Il regolamento (UE) 2024/1689 diventa applicabile in via generale fra tredici giorni, ma gli obblighi sui sistemi ad alto rischio, pricing vita e salute compreso, sono stati spostati di oltre un anno. Che cosa resta in capo a compagnie e intermediari assicurativi, e perché il testo che dispone il rinvio deve ancora arrivare in Gazzetta ufficiale.
Il 2 agosto 2026 è la data che l’articolo 113 del regolamento (UE) 2024/1689 indica come termine generale di applicazione dell’AI Act. Da quel giorno diventano operativi gli obblighi di trasparenza dell’articolo 50 e le autorità nazionali di sorveglianza del mercato iniziano, secondo la Commissione, a supervisionare anche l’articolo 4 sull’alfabetizzazione in materia di IA. Non scattano invece gli obblighi sui sistemi ad alto rischio dell’Allegato III, quelli che toccano la sottoscrizione vita e malattia: sono stati rinviati. La distinzione cambia il perimetro di ciò che va presidiato adesso.
Un calendario riscritto a giugno, non ancora in vigore
Il rinvio arriva dal regolamento di semplificazione dell’AI Act, proposto dalla Commissione nel novembre 2025, votato dal Parlamento europeo il 16 giugno e adottato in via definitiva dal Consiglio il 29 giugno 2026. Gli obblighi per i sistemi ad alto rischio dell’Allegato III, quelli stand-alone, passano dal 2 agosto 2026 al 2 dicembre 2027, mentre quelli relativi ai sistemi integrati come componente di sicurezza di prodotti già regolati dall’Allegato I passano dal 2 agosto 2027 al 2 agosto 2028. L’articolo 50 non è stato prorogato e resta al 2 agosto 2026.
Quel regolamento però è stato firmato l’8 luglio e al 20 luglio non è ancora pubblicato nella Gazzetta ufficiale dell’Unione europea. L’entrata in vigore è fissata al terzo giorno successivo alla pubblicazione, quindi finché il passaggio non avviene il calendario giuridicamente vigente resta quello originario. La pubblicazione è attesa in tempo utile, ma chi sta costruendo un piano di adeguamento conta le date da un atto pubblicato.
L’unica riga dell’Allegato III che nomina l’assicurazione
Nell’elenco dei sistemi ad alto rischio il settore compare una volta sola. Nel testo oggi vigente il punto 5 lettera c) qualifica come tali i sistemi di IA “destinati a essere utilizzati per la valutazione dei rischi e la determinazione dei prezzi in relazione a persone fisiche nel caso di assicurazioni sulla vita e assicurazioni sanitarie”. Il perimetro è quindi pricing e valutazione del rischio, cioè attività della compagnia, o dell’intermediario soltanto quando esercita delega di sottoscrizione. Un broker che usa strumenti di IA nell’attività di intermediazione non entra in quella casella per il solo fatto di usarli.
La lettera precedente riguarda il settore più da vicino di quanto sembri. Il punto 5 lettera b) classifica ad alto rischio i sistemi che valutano l’affidabilità creditizia o il merito di credito delle persone fisiche, ma esclude espressamente quelli utilizzati “allo scopo di individuare frodi finanziarie”. L’antifrode resta quindi fuori dalla categoria per esclusione testuale.
Fornitori e deployer: chi risponde di che cosa nell’articolo 50
I paragrafi 1 e 2 dell’articolo 50 sono indirizzati ai fornitori. Il paragrafo 1 impone che i sistemi destinati a interagire direttamente con le persone fisiche siano progettati in modo che l’interessato sappia di trovarsi davanti a un sistema di IA, salvo che ciò risulti evidente a una persona ragionevolmente informata, attenta e avveduta. Il paragrafo 2 riguarda la marcatura degli output sintetici (audio, immagini, video e testo) in formato leggibile meccanicamente, con esclusione delle funzioni di assistenza per l’editing standard.
Gli obblighi posti direttamente sul deployer sono altri due. Il paragrafo 3 riguarda l’informativa alle persone esposte a riconoscimento delle emozioni o categorizzazione biometrica. Il paragrafo 4 impone di rendere noti i deep fake e, per i testi pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico, di rivelarne la natura artificiale, con esenzione quando il contenuto è passato per un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica ne detiene la responsabilità editoriale. Il paragrafo 5 impone che l’informazione sia data in maniera chiara e distinguibile al più tardi al momento della prima interazione o esposizione.
