Blog

AI Act 2026: cosa cambia per le aziende e come prepararsi alla conformità

Dopo anni di adozione accelerata e sperimentazione poco governata, l’ecosistema dell’intelligenza artificiale entra in una nuova fase: quella in cui la responsabilità non è più un’opzione, ma un requisito operativo. L’AI Act segna questo passaggio con regole chiare, scadenze definite e impatti che attraversano tutto il mercato digitale europeo.

Il 2 agosto 2026 non è semplicemente una “data di scadenza normativa”: per chi sviluppa, integra o utilizza sistemi di intelligenza artificiale nell’Unione Europea, segna il passaggio dall’era della sperimentazione relativamente libera a quella della accountability regolata per legge.

Con il Regolamento (UE) 2024/1689, il cd. AI Act, l’Europa introduce per la prima volta un quadro orizzontale e direttamente applicabile che disciplina sviluppo, messa sul mercato e utilizzo dei sistemi di AI.

L’impatto non riguarda solo i grandi provider di modelli fondazionali. Coinvolge:

• software house che integrano funzionalità di machine learning nei propri prodotti,
• system integrator che orchestrano servizi cloud e API di terze parti,
• startup AI-first,
• team di R&D che utilizzano modelli proprietari o open source,
• enti pubblici che automatizzano parti di procedimenti amministrativi,
• imprese di qualsiasi settore che adottano modelli di terze parti via API o SaaS.

La portata è enorme anche perché l’adozione dell’AI è già tutt’altro che marginale: secondo Eurostat, nel 2024 il 13,5% delle imprese UE con almeno 10 dipendenti utilizza tecnologie di AI, in crescita dal 8% del 2023, con punte superiori al 25% in paesi come Danimarca e Svezia. Nei grandi gruppi la penetrazione è ancora più alta: oltre il 40% delle grandi imprese europee utilizza almeno una tecnologia di AI.

A livello globale, indagini come quelle di McKinsey mostrano che oltre tre quarti delle organizzazioni dichiarano di usare AI in almeno una funzione di business, con una crescita vertiginosa dell’adozione di generative AI nell’ultimo biennio.

In questo contesto, l’AI Act non è una “norma per pochi specialisti”, ma un elemento strutturale di governance per l’intero ecosistema digitale europeo.

Le sanzioni previste possono arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le violazioni più gravi (Art. 99), livelli paragonabili – e in alcuni casi superiori – a quelli del GDPR. Ma il rischio reale va ben oltre la dimensione economica: comprende impatti reputazionali, blocchi operativi, impossibilità di commercializzare prodotti e frizioni contrattuali lungo la supply chain algoritmica.

In questo articolo analizziamo:

• la timeline normativa verso il 2 agosto 2026;
• la logica di classificazione e gli obblighi per i sistemi ad alto rischio;
• il regime speciale per i modelli di AI per finalità generali (GPAI);
• la struttura sanzionatoria e i criteri di calcolo delle multe;
• una roadmap pratica di conformità per team legali, tech e di prodotto;
• le opportunità strategiche che l’AI Act apre per le aziende tecnologiche.

1. AI Act: la timeline verso il 2 agosto 2026

L’AI Act è stato pubblicato in Gazzetta Ufficiale il 12 luglio 2024 ed è entrato in vigore venti giorni più tardi. L’applicazione del regolamento, però, non è immediata: procede per fasi, scandite con precisione dall'articolo 113. La data chiave resta il 2 agosto 2026, momento a partire dal quale il regolamento diventa pienamente operativo per la maggior parte dei soggetti coinvolti. Tuttavia, alcune disposizioni arrivano molto prima. Dal 2 febbraio 2025 diventano effettive le regole generali, le definizioni e soprattutto entrano in vigore i divieti di utilizzo di pratiche considerate a rischio inaccettabile, come determinate forme di riconoscimento biometrico, social scoring o sistemi di manipolazione comportamentale. Sei mesi più tardi, dal 2 agosto 2025, si aggiungono le regole di governance, le disposizioni sulle sanzioni, gli obblighi per i modelli di AI per finalità generali (GPAI) e prende forma operativa l’AI Office, che avrà un ruolo centrale nella supervisione dei modelli fondazionali. Il quadro si completa dal 2 agosto 2027, quando entra pienamente in vigore una parte cruciale del regolamento: la classificazione avanzata dei sistemi ad alto rischio e gli obblighi correlati.

