L'AI Act, il regolamento (UE) 2024/1689 sull'intelligenza artificiale (IA), non si ferma al confine: un'impresa svizzera vi è soggetta non appena immette un sistema di IA sul mercato dell'Unione europea (UE) o quando i risultati del suo sistema vi sono utilizzati. Il testo si applica dal 2 agosto 2026, ma le sue norme sull'IA ad alto rischio sono state rinviate al 2 dicembre 2027 e al 2 agosto 2028. La Svizzera segue un'altra via, quella della convenzione del Consiglio d'Europa, con una consultazione prevista nella primavera 2027.

Il diritto svizzero in preparazione è illustrato nella nostra pagina sulla regolamentazione dell'IA in Svizzera.

Cifre chiave

  • 4 livelli di rischio: inaccettabile, alto, trasparenza, minimo o nullo.
  • 9 pratiche di IA vietate, di cui 8 dal 2 febbraio 2025.
  • 2 dicembre 2027: norme per l'IA ad alto rischio nei settori sensibili (allegato III).
  • 2 agosto 2028: norme per l'IA ad alto rischio integrata in prodotti regolamentati (allegato I).
  • 35 milioni di euro o 7% del fatturato annuo mondiale: sanzione massima per una pratica vietata.
  • Primavera 2027: apertura prevista della consultazione sulle norme svizzere.

Quando un'impresa svizzera rientra nell'AI Act?

Il criterio non è la sede, ma il mercato a cui ci si rivolge e l'uso dei risultati. L'articolo 2 del regolamento, consolidato al 27 luglio 2026 dal servizio di assistenza della Commissione europea, riguarda in particolare:

  • i fornitori che immettono sul mercato o mettono in servizio un sistema di IA nell'UE, o vi immettono un modello di IA per finalità generali, indipendentemente dal fatto che siano stabiliti nell'UE o in un Paese terzo;
  • i fornitori e i deployer stabiliti in un Paese terzo, quando l'output prodotto dal sistema di IA è utilizzato nell'UE;
  • i deployer stabiliti o situati nell'UE;
  • gli importatori, i distributori e i rappresentanti autorizzati dei fornitori non stabiliti nell'UE.

Il fornitore immette il sistema sul mercato o lo mette in servizio; il deployer lo utilizza nella propria attività. Secondo il considerando 22, la norma sui risultati impedisce che un operatore europeo aggiri il testo affidando un compito ad alto rischio a un prestatore al di fuori dell'UE.

Sono esclusi l'uso puramente personale, la sola ricerca scientifica e gli usi esclusivamente militari o di difesa. Lo sono anche i software liberi, salvo se sono ad alto rischio, vietati o soggetti agli obblighi di trasparenza.

La nostra analisi: un'impresa svizzera senza clienti, senza utenti e senza risultati sfruttati nell'UE resta fuori dal campo di applicazione. Al contrario, un produttore svizzero di software che vende un software di selezione dei CV a reclutatori in Francia sarebbe fornitore di un sistema ad alto rischio, poiché la Commissione colloca questo caso tra gli usi ad alto rischio.

Come classifica i rischi l'AI Act?

Il regolamento riguarda usi precisi, classificati in quattro livelli. La tabella riprende gli esempi della pagina della Commissione dedicata alla legislazione sull'IA.

LivelloEsempi citati dalla CommissioneConseguenza
InaccettabilePunteggio sociale, riconoscimento delle emozioni sul luogo di lavoro e a scuola, estrazione non mirata di immagini per il riconoscimento facciale, applicazioni di «nudificazione»Vietato
AltoSelezione dei CV, valutazione del merito creditizio, valutazione degli esami, componenti di sicurezza di infrastrutture critiche, chirurgia assistita da robotObblighi rigorosi prima dell'immissione sul mercato
TrasparenzaChatbot, contenuti generati dall'IA, deepfakeInformare, rendere identificabile, etichettare
Minimo o nulloFiltri antispam, videogiochi dotati di IANessuna nuova norma

Secondo la Commissione, la grande maggioranza dei sistemi di IA utilizzati nell'UE rientra nel rischio minimo. I modelli di IA per finalità generali, che fungono da base per numerosi sistemi, hanno proprie norme in materia di trasparenza e di diritto d'autore.

