Articolo 2: a chi si applica l'AI Act

Pubblicata il

Copertina: articolo 2 dell'AI Act
Immagine generata con AI

Chi è dentro il perimetro del regolamento? È la domanda a cui risponde, da sola, questa norma, l'articolo 2 dell'AI Act (Regolamento UE 2024/1689). La risposta breve per un professionista: se usi un sistema di AI nel corso della tua attività, sei dentro come deployer (paragrafo 1, lettera b) — a meno che tu non rientri in una delle esclusioni dei paragrafi 3-12, la più rilevante delle quali è l'uso puramente personale e non professionale (paragrafo 10), che però non copre l'attività di studio.

L’AI Act riguarda chi usa l’AI per lavoro, non solo chi la produce o la vende. L’articolo 2 dice chi è dentro e chi è fuori. Per uno studio professionale contano soprattutto due punti: il paragrafo 1, che elenca chi è dentro, e il paragrafo 10, che esclude l’uso personale.

Chi è dentro l’AI Act, in pratica?

Non serve produrre AI per essere nel perimetro del regolamento: basta usarla nel corso della propria attività professionale, come deployer (articolo 2, paragrafo 1, lettera b, dell’AI Act). L’errore più comune è pensare che l’AI Act riguardi solo chi vende software — riguarda anche chi lo utilizza per lavoro.

Se uso lo strumento solo io, personalmente, per organizzarmi il lavoro, l’AI Act mi riguarda?

La domanda “ma se lo strumento lo uso solo io, personalmente, per organizzarmi il lavoro?” torna spesso, e la risposta è sempre la stessa: l’AI Act esclude l’uso non professionale puramente personale — come le vacanze o la lista della spesa (paragrafo 10 dell’articolo 2 dell’AI Act). Qualunque altro uso, legato all’attività professionale, anche il più marginale, resta dentro. Non esiste una soglia di minima gravità sotto la quale l’attività professionale “non conta”.

Cosa non dice l’articolo 2 dell’AI Act?

Non è la sede in cui trovare le definizioni di fornitore/deployer (quelle sono nell’articolo 3, punti 3 e 4, dell’AI Act) né la classificazione dell’alto rischio (quella è nell’articolo 6 dell’AI Act): questo articolo risponde solo a “il regolamento si applica a me”, non a “cosa devo fare”.

Domande frequenti

Se uso l’AI solo per me stesso, come titolare, senza coinvolgere lo studio, sono escluso?

No: l’esclusione copre solo l’uso non professionale puramente personale, mai l’attività di uno studio anche a titolo individuale (paragrafo 10 dell’articolo 2 dell’AI Act).

Un software open source è sempre escluso dall’AI Act?

No: l’esenzione cade se il sistema è ad alto rischio o rientra negli articoli 5 o 50 dell’AI Act — paragrafo 12 dell’articolo 2.

Cosa cambia con l’Omnibus digitale sull’IA — il Regolamento (UE) 2026/1744, che ha modificato l’AI Act a luglio 2026 — in questo articolo?

Due paragrafi riscritti (2 e 7, rinvii tra articoli aggiornati) e uno nuovo (13, limitazione degli obblighi per certi sistemi ad alto rischio della prima porta) — nessuno dei tre tocca il perimetro base di chi è “dentro” il regolamento.

Paragrafo 1

Il presente regolamento si applica: a) ai fornitori che immettono sul mercato o mettono in servizio sistemi di IA o immettono sul mercato modelli di IA per finalità generali nell'Unione, indipendentemente dal fatto che siano stabiliti o ubicati nell'Unione o in un paese terzo; b) ai deployer dei sistemi di IA che hanno il loro luogo di stabilimento o sono situati all'interno dell'Unione; c) ai fornitori e ai deployer di sistemi di IA che hanno il loro luogo di stabilimento o sono situati in un paese terzo, laddove l'output prodotto dal sistema di IA sia utilizzato nell'Unione; d) agli importatori e ai distributori di sistemi di IA; e) ai fabbricanti di prodotti che immettono sul mercato o mettono in servizio un sistema di IA insieme al loro prodotto e con il loro nome o marchio; f) ai rappresentanti autorizzati di fornitori, non stabiliti nell'Unione; g) alle persone interessate che si trovano nell'Unione.

In pratica

Per la generalità degli studi professionali conta una sola delle sette lettere: la b), deployer stabiliti nell'Unione. Non serve produrre o vendere AI per essere dentro il regolamento — basta usarla nel corso della propria attività professionale. La lettera g) è il rovescio della medaglia: anche chi subisce l'uso di un sistema (un cliente, un candidato) è "dentro" il regolamento, come persona interessata, non come obbligato.

