Segnalazione degli incidenti gravi nell'AI Act: le scadenze da conoscere
Temja·3 luglio 2026· 7 min read
the short version
- →Un incidente grave va segnalato subito dopo che il fornitore ne ha stabilito il nesso con il sistema di IA, e comunque entro termini precisi.
- →Le scadenze sono tre: 15 giorni in generale, 10 giorni se c'è la morte di una persona, 2 giorni per violazione diffusa o interruzione di infrastrutture critiche.
- →I termini decorrono dalla presa di conoscenza dell'incidente, non dalla conferma completa delle cause.
- →In Italia le autorità designate sono AgID e ACN (Legge 132/2025).
La maggior parte dei team pianifica la conformità pensando alla formazione e alla documentazione. Poi succede qualcosa. Un sistema di IA contribuisce a un danno reale, e all'improvviso la domanda non è più come formare le persone, ma quanto tempo resta per segnalare. La risposta è: poco. Le scadenze dell'AI Act si contano in giorni, non in settimane.
Cosa conta come incidente grave
L'articolo 3(49) definisce l'incidente grave come un evento legato a un sistema di IA che, direttamente o indirettamente, provoca una di queste conseguenze.
- La morte di una persona o un grave danno alla sua salute.
- Una grave interruzione irreversibile della gestione o del funzionamento di infrastrutture critiche.
- La violazione di obblighi del diritto dell'Unione posti a tutela dei diritti fondamentali.
- Un grave danno a beni o all'ambiente.
Non serve la certezza per far partire l'orologio
Il termine decorre da quando stabilite un nesso ragionevole tra il sistema di IA e l'incidente, non da quando avete finito di indagare le cause. Aspettare la conferma completa è il modo più comune per sforare.
Le tre scadenze da conoscere
L'articolo 73 stabilisce i termini per segnalare l'incidente alle autorità di vigilanza del mercato. Sono tre, e più grave è la conseguenza, meno tempo avete. Tutti decorrono dalla presa di conoscenza.
| Tipo di incidente grave | Scadenza | Da quando decorre |
|---|---|---|
| Regola generale | 15 giorni | Dalla presa di conoscenza dell'incidente |
| Morte di una persona | 10 giorni | Dalla presa di conoscenza del nesso con il sistema di IA |
| Violazione diffusa o interruzione di infrastrutture critiche | 2 giorni | Dalla presa di conoscenza dell'incidente |
Attenzione a non invertire i termini
È facile confondersi. Il termine più breve, 2 giorni, vale per la violazione diffusa e per l'interruzione di infrastrutture critiche. La morte di una persona ha 10 giorni. Il caso generale ne ha 15.
Se al momento della scadenza non avete ancora tutti i dettagli, potete inviare una segnalazione iniziale, anche incompleta, e integrarla dopo. La cosa che non potete fare è aspettare in silenzio oltre il termine perché l'indagine è ancora aperta.
Chi avvisare in Italia
L'AI Act lascia agli Stati membri il compito di designare le autorità nazionali. In Italia la Legge 132/2025 ha indicato due autorità competenti: l'Agenzia per l'Italia Digitale (AgID) e l'Agenzia per la Cybersicurezza Nazionale (ACN). Sapere a chi va la segnalazione fa parte del piano, non è un dettaglio da cercare quando l'orologio è già partito.
Preparate il canale prima dell'incidente
Il momento per capire dove e come si segnala è oggi, non il giorno dell'incidente. Un contatto già individuato e un modello di segnalazione pronto fanno la differenza tra rispettare 2 giorni e sforarli.
Come non farsi trovare impreparati
- 1Definite chi decide che è un incidente graveAssegnate a una persona la responsabilità di valutare gli eventi. Se nessuno decide, l'orologio scorre mentre tutti aspettano.
- 2Scrivete l'albero delle scadenzeMorte: 10 giorni. Violazione diffusa o infrastrutture critiche: 2 giorni. Resto: 15 giorni. Tenetelo dove chi risponde lo vede subito.
- 3Preparate il modello di segnalazioneUn modulo pronto con i campi essenziali evita di improvvisare sotto pressione e riduce i tempi.
- 4Fate un'esercitazioneSimulate un incidente e cronometrate la risposta. È l'unico modo per sapere se i vostri 2 giorni sono realistici.
La segnalazione degli incidenti gravi è il punto in cui la conformità smette di essere carta e diventa reazione. Un team che ha formato le persone a riconoscere un problema e a farlo salire in fretta è lo stesso team che rispetta i termini dell'articolo 73. Le due cose sono collegate: l'alfabetizzazione a monte rende possibile la segnalazione a valle.
take these with you
- 01Le scadenze sono 15 giorni in generale, 10 per la morte di una persona, 2 per violazione diffusa o infrastrutture critiche.
- 02I termini decorrono dalla presa di conoscenza, non dalla conferma delle cause. Una segnalazione iniziale si può integrare dopo.
- 03In Italia si segnala ad AgID e ACN, autorità designate dalla Legge 132/2025.
- 04Preparate persona responsabile, albero delle scadenze e modello prima dell'incidente, non durante.
Questions people ask
Da quando iniziano a contare i giorni?
Dalla presa di conoscenza dell'incidente, cioè da quando stabilite un nesso ragionevole con il sistema di IA. Non dovete aspettare la conferma completa delle cause.
Qual è la scadenza più breve?
Due giorni. Vale per la violazione diffusa e per l'interruzione di infrastrutture critiche. La morte di una persona ha 10 giorni, il caso generale 15.
Cosa faccio se non ho ancora tutti i dettagli entro il termine?
Inviate una segnalazione iniziale, anche incompleta, entro la scadenza e integratela in seguito. Il silenzio oltre il termine non è ammesso.
A chi si segnala un incidente grave in Italia?
Alle autorità designate dalla Legge 132/2025: l'Agenzia per l'Italia Digitale (AgID) e l'Agenzia per la Cybersicurezza Nazionale (ACN).
from reading to reflex
See what trained behaviour looks like.
Run the 3 minute drill. No sign up, no card. Meet the poisoned invoice and find out if you reach stop in time.
keep reading