Qual è il calendario di applicazione dopo l'omnibus digitale?

Il regolamento è entrato in vigore il 1° agosto 2024 e si applica per tappe. Il calendario è stato modificato dal regolamento (UE) 2026/1744 dell'8 luglio 2026, detto «pacchetto omnibus digitale sull'IA», pubblicato nella Gazzetta ufficiale dell'UE il 24 luglio 2026.

DataChe cosa si applica
2 febbraio 2025Pratiche vietate (le prime otto) e alfabetizzazione in materia di IA
2 agosto 2025Governance e norme per i modelli di IA per finalità generali
2 agosto 2026Applicazione generale, comprese le norme di trasparenza; controllo da parte dell'Ufficio per l'IA e delle autorità nazionali
Dicembre 2026Nono divieto: contenuti intimi non consensuali e materiale pedopornografico generati dall'IA
2 dicembre 2027IA ad alto rischio nei settori sensibili (allegato III): biometria, infrastrutture critiche, istruzione, occupazione, migrazione
2 agosto 2028IA ad alto rischio integrata in prodotti come ascensori o giocattoli (allegato I)

Secondo la Commissione, l'omnibus è stato proposto il 19 novembre 2025, è stato oggetto di un accordo politico il 7 maggio 2026 ed è entrato in vigore il 27 luglio 2026. I suoi considerando invocano il ritardo delle norme tecniche e delle autorità nazionali. Un esempio datato: il 19 ottobre 2026 la Commissione ha annunciato la pubblicazione nella Gazzetta ufficiale della prima norma armonizzata a sostegno del regolamento.

Il rinvio sposta le scadenze senza sopprimere alcun obbligo. Secondo la Commissione, le norme si applicheranno quando le imprese disporranno degli strumenti necessari, come le norme tecniche.

Fornitore o deployer: quali obblighi?

Il fornitore di un sistema ad alto rischio sostiene la maggior parte degli obblighi. Prima dell'immissione sul mercato, la Commissione ne cita sette:

  • un sistema di valutazione e di attenuazione dei rischi;
  • set di dati di alta qualità, per limitare i risultati discriminatori;
  • la registrazione dell'attività, per tracciare i risultati;
  • una documentazione dettagliata, affinché le autorità valutino la conformità;
  • informazioni chiare per il deployer;
  • misure di sorveglianza umana appropriate;
  • un livello elevato di robustezza, cibersicurezza e accuratezza.

Dopo l'immissione sul mercato, il fornitore mantiene un sistema di monitoraggio. Il deployer garantisce la sorveglianza umana e il monitoraggio del sistema. Entrambi segnalano gli incidenti gravi e i malfunzionamenti. Il regolamento riguarda anche i rappresentanti autorizzati dei fornitori stabiliti al di fuori dell'UE; i loro obblighi figurano all'articolo 22.

La trasparenza tocca un pubblico più ampio. Una persona deve sapere che sta interagendo con un chatbot. I fornitori di IA generativa rendono identificabili i contenuti. I deepfake e i testi pubblicati per informare il pubblico su questioni di interesse pubblico devono essere etichettati.

L'articolo 4 imponeva a tutti i fornitori e deployer di garantire l'alfabetizzazione in materia di IA del proprio personale. L'omnibus lo attenua: ora devono adottare misure per promuoverla, dato che secondo i suoi considerando l'obbligo iniziale pesava soprattutto sulle piccole imprese.

