L’AI Act per startup ridefinisce il perimetro della responsabilità legale per chiunque sviluppi o utilizzi sistemi di intelligenza artificiale nell’Unione Europea, con effetti già operativi dal 2 febbraio 2025, non da una data futura.
Di fatto, il Regolamento UE 2024/1689 si applica indipendentemente dalle dimensioni aziendali: una startup di tre persone che usa un tool AI per la selezione del personale è soggetta agli stessi obblighi di una multinazionale nel medesimo settore.
Il Regolamento UE 2024/1689: origini, finalità e ambito di applicazione
Il Regolamento UE 2024/1689 è il primo atto legislativo al mondo a disciplinare in modo sistematico i sistemi di intelligenza artificiale. Pubblicato in Gazzetta Ufficiale UE il 12 luglio 2024 ed entrato in vigore il 1° agosto 2024, adotta un approccio basato sul rischio: gli obblighi si modulano in funzione del livello di pericolosità potenziale per i diritti fondamentali. Sotto questo profilo, è direttamente applicabile in tutti gli Stati membri senza recepimento nazionale, estendendo gli effetti a qualsiasi soggetto i cui sistemi siano destinati al mercato europeo.
L’AI Act e le startup: chi rientra nel perimetro normativo
Il Regolamento si applica a fornitori, deployer, importatori e distributori di sistemi AI. Nello specifico, le startup rientrano esplicitamente nell’ambito soggettivo: l’Art. 99(6) riconosce un principio di proporzionalità nelle sanzioni, senza escluderle dagli obblighi sostanziali. Fanno eccezione, tuttavia, i soli sistemi sviluppati per ricerca scientifica.
Il quadro delle scadenze: Digital Omnibus e date operative
Il Regolamento prevede un’applicazione progressiva modificata dall’iter del Digital Omnibus. A tale proposito, il 26 marzo 2026, il Parlamento europeo ha approvato con 569 voti favorevoli la propria posizione. Successivamente, il 7 maggio 2026, Parlamento e Consiglio UE hanno raggiunto un accordo provvisorio in attesa di adozione formale entro il 2 agosto 2026.
Le scadenze AI Act che le startup non possono ignorare
| Scadenza | Obbligo normativo | Stato |
|---|---|---|
| 2 febbraio 2025 | Divieto sistemi a rischio inaccettabile (Art. 5) | In vigore |
| 2 agosto 2025 | Obblighi modelli AI per uso generale, GPAI | In vigore |
| 2 agosto 2026 | Trasparenza chatbot e contenuti AI generativi (Art. 50) | Confermato |
| 2 dicembre 2026 | Watermarking machine-readable per contenuti AI | Rinvio Digital Omnibus |
| 2 dicembre 2027 | Sistemi ad alto rischio – Allegato III | Rinvio Digital Omnibus |
| 2 agosto 2028 | Sistemi ad alto rischio – Allegato I | Rinvio Digital Omnibus |
Va evidenziato, tuttavia, che il rinvio riguarda esclusivamente i sistemi degli Allegati I e III. Di conseguenza, gli obblighi dell’Art. 50 e i divieti dell’Art. 5 rimangono pienamente operativi.
Gli obblighi AI Act per startup: provider, deployer e livelli di rischio
La corretta qualificazione del proprio ruolo è il primo adempimento cui ogni startup è chiamata. Il provider sviluppa un sistema AI e lo immette sul mercato: documentazione tecnica, valutazione di conformità e iscrizione nel database europeo. Il deployer, per contro, utilizza un sistema AI preesistente: supervisione umana, formazione del personale ai sensi dell’Art. 4 e conservazione dei log per almeno sei mesi nel caso di sistemi ad alto rischio.
A tale distinzione si aggiunge la tassonomia a quattro livelli adottata dal Regolamento:
| Livello di rischio | Esempi per startup | Regime normativo |
|---|---|---|
| Inaccettabile | Social scoring, manipolazione cognitiva | Divieto assoluto, in vigore dal 2 febbraio 2025 |
| Alto rischio | Software HR, scoring creditizio, sistemi educativi | Documentazione tecnica, conformità, registro EU (→ 2027) |
| Rischio limitato | Chatbot, contenuti generativi, deepfake | Trasparenza obbligatoria, da agosto 2026 |
| Rischio minimo | Filtri antispam, motori di raccomandazione | Nessun obbligo specifico oltre all’Art. 4 |
Il ruolo duale delle startup AI-native
Una startup che integra automazioni AI nei propri workflow è deployer verso i fornitori di quei tool; la medesima startup che commercializza un prodotto AI verso terzi è provider verso il mercato. Gli obblighi si cumulano, non si escludono. In particolare, il fine-tuning di un modello preesistente, qualora il sistema venga commercializzato, determina lo status di provider con pieni effetti normativi. A tal fine, chi ha già strutturato la propria compliance GDPR come startup dispone di una base metodologica direttamente applicabile.
I rischi concreti per le startup: sanzioni, responsabilità e trappole normative
I rischi dell’AI Act per startup si articolano su tre livelli.
Rischio sanzionatorio. Tre fasce: fino a €35 milioni o al 7% del fatturato globale per la violazione dei divieti dell’Art. 5; fino a €15 milioni o al 3% per gli obblighi sui sistemi ad alto rischio; fino a €7,5 milioni o all’1% per informazioni false alle autorità con l’Art. 99(6) che applica sempre il valore minore per PMI e startup.
