Il 2 agosto 2026 segna la scadenza più importante del regolamento europeo sull'IA: da quella data si applica la parte principale degli obblighi. Dopo i divieti di determinate pratiche (in vigore da febbraio 2025) e le regole per i modelli di IA per finalità generali (da agosto 2025), valgono ora in particolare i requisiti per i sistemi ad alto rischio dell'allegato III e gli obblighi di trasparenza per determinate applicazioni. Per i sistemi ad alto rischio integrati in prodotti regolamentati dell'allegato I la transizione dura fino ad agosto 2027.
Il punto decisivo per le imprese svizzere: il regolamento non riguarda solo gli attori stabiliti nell'UE. È coperto chi immette sistemi di IA sul mercato UE o li mette in servizio nell'UE, così come chi gestisce un sistema i cui risultati sono destinati a essere usati nell'UE. Un produttore di software zurighese con clienti in Germania rientra, come un'impresa industriale che fornisce analisi assistite dall'IA a una controllata europea.
Gli obblighi variano molto secondo il ruolo. I fornitori portano il carico principale: gestione dei rischi, qualità dei dati, documentazione tecnica, registrazioni, sorveglianza umana, robustezza e valutazione della conformità. I deployer devono tra l'altro usare i sistemi secondo destinazione, controllare i dati di input, conservare i log e in certi casi informare le persone interessate. L'impresa svizzera che porta sistemi nell'UE con il proprio nome scivola rapidamente nel ruolo di fornitore, anche se la tecnologia è acquistata.
Le sanzioni sono pesanti: a seconda della violazione, le multe possono raggiungere 35 milioni di euro o il sette per cento del fatturato mondiale. Più importante nella pratica: i clienti UE chiedono sempre più prove di conformità in gare e contratti. Senza documentazione si perdono incarichi molto prima che un'autorità intervenga.
Per le prossime settimane significa: primo, un inventario completo di tutti i sistemi di IA usati e offerti, incluse le funzioni integrate nel software standard. Secondo, per ogni sistema determinare classe di rischio e proprio ruolo. Terzo, un'analisi degli scostamenti rispetto agli obblighi applicabili, con responsabili e scadenze. Quarto, rivedere i contratti con fornitori di IA e clienti UE: garanzie, doveri di cooperazione, responsabilità.
Il diritto svizzero resta applicabile in parallelo: la LPD disciplina ogni trattamento di dati personali tramite IA, e il Consiglio federale ha scelto un approccio normativo settoriale allineato alla Convenzione del Consiglio d'Europa sull'IA. Chi attua correttamente gli obblighi europei ha già sotto controllo gran parte dei requisiti svizzeri.
Il nostro check IA fornisce in pochi minuti un primo quadro strutturato. Per l'analisi approfondita di singoli sistemi e per i contratti vi accompagniamo volentieri personalmente.