Paragrafo 2

Ai sistemi di IA classificati come ad alto rischio ai sensi dell'articolo 6, paragrafo 1, relativo a prodotti disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione B, si applicano unicamente l'articolo 6, paragrafo 1, l'articolo 60 bis e gli articoli da 102 a 112. Gli articoli 57, 58 e 59 si applicano solo nella misura in cui i requisiti per i sistemi di IA ad alto rischio a norma del presente regolamento siano stati integrati in tale normativa di armonizzazione dell'Unione.

In pratica

Un regime ristretto per prodotti già regolati da normative di armonizzazione "di vecchio tipo" (Allegato I, sezione B — es. alcuni veicoli, imbarcazioni): si applicano solo pochi articoli elencati, non l'intero regolamento. Materia di chi fabbrica questi prodotti, non di chi li usa in uno studio.

Paragrafo 3

Il presente regolamento non si applica a settori che non rientrano nell'ambito di applicazione del diritto dell'Unione e, in ogni caso, non pregiudica le competenze degli Stati membri in materia di sicurezza nazionale, indipendentemente dal tipo di entità incaricata dagli Stati membri di svolgere compiti in relazione a tali competenze. Il presente regolamento non si applica ai sistemi di IA se e nella misura in cui sono immessi sul mercato, messi in servizio o utilizzati con o senza modifiche esclusivamente per scopi militari, di difesa o di sicurezza nazionale, indipendentemente dal tipo di entità che svolge tali attività. Il presente regolamento non si applica ai sistemi di IA che non sono immessi sul mercato o messi in servizio nell'Unione, qualora l'output sia utilizzato nell'Unione esclusivamente per scopi militari, di difesa o di sicurezza nazionale, indipendentemente dal tipo di entità che svolge tali attività.

In pratica

Esclusione ampia per sicurezza nazionale, difesa e militare — non pertinente per uno studio professionale civile.

Paragrafo 4

Il presente regolamento non si applica alle autorità pubbliche di un paese terzo né alle organizzazioni internazionali che rientrano nell'ambito di applicazione del presente regolamento a norma del paragrafo 1, laddove tali autorità o organizzazioni utilizzino i sistemi di IA nel quadro della cooperazione o di accordi internazionali per la cooperazione delle autorità di contrasto e giudiziarie con l'Unione o con uno o più Stati membri, a condizione che tale paese terzo o organizzazione internazionale fornisca garanzie adeguate per quanto riguarda la protezione dei diritti e delle libertà fondamentali delle persone.

In pratica

Esclusione per la cooperazione internazionale tra autorità di contrasto e giudiziarie — non pertinente per un professionista privato.

Paragrafo 5

Il presente regolamento non pregiudica l'applicazione delle disposizioni sulla responsabilità dei prestatori di servizi intermediari di cui al capo II del regolamento (UE) 2022/2065.

In pratica

Coordinamento con il Digital Services Act sulla responsabilità degli intermediari online — materia di chi gestisce piattaforme, non di chi le usa.

Paragrafo 6

Il presente regolamento non si applica ai sistemi di IA o modelli di IA, ivi compresi i loro output, specificamente sviluppati e messi in servizio al solo scopo di ricerca e sviluppo scientifici.

In pratica

Esclusione per la ricerca scientifica pura — non copre l'uso di uno strumento di AI per il lavoro quotidiano di uno studio, anche se lo studio fa anche formazione o divulgazione.

Paragrafo 7

Il diritto dell'Unione in materia di protezione dei dati personali, della vita privata e della riservatezza delle comunicazioni si applica ai dati personali trattati in relazione ai diritti e agli obblighi stabiliti dal presente regolamento. Il presente regolamento lascia impregiudicati il regolamento (UE) 2016/679 o (UE) 2018/1725 o la direttiva 2002/58/CE o (UE) 2016/680, fatti salvi gli articoli 4 bis e 59 del presente regolamento.

In pratica

Il punto che chiude ogni dubbio su una possibile scappatoia: l'AI Act non sostituisce il GDPR, si aggiunge. Le due eccezioni esplicite (art. 4a dell'AI Act sul trattamento di categorie particolari di dati per correggere le distorsioni, e art. 59 dell'AI Act sugli spazi di sperimentazione normativa) sono le uniche in cui l'AI Act prevale in un punto specifico — per tutto il resto, il GDPR resta la cornice di riferimento invariata.

Paragrafo 8

Il presente regolamento non si applica alle attività di ricerca, prova o sviluppo relative a sistemi di IA o modelli di IA prima della loro immissione sul mercato o messa in servizio. Tali attività sono svolte in conformità del diritto dell'Unione applicabile. Le prove in condizioni reali non rientrano in tale esclusione.

In pratica

Esclusione per la fase di sviluppo pre-mercato — non copre le prove in condizioni reali, che restano soggette al regolamento. Materia di chi sviluppa sistemi di AI.