Accanto alla timeline principale, l’articolo 111 introduce un regime transitorio: i sistemi già sul mercato continuano a essere commercializzati, ma dovranno adeguarsi entro limiti temporali precisi; i modelli GPAI già disponibili avranno tempo fino al 2 agosto 2027 per allinearsi ai nuovi obblighi; mentre i sistemi utilizzati nelle grandi infrastrutture IT europee, come Eurodac, SIS o ETIAS, avranno una finestra più estesa che arriva fino alla fine del 2030.

Per chi lavora nel mondo tech, questo calendario non rappresenta un mero riferimento normativo, ma un percorso operativo che condizionerà roadmap di prodotto, scelte tecnologiche e investimenti. I divieti assoluti smettono di essere un tema di discussione teorica e diventano una realtà già dal 2025. Chi sviluppa o integra modelli fondazionali deve affrontare gli obblighi relativi ai GPAI con largo anticipo rispetto alla scadenza generale. Il 2 agosto 2026 segna il passaggio decisivo: da quel momento in poi, immettere sistemi AI sul mercato europeo richiederà un livello di conformità pieno e dimostrabile. E dal 2027, con la piena applicazione del perimetro ad alto rischio, l’impatto sarà particolarmente forte per i settori dove la certificazione, la sicurezza e la qualità non sono accessorie, ma parte integrante del prodotto, come automotive, medicale, machinery e tutti i comparti già regolamentati.

2. Il cuore dell’AI Act: il risk-based approach e i sistemi ad alto rischio

L’AI Act si fonda su un approccio basato sul rischio (risk-based approach): non tutte le applicazioni sono trattate allo stesso modo, ma in funzione del potenziale impatto su sicurezza, diritti fondamentali e ordine pubblico.

La logica, semplificando, è questa:

1. alcune pratiche sono considerate a rischio inaccettabile e quindi vietate;
2. una serie di sistemi sono classificati come ad alto rischio e sottoposti a requisiti stringenti;
3. altre applicazioni sono considerate a rischio limitato, con obblighi principalmente di trasparenza;
4. tutto il resto è a rischio minimo, dove il legislatore confida principalmente nell’autoregolazione di mercato.

Per chi lavora nell’IT e nello sviluppo prodotto, la categoria realmente determinante è quella dei sistemi ad alto rischio.

2.1 Chi rientra nell’“alto rischio”

L’AI Act considera ad alto rischio due grandi famiglie di sistemi:

1. Sistemi che sono componenti di prodotti già soggetti a normativa settoriale europea
2. Rientrano qui, tra gli altri:

• dispositivi medici e diagnostica in vitro;
• macchinari industriali;
• veicoli a motore e altri prodotti regolati in ambito automotive;
• ascensori, apparecchi a pressione, attrezzature marittime.

Se un sistema AI è integrato in un prodotto che già richiede marcatura CE e valutazione di conformità, l’AI Act innesta ulteriori requisiti specifici sull’AI.

L’Allegato III individua otto macro-categorie, che coprono casi d’uso ad alto potenziale impatto sui diritti fondamentali o sulla sicurezza. Fra quelli più rilevanti per aziende tech e servizi digitali possiamo citare:

• sistemi di identificazione biometrica e riconoscimento facciale;
• sistemi per credit scoring e valutazione dell’affidabilità creditizia;
• strumenti di supporto decisionale in processi HR (recruiting, valutazione, promozione del personale);
• sistemi predittivi in ambito giudiziario, migrazione, sicurezza pubblica;
• sistemi di guida autonoma o avanzata assistenza alla guida.

In tutti questi casi, il sistema non è vietato, ma viene considerato intrinsecamente esposto a rischi elevati e quindi sottoposto a una serie di obblighi cumulativi.

