AI Act in Europe and Italy: the first global regulation on Artificial Intelligence

At the highest level are the unacceptable risk systems, considered incompatible with core European values, and therefore banned without exception: real-time facial recognition in public spaces, social scoring systems of individuals by public authorities, and the psychological manipulation of behavior without people's knowledge. 

Fig 1-2-3-4: Classification of AI systems. 

Source: https://www.aiactitalia.it/cosae-ai-act.html

Immediately below are the high-risk systems, those that can have a significant impact on rights and safety. This category includes AI-based recruitment tools, systems used for granting credit, and those applied in educational, healthcare, or judicial contexts. For those who develop or use them, the regulation sets out precise obligations: transparency toward users, mandatory human oversight, technical documentation, and accuracy testing. This is the category that most closely affects the majority of organizations: many tools that seem like normal management software fall into this category, often without the knowledge of those who adopted them.

Il quadro però è in movimento. Il 7 maggio 2026, con l’accordo provvisorio sul cosiddetto Digital Omnibus, the European Parliament and the Council have pushed back the stricter deadlines: the obligations for standalone high-risk systems are postponed to December 2, 2027; those for systems integrated into regulated products are postponed to August 2, 2028. The official rationale is pragmatic: in the absence of definitive technical standards and fully operational national authorities, applying the rules by August 2026 would have resulted in formal compliance that was substantially unmanageable. 

Going down further, there are the limited risk systems. Ma il perimetro degli obblighi di trasparenza è più ampio di quanto si pensi. A maggio 2026, la Commissione europea ha pubblicato la bozza delle Linee guida sull’art. 50 dell’AI Act, con scadenza applicativa fissata al 2 dicembre 2026: gli obblighi riguardano anche chi genera contenuti sintetici, testi, audio, immagini, video, che devono essere marcati in modo leggibile da macchina e riconoscibili nella loro origine artificiale. Chi usa sistemi di riconoscimento emotivo o categorizzazione biometrica deve informare le persone esposte. Chi pubblica testi generati da AI su questioni di interesse pubblico deve dichiararne la provenienza, a meno che non ci sia una revisione editoriale umana sostanziale e un centro imputabile di responsabilità. Non è una questione tecnica: è una questione di integrità dell’informazione, e tocca già oggi chi produce contenuti, chi gestisce comunicazioni istituzionali e chi usa strumenti AI per interagire con il pubblico.

All’ultimo livello, quello a minimal risk, there are antispam filters, music recommendation systems, and machine translators. 

L’Italia e la Legge 132/2025

L’Italia è tra i primi paesi europei ad aver adottato una legge nazionale di attuazione dell’Intelligenza Artificiale: la Legge 132/2025, entrata in vigore il 10 ottobre 2025. È un segnale di posizionamento politico non scontato, che vale la pena notare, soprattutto considerando la tradizionale lentezza del nostro Paese nell’adeguamento normativo europeo.

The law identifies the authorities responsible for supervision. 

L’AgID (Agenzia per l’Italia Digitale) e l’ACN (Agenzia per la Cybersicurezza Nazionale) sono le autorità principali, affiancate da autorità settoriali già esistenti: il Garante Privacy, la Banca d’Italia, l’AGCOM, (Autorità per le Garanzie nelle Comunicazioni) e L’AGCM Italian Competition Authority, each competent in its own domain. 

This distributed model reflects the complexity of the Italian institutional fabric, with the advantages of sector-specific specialization and the tangible risks of fragmentation in overall supervision. 

Un elemento distintivo rispetto ad altri recepimenti europei è l’attenzione esplicita alle professioni intellettuali e al loro rapporto con l’AI. È un riconoscimento importante: il cambiamento non riguarda solo le fabbriche o i centri di calcolo, ma i medici, gli avvocati, i consulenti, i formatori, chiunque lavori con la conoscenza come materia prima del proprio lavoro.

Le sanzioni previste dal Regolamento UE sono significative: fino a 35 milioni di euro o il 7% del fatturato globale per le violazioni più gravi. Un numero pensato per le grandi piattaforme tecnologiche, certo, ma che segnala con chiarezza la serietà con cui l’Europa intende far rispettare le proprie regole.

The critical issues in the implementation of’AI Act

Discussing the critical issues in the implementation of European AI legislation means keeping three levels distinct, which in public conversation are often conflated with unhelpful results.

The critical issue related to compliance: le organizzazioni che non si adeguano in tempo rischiano sanzioni, ma soprattutto l’esclusione da gare pubbliche e da mercati regolamentati dove la conformità normativa diventa un requisito d’accesso.

