mette agenti AI in produzione approfondisce il tema, mentre la pagina dedicata agli agenti AI mostra come integrare il layer decisionale nel ciclo dell'agente.

*Questo articolo ha scopo puramente informativo e non costituisce consulenza legale.*