Ne discende che l’avviso “stai parlando con un sistema di IA” grava sul fornitore del chatbot, non, di per sé, sull’intermediario che lo adotta. Il paragrafo 6 va però letto insieme: i paragrafi da 1 a 4 lasciano impregiudicati gli altri obblighi di trasparenza stabiliti dal diritto dell’Unione o nazionale in capo ai deployer. Per la distribuzione assicurativa quegli obblighi esistono già e si chiamano IDD. Correttezza dell’informativa precontrattuale e coerenza della raccomandazione personalizzata non cambiano natura perché una parte del percorso passa da un modello linguistico.
L’alfabetizzazione non è una novità di agosto
L’articolo 4 è applicabile dal 2 febbraio 2025, insieme al resto del capo I e alle pratiche vietate dell’articolo 5. Chiede a fornitori e deployer di adottare misure per garantire “nella misura del possibile” un livello sufficiente di alfabetizzazione del proprio personale e di chiunque si occupi del funzionamento e dell’utilizzo dei sistemi per loro conto, tenendo conto di conoscenze tecniche, esperienza, formazione e contesto d’uso. Quel temperamento è nel testo: obbligo di misure proporzionate, non di risultato.
Le FAQ dell’Ufficio IA della Commissione hanno delimitato il campo. Non serve alcuna certificazione, non è obbligatorio nominare un AI officer né costruire una governance dedicata, la documentazione è in forma libera (per esempio registri interni di formazioni e iniziative) e non esiste un obbligo di misurare il livello raggiunto. Il riferimento a chi opera i sistemi “per conto” dell’organizzazione estende però il perimetro a contractor, fornitori di servizi e clienti, il che per una struttura distributiva che lavora con collaboratori esterni non è marginale. Dal 2 agosto 2026, sempre secondo la Commissione, le autorità nazionali di sorveglianza del mercato avviano supervisione ed enforcement.
Sanzioni e architettura italiana
L’articolo 99 gradua le sanzioni su tre livelli: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo totale per le pratiche vietate, fino a 15 milioni o al 3% per la violazione degli obblighi degli operatori (deployer inclusi, articolo 50 incluso), fino a 7,5 milioni o all’1% per informazioni inesatte, incomplete o fuorvianti fornite alle autorità. Per PMI e start-up si applica il valore inferiore fra percentuale e importo fisso, non il superiore, il che per una società di brokeraggio che rientri nella definizione di PMI sposta il riferimento sul parametro percentuale.
Sul piano nazionale, la legge 23 settembre 2025 n. 132 ha posto le deleghe e il Consiglio dei ministri del 10 giugno 2026 ha approvato in via preliminare due schemi di decreto attuativo, ora all’esame delle commissioni parlamentari. Ad AgID va il ruolo di autorità di notifica, ad ACN la vigilanza del mercato e il punto di contatto unico verso l’Unione. Fra le autorità coinvolte il testo cita anche Banca d’Italia, CONSOB, IVASS e Garante privacy.
Sull’uso effettivo degli strumenti esiste una sola rilevazione recente. La survey EIOPA del 2 febbraio 2026, condotta su 347 imprese di assicurazione in 25 paesi, indica che quasi due terzi usano attivamente la GenAI, con il 64% dei casi d’uso in back-office. La rilevazione riguarda le imprese e non gli intermediari, e sul lato distributivo dati comparabili non risultano disponibili.
Il rinvio dell’Allegato III sposta al dicembre 2027, e al 2028 per i sistemi integrati nei prodotti, la parte più onerosa dell’adeguamento, e lascia in campo per il 2 agosto un nucleo più ristretto ma già esigibile. Presidiarlo richiede prima di tutto un inventario: quali strumenti di IA sono in uso, chi li fornisce e a che titolo. Da quella mappa dipendono sia la ripartizione degli obblighi dell’articolo 50 lungo la catena, sia l’ampiezza del perimetro su cui si misura l’alfabetizzazione, che comprende anche i collaboratori esterni.