Then the structural issue. Le imprese italiane sono in ritardo nell’adozione di tecnologie avanzate come l’AI, e questo vale sia per la comprensione degli strumenti in uso sia per la capacità di governarli. Adeguarsi alla norma sulla carta non risolve il problema alla base: serve costruire una competenza interna che oggi, in molte organizzazioni, semplicemente non esiste. Una policy aggiornata e un responsabile nominato non equivalgono a un’organizzazione che sa davvero cosa sta usando e perché.

The cultural risk è il più sottile, e probabilmente il più rilevante sul lungo periodo. La tendenza italiana a trattare la normativa come un adempimento burocratico da assorbire con il minimo sforzo possibile, rischia di trasformare l’AI Act in un’occasione mancata. Si aggiorna il sito, si organizza un webinar, si mette una firma su un documento: la mindset however, does not change the organization.

C’è poi un trade-off che vale la pena nominare esplicitamente. 

On May 7, 2026, the European Parliament and the Council reached an agreement on the so-called Digital Omnibus: un pacchetto di modifiche all’AI Act che sposta in avanti le scadenze per i sistemi ad alto rischio, con l’obiettivo dichiarato di dare alle imprese più tempo per adeguarsi. Le industrie lo hanno accolto come un sollievo. Diverse organizzazioni per i diritti digitali, invece, hanno segnalato il problema: i sistemi ad alto rischio, come quelli che valutano i lavoratori, profilano gli studenti o usano dati biometrici, come abbiamo visto, non sono vietati dall’AI Act, ma sono soggetti a obblighi precisi di trasparenza e supervisione umana. Posticipare di un anno e mezzo gli obblighi di tutela in settori che toccano direttamente lavoro, istruzione e dati personali non è una semplice ricalendarizzazione. Nel frattempo, quelle garanzie vengono a mancare.

The opportunities related to’AI Act

C’è però un’altra faccia di questo quadro. Chi non si ferma alla compliance e tratta l’AI Act as a change process and not as a compliance task to be absorbed, it will reap tangible benefits.

Trust, legal certainty, and social impact

Il primo vantaggio riguarda la fiducia. In un mercato in cui l’AI viene usata spesso senza trasparenza né consapevolezza, un’organizzazione che dimostra di gestirla in modo responsabile costruisce credibilità verso clienti, partner istituzionali e talenti. Questo vale anche a livello di sistema: quando i cittadini si fidano delle tecnologie che li riguardano, le adottano più facilmente. La cosiddetta Trustworthy AI, un’intelligenza artificiale affidabile, trasparente, rispettosa dei diritti fondamentali, è una condizione che favorisce una diffusione più ampia e sostenibile dell’AI nel mercato europeo. 

Regole armonizzate a livello europeo evitano, inoltre, che ogni Stato membro sviluppi un quadro normativo proprio, con il rischio di frammentare il mercato interno: per le imprese che operano in più Paesi, sapere che le stesse regole valgono ovunque nell’Unione riduce i costi di adeguamento e facilita la circolazione di prodotti e servizi basati sull’AI. 

Un’AI sviluppata con criteri di trasparenza e responsabilità produce, infine, ricadute concrete su settori ad alto impatto sociale come sanità, istruzione, gestione delle infrastrutture.

New roles and skills

L’AI ridisegna i processi organizzativi e crea nuove traiettorie professionali concrete. I sistemi ad alto rischio devono essere supervisionati da persone fisiche con le competenze e l’autorità per interpretarne gli output e, se necessario, interromperli. Questo obbligo sta già producendo effetti: nel settore finanziario italiano, circa un terzo degli intermediari, come riportato from the’Bank of Italy Fintech Survey, has established dedicated structures for the governance dell’AI, con professionisti inquadrati in comitati o centri di competenza specifici. 

Nella pubblica amministrazione, la Strategia Nazionale prevede l’acquisizione di figure con responsabilità diretta sull’uso dell’AI in ciascuna amministrazione. Accanto alla governance, crescono le funzioni di controllo: auditor dei dati e dei modelli, specialisti del monitoraggio in esercizio, valutatori dell’impatto sui diritti fondamentali. Non sono ruoli tecnici nel senso tradizionale, richiedono competenze trasversali, capacità di leggere sia i processi organizzativi sia i comportamenti degli algoritmi, e la capacità di intercettare derive come bias o discriminazioni prima che producano danni reputazionali o sanzionatori. 

The international competitive advantage

L’Europa non sta solo scrivendo regole sull’AI: sta usando quelle regole come strumento di politica estera e competitività economica. Per le organizzazioni italiane che si adeguano, questo si traduce in vantaggi concreti.

The first one concerns the trust degli investitori. In un mercato globale dove molti Paesi non hanno ancora una normativa organica sull’AI, avere un quadro giuridico stabile e verificabile è un vantaggio: chi investe o costruisce partnership internazionali preferisce contesti in cui le regole sono chiare e i rischi legali prevedibili. Un’impresa italiana che opera nel rispetto dell’AI Act you can use this compliance as a commercial argument with foreign partners.