2.2 Obblighi chiave per i sistemi ad alto rischio

Per i sistemi ad alto rischio, il regolamento impone un set di requisiti particolarmente denso, fra cui:

• un sistema di gestione del rischio documentato e ciclico (Art. 9), che copra l’intero ciclo di vita del sistema;
• requisiti di governance dei dati e qualità dei dataset (Art. 10), con particolare attenzione a bias, rappresentatività e tracciabilità;
• una documentazione tecnica completa che consenta alle autorità e ai clienti enterprise di comprendere architettura, funzionalità, limiti e controlli del sistema (Art. 11);
• requisiti di logging e registrazione automatica degli eventi per rendere auditabile il comportamento del sistema nel tempo (Art. 12);
• meccanismi di sorveglianza umana efficace (Art. 14), che non si traduca in un mero “human in the loop” nominale, ma in reali capacità di intervento, override e interpretazione dei risultati;
• misure robuste di robustezza, sicurezza e accuratezza (Art. 15);
• un sistema di monitoraggio post-commercializzazione con obbligo di gestione degli incidenti e dei quasi-incidenti (Art. 61 e seguenti).

È un salto di maturità significativo: molte organizzazioni che oggi sperimentano AI in modo relativamente informale dovranno passare a una gestione simile a quella dei sistemi safety-critical.

2.3 Eccezioni e possibilità di “de-classificazione”

L’AI Act prevede anche scenari in cui un sistema, pur ricadendo in una delle aree dell’Allegato III, possa essere escluso dalla categoria “alto rischio”. Per farlo, il provider deve notificare l’autorità competente e motivare che il sistema non presenta rischi significativi perché, ad esempio:

• svolge solo compiti procedurali limitati;
• supporta ma non sostituisce la valutazione umana;
• individua pattern o anomalie senza automatizzare la decisione finale;
• si limita a fasi preparatorie o di screening iniziale di processi più ampi.

Attenzione però: anche in questi casi resta obbligatoria la registrazione del sistema nel database europeo per i sistemi ad alto rischio (Art. 49), proprio per garantire tracciabilità e supervisione.

3. Modelli General-Purpose AI (GPAI): cosa cambia per chi fornisce o integra modelli fondazionali

Tra gli elementi più innovativi dell’AI Act rispetto ad altre normative figura il trattamento dedicato ai modelli di intelligenza artificiale per finalità generali (GPAI), cioè quei modelli addestrati su grandi quantità di dati e in grado di essere riutilizzati in molteplici contesti: dai LLM ai modelli multimodali, passando per sistemi generativi visivi e foundation models nel senso più ampio.

A partire dal 2 agosto 2025, i provider di questi modelli saranno soggetti a una serie di obblighi specifici che si aggiungono ai requisiti generali del regolamento. Dovranno innanzitutto predisporre una documentazione tecnica esaustiva, capace di descrivere il funzionamento del modello, i suoi limiti e le sue capacità operative. Questa documentazione dovrà essere condivisa con chi utilizza il modello a valle come sviluppatori, integratori, realtà che incorporano il modello in prodotti o servizi, affinché anche loro possano rispettare le richieste dell’AI Act. Inoltre, il legislatore introduce un principio di trasparenza sul training, imponendo ai provider di rendere pubblico un riepilogo sufficientemente dettagliato dei dataset o delle collezioni di dati utilizzate, in modo da permettere ai titolari di diritti di verificare eventuali violazioni o utilizzi non autorizzati. A ciò si affianca l’obbligo di disporre di policy specifiche per la conformità al diritto europeo sul copyright e l’adozione di misure di sicurezza e gestione del rischio commisurate alla scala e all’impatto del modello.

Per i modelli considerati “ad alto impatto”, cioè quelli con effetti potenzialmente sistemici sul mercato o sui diritti fondamentali – il quadro si fa ancora più stringente. In questi casi l’AI Act richiede meccanismi rafforzati di valutazione e mitigazione del rischio, misure di sicurezza più avanzate e una forma di cooperazione continua con l’AI Office, che potrà chiedere informazioni aggiuntive o valutare più direttamente i modelli.

Per chi integra modelli di terze parti, soprattutto tramite API, questi cambiamenti introducono un nuovo livello di responsabilità operativa. Non sarà più sufficiente accedere a un modello performante: sarà necessario verificare che il provider sia conforme alle nuove regole, perché parte degli obblighi ricadrà anche sul soggetto che distribuisce o utilizza il modello in un prodotto finale. Cambierà anche il modo di impostare i contratti: diventerà importante prevedere clausole legate all’accesso alla documentazione, alla ripartizione dei rischi, alla cooperazione in caso di audit o richieste delle autorità. Allo stesso modo, gli sviluppatori dovranno abituarsi a interfacciarsi con modelli accompagnati da documentazione più strutturata e completa, superando la logica di una semplice API reference e avvicinandosi a una forma di ingegneria dell’AI più regolata e trasparente.