Paragrafo 9

Il presente regolamento lascia impregiudicate le norme stabilite da altri atti giuridici dell'Unione in materia di protezione dei consumatori e di sicurezza dei prodotti.

In pratica

Clausola di non sovrapposizione con il diritto dei consumatori e la sicurezza dei prodotti: restano entrambi applicabili per intero.

Paragrafo 10

Il presente regolamento non si applica agli obblighi dei deployer che sono persone fisiche che utilizzano sistemi di IA nel corso di un'attività non professionale puramente personale.

In pratica

L'unica esclusione che genera confusione reale: copre solo l'uso personale, non professionale — un privato che usa un assistente AI per organizzare le proprie vacanze. Non copre in nessun caso l'uso di uno strumento di AI nell'attività di uno studio professionale, nemmeno se il titolare lo usa in prima persona: l'attività professionale è, per definizione, esclusa da questa esclusione.

Paragrafo 11

Il presente regolamento non osta a che l'Unione o gli Stati membri mantengano o introducano disposizioni legislative, regolamentari o amministrative più favorevoli ai lavoratori in termini di tutela dei loro diritti in relazione all'uso dei sistemi di IA da parte dei datori di lavoro, o incoraggino o consentano l'applicazione di contratti collettivi più favorevoli ai lavoratori.

In pratica

Sul fronte lavoro, l'AI Act è un pavimento, non un soffitto: uno Stato membro o un contratto collettivo può dare ai lavoratori tutele maggiori di quelle previste qui, mai minori.

Paragrafo 12

Il presente regolamento non si applica ai sistemi di IA rilasciati con licenza libera e open source, a meno che non siano immessi sul mercato o messi in servizio come sistemi di IA ad alto rischio o come sistema di IA rientrante nell'ambito di applicazione dell'articolo 5 o 50.

In pratica

L'esenzione open source non è mai assoluta: cade appena il sistema è ad alto rischio, o rientra nei divieti dell'art. 5 dell'AI Act, o negli obblighi di trasparenza dell'art. 50 dell'AI Act. Uno strumento open source usato per lo screening dei curriculum (Allegato III) non è esente per il solo fatto di essere open source.

Paragrafo 13

Per i sistemi di IA ad alto rischio di cui all'articolo 6, paragrafo 1, l'applicazione dei requisiti o degli obblighi specifici di cui agli articoli da 9 a 15 e da 17 a 25 può essere limitata se e nella misura in cui: a) la normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, stabilisce requisiti o obblighi che garantiscono un livello equivalente o superiore di protezione della salute, della sicurezza o dei diritti fondamentali a quello del requisito o dell'obbligo in questione; e b) tale limitazione non riduce il livello complessivo di protezione previsto dal presente regolamento. Entro il 2 agosto 2027 la Commissione adotta atti delegati conformemente all'articolo 97 al fine di integrare il presente regolamento specificando i sistemi di IA ad alto rischio interessati, i requisiti o gli obblighi che possono essere limitati, le condizioni alle quali si applica tale limitazione e la portata della stessa.

In pratica

L'Omnibus ha inserito un paragrafo interamente nuovo sulla semplificazione degli obblighi del capo III. Vale per i sistemi ad alto rischio della prima porta dell'art. 6 dell'AI Act (prodotti già regolati), quando una normativa di armonizzazione già garantisce un livello di protezione equivalente — con un atto delegato della Commissione atteso entro il 2 agosto 2027 a specificare i dettagli. Riguarda la prima porta (prodotti), non la seconda (Allegato III): non tocca direttamente lo screening del personale o altri usi elencati nell'Allegato III.

Il testo previgente, per confronto

La versione precedente all'Reg. UE 2026/1744, prima della riscrittura commentata qui sopra.

Paragrafo 2. Ai sistemi di IA classificati come ad alto rischio ai sensi dell'articolo 6, paragrafo 1, relativo a prodotti disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione B, si applicano unicamente l'articolo 6, paragrafo 1, gli articoli da 102 a 109 e l'articolo 112. L'articolo 57 si applica solo nella misura in cui i requisiti per i sistemi di IA ad alto rischio a norma del presente regolamento siano stati integrati in tale normativa di armonizzazione dell'Unione.
Paragrafo 7. Il diritto dell'Unione in materia di protezione dei dati personali, della vita privata e della riservatezza delle comunicazioni si applica ai dati personali trattati in relazione ai diritti e agli obblighi stabiliti dal presente regolamento. Il presente regolamento lascia impregiudicati il regolamento (UE) 2016/679 o (UE) 2018/1725 o la direttiva 2002/58/CE o (UE) 2016/680, fatti salvi l'articolo 10, paragrafo 5, e l'articolo 59 del presente regolamento.

Testo verificato su EUR-Lex il 18 settembre 2026.