L'omnibus estende inoltre alle piccole imprese a media capitalizzazione le agevolazioni previste per le piccole e medie imprese (PMI), tra cui una documentazione tecnica semplificata. L'AI Act non sostituisce il regolamento generale sulla protezione dei dati (RGPD), che il suo articolo 2 lascia intatto. In Svizzera, l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha ricordato il 24 settembre 2025 che la nLPD si applica direttamente ai trattamenti di dati che fanno ricorso all'IA.

Quali sanzioni rischia un'impresa?

Gli Stati membri dell'UE stabiliscono le sanzioni, entro i limiti dell'articolo 99 del regolamento. I massimali sono i seguenti:

  • pratica vietata: fino a 35 milioni di euro o 7% del fatturato annuo mondiale, considerando l'importo più elevato;
  • violazione degli obblighi di fornitori, rappresentanti autorizzati, importatori, distributori, deployer o delle norme di trasparenza: fino a 15 milioni di euro o 3%;
  • informazioni inesatte o fuorvianti fornite alle autorità: fino a 7,5 milioni di euro o 1%.

Per una PMI o una start-up, il massimale è l'importo più basso dei due. Dopo l'omnibus, questa regola vale anche per le piccole imprese a media capitalizzazione, salvo per le pratiche vietate.

La Svizzera riprenderà l'AI Act?

Nulla lo indica nelle decisioni pubblicate. Secondo l'Ufficio federale di giustizia (UFG), la Svizzera non dispone per il momento di alcuna legislazione specifica sull'IA. Il 12 febbraio 2025 il Consiglio federale ha deciso di ratificare la convenzione sull'IA del Consiglio d'Europa e ha incaricato il Dipartimento federale di giustizia e polizia (DFGP) di elaborare un avamprogetto di norme entro la fine del 2026.

Nel suo comunicato del 28 ottobre 2026, il Consiglio federale indica che l'UFG sta preparando le misure vincolanti: trasparenza, protezione dei dati, non discriminazione, vigilanza e valutazione dei rischi. L'apertura della consultazione è ora prevista nella primavera 2027. Si tratta di un progetto: nessun nuovo obbligo si applica ancora a questo titolo alle imprese in Svizzera.

L'Ufficio federale delle comunicazioni (UFCOM) coordina le misure non vincolanti. La sua guida aiuta associazioni e imprese a redigere un codice sull'IA, con moduli su dieci temi e tre livelli di dettaglio.

L'UE ha ratificato questa convenzione quadro (STCE n. 225) il 15 maggio 2026, secondo il Consiglio d'Europa. La nostra analisi: l'UE dispone in più di un regolamento dettagliato, l'AI Act, mentre la Svizzera prepara misure mirate. Un'impresa attiva su entrambi i fronti seguirà quindi due quadri distinti, che la nostra rubrica sul quadro legale dell'IA segue.

Che cosa deve fare fin d'ora un'impresa svizzera?

La nostra analisi, sulla base dei testi citati:

  • inventariare i sistemi di IA sviluppati, venduti o utilizzati i cui risultati servono nell'UE, e il proprio ruolo per ciascuno;
  • classificare ogni uso secondo i quattro livelli ed escludere qualsiasi pratica vietata;
  • applicare la trasparenza e formare il personale interessato;
  • per un sistema ad alto rischio venduto nell'UE, preparare la gestione dei rischi, la documentazione e la registrazione prima del 2 dicembre 2027 o del 2 agosto 2028, e verificare gli obblighi legati al rappresentante autorizzato (articolo 22);
  • seguire la consultazione svizzera annunciata per la primavera 2027.

Il patto per l'IA della Commissione, volontario, invita i fornitori e i deployer «d'Europa e di altri Paesi» a conformarsi ai principali obblighi del testo.

Che cosa non si sa ancora

  • Il contenuto dell'avamprogetto svizzero: il Consiglio federale ne ha pubblicato solo i temi, e la consultazione non è aperta.
  • La modalità che la Svizzera sceglierà per applicare la convenzione al settore privato, che il Consiglio federale non ha ancora precisato.

Fonti