A questi si aggiunge il rischio operativo. Le autorità possono ordinare il ritiro del prodotto dal mercato o la sospensione del sistema non conforme: per una startup il cui prodotto coincide con il sistema AI, questo scenario è più distruttivo di qualsiasi sanzione pecuniaria. A ciò si somma la responsabilità aggravata in caso di danno causato da un sistema non conforme, che deteriora ulteriormente la posizione legale.
Vi è infine il cambio di ruolo inconsapevole, la trappola più sottovalutata nell’ecosistema startup. Si pensi, ad esempio, agli agenti AI per startup B2B che operano in processi HR o scoring creditizio: ricadono nell’Allegato III indipendentemente dalle dimensioni. In tale ipotesi, distribuire a un terzo un tool di pre-screening sviluppato internamente trasforma il deployer in provider con obblighi radicalmente diversi, spesso senza che la transizione venga percepita.
Il rischio di esclusione dai finanziamenti pubblici
Occorre considerare, inoltre, che i cambiamenti agli incentivi fiscali per startup innovative e la maggior parte dei bandi PNRR con componenti AI richiedono la conformità come requisito implicito di ammissibilità, anche in assenza di sanzioni dirette.
Le opportunità AI Act per startup: sandbox, bandi e posizionamento
L’AI Act genera anche opportunità strutturali per le startup che anticipano la compliance.
Sandbox regolamentare con accesso prioritario. In questa direzione, l’Art. 57 impone a ogni Stato membro di istituire uno spazio di sperimentazione normativa entro il 2 agosto 2026. A tal fine, l’Italia ha istituito lo Spazio di sperimentazione per l’IA, vigilato da AgID e ACN (designata autorità nazionale con la Legge 132 del 10 ottobre 2025), con accesso prioritario per PMI e startup. Quest’ultimo consente di sviluppare sistemi AI in ambiente controllato ricevendo orientamenti regolatori durante la sperimentazione, e produce un exit report come evidenza di conformità verso clienti e investitori.
Vantaggio competitivo B2B e nella due diligence. Parallelamente, i clienti corporate europei includono la conformità AI Act nei propri programmi di vendor due diligence: una startup conforme accede a contratti enterprise preclusi ai competitor. Sul fronte degli investitori, la governance AI documentata è diventata criterio di valutazione nelle procedure di due diligence di VC e investitori istituzionali. In questo senso, costruire una startup innovativa nel 2026 significa integrare questo asse fin dalle fondamenta.
La sandbox AI Act: un percorso guidato per startup
Va precisato che l’adesione non sospende gli obblighi già in vigore, ma costruire la compliance durante lo sviluppo costa strutturalmente meno che correggerla a prodotto lanciato con costi di adeguamento ex post stimati tra €15.000 e €80.000 per sistemi ad alto rischio.
In sintesi
- Il Regolamento UE 2024/1689 è direttamente applicabile dal 1° agosto 2024; gli obblighi di trasparenza (Art. 50) sono confermati dal 2 agosto 2026 indipendentemente dall’iter del Digital Omnibus
- Il Digital Omnibus (accordo provvisorio del 7 maggio 2026) rinvia i sistemi ad alto rischio al 2 dicembre 2027, ma non elimina i rischi già operativi
- La qualificazione come provider o deployer, o entrambi, è il primo adempimento: da essa dipende l’intero regime di obblighi, sanzioni e responsabilità
- I rischi concreti comprendono sanzioni fino a €35M/7% del fatturato, ritiro del prodotto, responsabilità aggravata e cambio di ruolo inconsapevole
- La sandbox italiana (AgID + ACN) e il vantaggio competitivo in sede di due diligence rappresentano opportunità strutturali per chi anticipa la compliance
FAQ
Il Regolamento si applica anche alle startup in fase pre-revenue? Sì. L’AI Act non introduce distinzioni basate sul fatturato o sullo stadio di sviluppo: si applica a qualsiasi soggetto che sviluppi o utilizzi sistemi AI destinati al mercato europeo. Il principio di proporzionalità di cui all’Art. 99(6) incide sull’entità delle sanzioni, non sull’applicabilità degli obblighi sostanziali.
Il fine-tuning di un modello preesistente modifica lo status giuridico della startup? Sì. Ai sensi del Regolamento, il soggetto che apporta una modifica sostanziale a un sistema AI preesistente, inclusa la personalizzazione mediante fine-tuning per un caso d’uso specifico e lo immette sul mercato, assume lo status di provider con piena applicazione degli obblighi connessi: documentazione tecnica, valutazione di conformità e iscrizione nel database europeo.
La conformità all’AI Act è richiesta per accedere ai bandi pubblici europei? Non è un requisito esplicito in tutti i bandi, ma rappresenta un requisito implicito di ammissibilità nella maggior parte dei finanziamenti PNRR e dei programmi europei con componenti AI. Una startup non conforme può essere esclusa dalla valutazione indipendentemente dalla qualità tecnica del progetto.
Conclusione
In definitiva, la conformità al Regolamento UE 2024/1689 è una variabile di posizionamento strategico con effetti immediati su sanzioni, accesso ai mercati, finanza agevolata e credibilità verso gli investitori. Concretamente, il percorso parte dalla mappatura dei sistemi in uso, dalla qualificazione del proprio ruolo e dalla valutazione del livello di rischio. Per questo, se stai costruendo una startup in questo scenario, Lancia la tua startup è il programma di Peekaboo che accompagna i founder dall’idea all’esecuzione incluso il quadro normativo