4. Sanzioni, enforcement e criteri di responsabilità

L’AI Act introduce un regime sanzionatorio articolato, pensato per essere proportionate ma dissuasivo. L’articolo 99 prevede tre fasce principali di sanzioni amministrative:

1. Violazioni più gravi
2. Rientrano qui, in particolare, le violazioni dei divieti relativi alle pratiche a rischio inaccettabile (Art. 5). Le sanzioni possono arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale annuo dell’esercizio precedente, se superiore.
3. Violazioni di altri obblighi sostanziali
4. Per la mancata conformità a disposizioni diverse dall’Art. 5 e da alcune parti dell’Art. 6, la sanzione può arrivare fino a 15 milioni di euro o al 3% del fatturato mondiale annuo.
5. Informazioni false, incomplete o fuorvianti
6. In caso di informazioni inesatte, incomplete o fuorvianti fornite alle autorità o agli organismi notificati, la sanzione può arrivare fino a 7,5 milioni di euro o all’1% del fatturato mondiale annuo.

Per i modelli GPAI, l’articolo 101 permette alla Commissione di infliggere multe fino a 15 milioni di euro o al 3% del fatturato mondiale in caso di violazione degli obblighi specifici relativi ai modelli per finalità generali, inclusa la mancata cooperazione nelle richieste di documentazione o accesso al modello.

Oltre agli importi nominali, l’articolo 99, par. 7, elenca una serie di criteri che le autorità devono considerare nel determinare se e quanto sanzionare, fra cui:

• natura, gravità e durata della violazione;
• numero di persone coinvolte e livello di danno;
• misure tecniche e organizzative adottate dall’operatore;
• grado di cooperazione con l’autorità;
• carattere doloso o colposo della violazione;
• eventuali benefici economici ottenuti o perdite evitate.

Ma il potere delle autorità non si esaurisce nelle multe. Il regolamento prevede un ampio arsenale di misure correttive:

• ordini di adeguamento entro termini specifici;
• sospensione o divieto di immissione sul mercato del sistema;
• ritiro o richiamo dei sistemi già distribuiti;
• audit e controlli approfonditi, anche su base documentale e tecnica.

Per le aziende tecnologiche questo si traduce in un requisito fondamentale: non basta “avere le policy”, occorre dimostrare di averle implementate in modo coerente, con evidenze documentali, registri di decisione, trace logging e una chiara catena di responsabilità interna.

5. Come affrontare la conformità: una roadmap pratica per team legali e tech

Adeguarsi all’AI Act non è un esercizio di mera compliance formale, ma un progetto trasversale che impatta processi di sviluppo, data governance, procurement e contrattualistica. Una possibile roadmap, orientata alle aziende tech, può articolarsi in alcune fasi chiave.

5.1 Mappare davvero dove l’AI entra nel business

Il primo passo consiste nel costruire un inventario completo dei sistemi AI lungo l’intera organizzazione. Non basta guardare ai prodotti formalmente “AI-driven”; occorre includere:

• modelli proprietari sviluppati in-house;
• modelli di terze parti utilizzati via API (LLM, servizi di analisi immagini, strumenti di scoring);
• funzionalità AI incorporate in software commerciali (ad esempio, strumenti di HR o CRM che integrano moduli di raccomandazione);
• automatismi e workflow interni che prendono decisioni sulla base di output di AI.

La mappatura dovrebbe associare ad ogni sistema informazioni minime ma strutturate: use case, stakeholder interni, processi toccati, dati in ingresso, decisioni o output che influenzano persone o processi regolamentati.

5.2 Classificare il rischio secondo la logica dell’AI Act

Una volta mappati i sistemi, è necessario valutarne la categoria di rischio:

• rientra tra le pratiche vietate (Art. 5)?
• è un componente di un prodotto disciplinato da normative armonizzate elencate in Allegato I?
• compare in una delle categorie dell’Allegato III?
• utilizza modelli GPAI per finalità critiche?

Questo esercizio, se ben impostato, diventa la base per una matrice di rischio interna che lega ogni sistema a:

• requisiti di compliance applicabili;
• responsabilità interne (owner legale, product owner, data owner);
• piani d’azione per colmare i gap.