The second effect is what legal scholars call extraterritoriality. L’AI Act non si applica solo alle imprese europee: chiunque voglia vendere prodotti o servizi basati sull’AI nell’Unione deve rispettarne le regole, indipendentemente da dove ha sede. I grandi operatori tecnologici americani, cinesi o di qualsiasi altra provenienza, se vogliono accedere al mercato europeo, devono adeguarsi agli standard europei di trasparenza e sicurezza. 

The third effect concerns l’autonomia. I modelli di AI più potenti oggi sono sviluppati quasi tutti fuori dall’Europa. Ogni modello incorpora scelte: su quali dati è stato addestrato, quali valori privilegia, quali bias riproduce. Usare tecnologie sviluppate altrove senza governarle attivamente significa accettare anche quelle scelte. L’AI Act it forces organizations to understand what they use and how, and it is precisely this awareness that makes it possible to maintain control over their decision-making processes, instead of delegating it.

Il quarto effetto è diplomatico. Essere stati i primi al mondo ad adottare un regolamento organico sull’AI dà all’Europa un peso nei tavoli internazionali che altri non hanno ancora. Per le imprese italiane, operare in un contesto che sta diventando uno standard internazionale significa essere già posizionate correttamente quando quei mercati si apriranno.

AI training as a strategic investment

L AI Act prevede all’articolo 4 un obbligo esplicito di alfabetizzazione sull’intelligenza artificiale. With Digital Omnibus of May 2026, this obligation has been transferred to the Member States: it is no longer a direct responsibility of those who develop or distribute AI systems, but a public policy lever that each country must activate autonomously. 

Per l’Italia, che nella 2024 Report on the State of the Digital Decade It ranked among the second-to-last European countries in terms of basic digital skills, with only 45.8% of the population possessing the minimum required skills, compared to a European average of 55.6% (2023 data); this shift in responsibility makes it even more urgent and strategic to invest in training real, ongoing, and anchored in work contexts.

What is particularly needed is training that builds critical thinking rispetto agli strumenti che si usano, che coinvolga attivamente chi deve poi applicare i contenuti nel proprio contesto di lavoro, con le sue specificità, i suoi vincoli, le sue domande reali. Approcci come l’experiential learning, simulation and work on concrete cases are not secondary methodological details: they are the difference between training that leaves a mark and training that vanishes as soon as the browser window is closed.

The question we asked ourselves in Flowerista it is this: how do you build an internal competence that isn't just regulatory updating, but real change in the way of working with technology? In response, we have developed the pathways of AI Adoption, pensati per costruire nelle organizzazioni una base comune di comprensione, con l’obiettivo di mettere le persone in condizione di usare l’AI meglio, e insieme.

L’AI Act Explorer 

For those who want to understand what the Regulation entails for their own situation, Anna Iorio, co-founder of Flowerista, ha sviluppato l’AI Act Explorer, uno strumento gratuito di autovalutazione della conformità all’AI Act that helps organizations, SMEs, professionals, and public entities identify the risk level of the AI systems used and the applicable regulatory obligations.

Get your free check and receive a downloadable report: AI Act Explorer

Before compliance

L’AI Act it is not yet fully operational in all of its articles, and the most stringent deadlines have been moved to 2027 and 2028 with the Digital Omnibus. Il tempo c’è, ma costruire competenze interne reali richiede mesi, e chi aspetta l’ultima scadenza per cominciare sarà già in ritardo.

La conformità all’AI Act, if approached seriously, does not just mean avoiding penalties, but is also and above all a process of organizational maturation.

The training è il nodo centrale di tutto questo. Quella che funziona costruisce una base comune di comprensione e cambia il modo in cui le persone lavorano con la tecnologia ogni giorno. È lì che si decide se l’AI Act diventa un adempimento o un’opportunità.

La domanda più utile che chi guida un’organizzazione può porsi oggi non è “siamo a norma?”, ma “sappiamo cosa stiamo usando, perché lo stiamo usando, e siamo in grado di usarlo in modo responsabile?”.

Key Takeaways

• L’ AI Act (EU Regulation 2024/1689) è il primo quadro normativo globale dedicato all’intelligenza artificiale e applica obblighi proporzionati al livello di rischio dei sistemi AI.
• AI systems are classified into four categories: unacceptable risk, high risk, limited risk, and minimal risk.
• Organizations using high-risk AI systems must ensure transparency, human oversight, technical documentation, and risk management.
• In Italy Law 132/2025 entrusts supervision mainly to AgID e ACN, with the support of the competent sectoral authorities.
• The penalties provided for can reach up to 35 million euros or 7% of annual global revenue for the most serious violations.
• Oltre alla compliance, l’AI Act rappresenta un’opportunità per rafforzare fiducia, governance e utilizzo responsabile dell’intelligenza artificiale.