AI Act UE dopo agosto 2026: a che cosa devono conformarsi ora le aziende di moda

Dal 2 agosto 2026 l'AI Act UE si applica in larga parte, quindi un'azienda di moda che usa l'IA nell'UE deve già rispettare i divieti sulle pratiche vietate, sostenere l'alfabetizzazione in materia di IA del personale e soddisfare le regole di trasparenza dell'articolo 50 per chatbot e contenuti sintetici. Gli obblighi più pesanti, quelli per i sistemi ad alto rischio come l'IA usata nelle assunzioni, sono stati posticipati dall'AI Omnibus al 2 dicembre 2027. La lettura sensata per la moda è: meno urgenza sulla documentazione per l'alto rischio, nessun rinvio su trasparenza e governance.

Che cosa è cambiato ad agosto 2026?

L'AI Act (regolamento (UE) 2024/1689) è entrato in vigore il 1° agosto 2024 e si applica gradualmente nell'arco di diversi anni. Secondo la Commissione europea, le pratiche vietate e gli obblighi di alfabetizzazione in materia di IA si applicano dal 2 febbraio 2025, le norme sulla governance e gli obblighi per i modelli di IA per finalità generali (GPAI) dal 2 agosto 2025, e il regolamento è diventato ampiamente applicabile il 2 agosto 2026, comprese le norme sulla trasparenza e l'applicazione da parte dell'Ufficio per l'IA e delle autorità nazionali.

Parallelamente, l'UE ha modificato il regolamento. L'AI Omnibus, pubblicato come regolamento (UE) 2026/1744 nella Gazzetta ufficiale il 24 luglio 2026, è entrato in vigore il 27 luglio 2026, secondo White & Case. Ha posticipato i requisiti per l'alto rischio del capo III, ha aggiunto nuovi divieti per l'IA che genera materiale pedopornografico o immagini intime non consensuali e ha esteso la documentazione semplificata dalle PMI alle small mid-cap.

Quali usi dell'IA nella moda rientrano in quale livello di rischio?

Il regolamento classifica l'IA in base al rischio. La Commissione osserva che la maggior parte dei sistemi di IA in uso rientra nella categoria a rischio minimo, senza norme specifiche. Per un brand o un retailer tipico, ciò copre gran parte di previsione della domanda, pianificazione dell'assortimento, arricchimento dei dati di prodotto e ranking della ricerca. Gli obblighi incidono in tre ambiti: pratiche vietate, usi elencati come ad alto rischio e sistemi che fanno scattare obblighi di trasparenza.

• Vietato: pratiche vietate dall'articolo 5, come il social scoring, lo scraping non mirato di immagini facciali e il riconoscimento delle emozioni sul luogo di lavoro.
• Alto rischio (allegato III): usi in ambiti come l'occupazione (ad esempio recruiting e gestione del personale) e l'accesso a servizi essenziali, soggetti a obblighi di gestione del rischio, qualità dei dati, documentazione e sorveglianza umana.
• Trasparenza (articolo 50): chatbot rivolti ai clienti, immagini, video, audio e testi generati dall'IA, deepfake e riconoscimento delle emozioni o categorizzazione biometrica applicati ai clienti.
• Rischio minimo: la maggior parte degli strumenti di pianificazione, previsione e produttività interna, soggetti al GDPR e al diritto generale.

Leggi anche

Governance dell'IA per le aziende di moda: un punto di partenza pragmatico

Che cosa dovrebbe esserci oggi nella checklist?

L'elenco seguente riflette obblighi già in vigore o che lo saranno entro pochi mesi. Presuppone che l'azienda sia prevalentemente un deployer (un utilizzatore di sistemi di IA sviluppati da altri), che è la posizione abituale di brand e retailer.