5.3 Eseguire una gap analysis concreta

Su ogni sistema classificato come ad alto rischio – o candidate high risk – è utile condurre una gap analysis strutturatarispetto ai principali requisiti:

• esiste un processo di risk management by design o il rischio viene gestito solo ex post?
• la governance dei dati è documentata, con attenzione a bias, qualità, provenienza, basi giuridiche e compatibilità con il GDPR?
• la documentazione tecnica è sufficiente per supportare una valutazione di conformità e un eventuale audit?
• esistono log significativi e meccanismi per ricostruire il comportamento del sistema nel tempo?
• è chiaro dove e come entra la sorveglianza umana, con ruoli, competenze e authorità ben definiti?

In molti casi, parte dei requisiti dell’AI Act si sovrappone a framework già esistenti (ISO 27001, ISO 9001, ISO 42001 per i sistemi di gestione dell’AI, linee guida EDPB su profilazione, ecc.). La gap analysis dovrebbe sfruttare tutte le sinergie possibili per evitare ridondanze.

5.4 Aggiornare i processi di sviluppo e MLOps

La vera trasformazione avviene quando la compliance viene integrata nei processi di sviluppo:

• includere valutazioni di impatto sui diritti fondamentali e sul rischio AI nelle fasi di discovery e design;
• definire criteri minimi di data governance per i dataset di training, validation e test;
• introdurre controlli di robustezza, fairness e sicurezza come parte dei test di rilascio;
• strutturare pipeline MLOps che registrino configurazioni, versioni di modelli, dataset utilizzati e risultati dei test;
• prevedere pattern architetturali che facilitino human-in-the-loop o human-on-the-loop nei casi d’uso ad alto rischio.

In altre parole, l’AI Act spinge verso un modello di AI engineering industrializzato, dove tracciabilità e auditabilità sono requisiti di progetto, non optional.

5.5 Rivedere contratti, SLA e relazioni con i fornitori

Dal momento che l’AI Act distribuisce obblighi lungo l’intera catena del valore (provider, deployer, importatori, distributori), sarà indispensabile aggiornare:

• i contratti con provider di modelli e servizi AI, per garantire accesso alla documentazione richiesta, cooperazione in caso di indagini e ripartizione chiara delle responsabilità;
• le clausole con i clienti che utilizzano prodotti AI-enabled, esplicitando rischi residui, limiti d’uso, condizioni per il monitoraggio post-vendita;
• gli SLA, introducendo dimensioni che vadano oltre uptime e performance: ad esempio, metriche di accuratezza, explainability e robustness.

Per molte aziende tech, l’AI Act diventerà un driver forte per rinegoziare la contrattualistica con partner e clienti in chiave AI-by-design.

5.6 Investire in formazione e competenze

L’AI Act richiede esplicitamente che chi supervisiona i sistemi ad alto rischio abbia competenze adeguate (Art. 14). In parallelo, la Commissione sta lanciando iniziative come l’AI Skills Academy, che dal 2026 avrà il ruolo di hub europeo per programmi di formazione e reskilling in ambito AI, con particolare focus sulla generative AI e sulle competenze regolatorie e tecniche richieste nei settori strategici.

Per le aziende questo si traduce in tre priorità:

• formare i team legali e di compliance sulle specificità tecniche dell’AI;
• formare i team tech sulle specificità legali dell’AI Act, evitando il classico gap di comprensione tra engineering e legal;
• creare ruoli ibridi (AI governance, AI risk manager, ML engineer con competenze regolatorie) capaci di fare da ponte tra domini.

6. Opportunità strategiche per aziende e team tech

L’AI Act viene spesso percepito come un “freno” all’innovazione. Se guardiamo però ai dati e alle strategie europee, emerge un quadro diverso.

La Commissione Europea, attraverso Horizon Europe e Digital Europe, investe oltre 1 miliardo di euro l’anno in AI, con l’obiettivo dichiarato di mobilitare fino a 20 miliardi di investimenti pubblici e privati all’anno nel corso del decennio digitale. Il solo programma Horizon Europe ha un budget complessivo di oltre 95 miliardi di euro per il periodo 2021-2027, con oltre 43 miliardi già allocati a più di 15.000 progetti a inizio 2025.

In parallelo, l’AI Continent Action Plan e la strategia Apply AI, lanciate nel 2025, promuovono una politica esplicita “AI-first” per imprese e pubbliche amministrazioni europee, sostenendo l’adozione dell’AI nei settori chiave (sanità, mobilità, energia, media, PA) e accompagnando l’implementazione dell’AI Act tramite linee guida, codici di pratica e l’AI Act Service Desk.

In questo scenario, essere conformi all’AI Act non è soltanto un obbligo, ma una leva competitiva:

• facilita l’accesso a gare pubbliche e progetti finanziati da programmi europei, che tenderanno a privilegiare soluzioni già conformi;
• aumenta la fiducia di clienti enterprise, soprattutto nei settori regolamentati (finance, healthcare, PA);
• riduce il rischio di blocchi improvvisi del go-to-market dovuti a richieste delle autorità o a controversie legali;
• rende più semplice integrare in modo sicuro modelli GPAI, potendo dimostrare una governance dei rischi strutturata;
• contribuisce a costruire un profilo di marca associato a “trustworthy AI”, aspetto che diventerà sempre più centrale in un mercato dove la distinzione tra soluzioni tecnicamente valide ma non affidabili e soluzioni “compliant-by-design” sarà decisiva.

Dall’AI sperimentale all’AI-by-design

Con l’avvicinarsi della scadenza del 2 agosto 2026, la domanda non è più se l’AI Act coinvolgerà la propria organizzazione, ma in quale misura e con quali ricadute operative. Il regolamento non introduce soltanto nuovi obblighi o rischi sanzionatori: modifica alla radice il modo in cui si progetta, si addestra, si rilascia e si governa un sistema di intelligenza artificiale.

Per molte aziende tecnologiche questo significa un cambio di paradigma: si esce da una fase dominata dalla sperimentazione veloce, spesso poco documentata, e si entra in una logica di sviluppo più vicino a un processo industriale, in cui tracciabilità, auditabilità e supervisione umana diventano elementi strutturali.

Le organizzazioni che iniziano ora a mappare i sistemi esistenti, classificare il rischio, rivedere i processi di sviluppo e investire nelle competenze interne non solo ridurranno l’esposizione a non conformità e possibili sanzioni, ma si troveranno avvantaggiate quando normative, gare pubbliche, linee di finanziamento europee e domanda di soluzioni affidabili convergeranno.

La conformità all’AI Act, dunque, non è semplicemente un costo da sostenere per “evitare problemi”, ma un investimento strategico per costruire prodotti e architetture AI sostenibili nel tempo, scalabili e competitivi in uno scenario europeo che premia affidabilità, governance e qualità.

Fonti citate

Commissione Europea. (2023). Horizon Europe: Strategic Plan 2025–2027. Bruxelles: European Commission.

Commissione Europea. (2024a). Digital Europe Programme Work Programme 2023–2024. Bruxelles: European Commission.

Commissione Europea. (2024b). Apply AI – Europe’s AI-first strategy. Bruxelles: European Commission.

Commissione Europea. (2025). AI Skills Academy – Programme Overview. Bruxelles: European Commission.

European Parliament & Council. (2024). Regulation (EU) 2024/1689 of the European Parliament and of the Council laying down harmonised rules on Artificial Intelligence (Artificial Intelligence Act). Official Journal of the European Union.

Eurostat. (2024). Use of Artificial Intelligence in Enterprises. Luxembourg: Publications Office of the European Union.

Eurostat. (2025). AI technologies usage in EU enterprises: 2023–2024 growth report. Luxembourg: Publications Office of the European Union.

McKinsey & Company. (2023). The State of AI in 2023: Generative AI’s Breakout Year. New York: McKinsey Global Institute.

McKinsey & Company. (2025). The State of AI: How Organizations Are Rewiring to Capture Value. New York: McKinsey Global Institute.

OECD. (2023). OECD Framework for the Classification of AI Systems. Paris: OECD Publishing.

OECD. (2024). AI Incidents and Emerging Risks Report. Paris: OECD Publishing.

OECD. (2025). What drives AI adoption in firms? An international analysis. Paris: OECD Publishing.

UNESCO. (2021). Recommendation on the Ethics of Artificial Intelligence. Paris: UNESCO.

Ufficio Europeo per l’Intelligenza Artificiale (AI Office). (2025). EU Guidelines for General-Purpose AI Providers. Bruxelles: European Commission.

World Economic Forum. (2024). Global AI Governance Report. Ginevra: WEF.

Autore: Martina Pegoraro