1. Creare un inventario dell'IA. Elencare ogni sistema di IA in uso, comprese le funzionalità integrate nei software di e-commerce, PIM, HR e marketing, con un responsabile e una finalità prevista.
2. Verificare le pratiche vietate. Confrontare le funzionalità di personalizzazione, pricing e persuasione con i divieti dell'articolo 5 e accertarsi che nessuno strumento sul luogo di lavoro deduca le emozioni dei dipendenti.
3. Documentare le misure di alfabetizzazione in materia di IA. L'Omnibus ha attenuato l'articolo 4 trasformandolo in un obbligo di adottare misure che sostengano l'alfabetizzazione in materia di IA; la Commissione afferma che è sufficiente una registrazione interna della formazione e non serve alcun certificato.
4. Dichiarare i chatbot. I clienti devono essere informati che stanno interagendo con un'IA, al più tardi al momento della prima interazione, salvo che ciò sia evidente.
5. Etichettare i deepfake. Immagini o video che somigliano a persone, luoghi o eventi reali e che potrebbero apparire autentici devono essere dichiarati dal deployer, con un regime più leggero per le opere chiaramente creative.
6. Chiedere ai fornitori della marcatura. I fornitori di strumenti generativi devono marcare gli output in modo leggibile dalle macchine; i sistemi già sul mercato hanno tempo fino al 2 dicembre 2026.
7. Mappare i possibili sistemi ad alto rischio. Identificare fin da ora i sistemi HR e quelli legati al credito, perché gli obblighi per l'alto rischio, compresa la sorveglianza umana, arrivano il 2 dicembre 2027.
8. Assegnare le responsabilità. Nominare un responsabile a livello dirigenziale e decidere chi approva i nuovi casi d'uso dell'IA.

Quando un brand di moda diventa fornitore di IA?

La maggior parte dei brand acquista IA. Ai sensi dell'articolo 25, però, un deployer diventa fornitore di un sistema ad alto rischio se vi appone il proprio nome o marchio, vi apporta una modifica sostanziale o cambia la finalità prevista di un sistema in modo tale che diventi ad alto rischio. Un retailer che adatta un modello per finalità generali trasformandolo in un proprio strumento di screening dei candidati, ad esempio, assumerebbe gli obblighi del fornitore a partire da dicembre 2027.

Quanto sono elevate le sanzioni?

L'articolo 99 stabilisce le sanzioni massime. Le violazioni dei divieti possono essere sanzionate fino a 35 milioni di euro o al 7% del fatturato mondiale annuo totale, se superiore. Le violazioni di altri obblighi, compresi esplicitamente gli obblighi dei deployer ai sensi dell'articolo 26 e quelli di trasparenza ai sensi dell'articolo 50, possono arrivare a 15 milioni di euro o al 3%. Fornire informazioni inesatte o fuorvianti alle autorità può costare fino a 7,5 milioni di euro o l'1%. Per le PMI si applica il minore dei due importi. Le sanzioni sono stabilite a livello nazionale e devono essere proporzionate, quindi si tratta di massimali, non di tariffe.

Leggi anche

Di quali competenze e strutture di team hanno bisogno le aziende di moda per l'IA?

Che cosa dovrebbe decidere il management prima del 2027?

Il rinvio dà alle aziende di moda il tempo di consolidare le basi anziché produrre documenti. Tre decisioni contano più di tutte: chi è responsabile della governance dell'IA (spesso un mandato congiunto di ufficio legale, HR, IT ed e-commerce), quali casi d'uso l'azienda non perseguirà (ad esempio il punteggio automatizzato del personale) e come i contratti con i fornitori ripartiranno gli obblighi di documentazione e registrazione dei log. Le aziende che già svolgono valutazioni d'impatto sulla protezione dei dati ai sensi del GDPR possono estendere quel processo invece di crearne uno parallelo.

Il limite pratico è l'informazione. Gran parte di ciò che un deployer deve sapere, dai dati di addestramento ai metodi di marcatura, è in mano ai fornitori di software. Per questo l'inventario e il questionario per i fornitori sono i due documenti da avviare già in questo trimestre.