AI Act: cosa cambia per le aziende e quali obblighi ci sono

L'AI Act è il regolamento europeo sull'intelligenza artificiale, il Regolamento (UE) 2024/1689, e riguarda anche le aziende che l'AI la usano soltanto, senza svilupparla. Per una PMI che usa ChatGPT, un chatbot sul sito o un software con funzioni AI, l'AI Act oggi chiede soprattutto tre cose: formare le persone che usano questi strumenti, non usare le pratiche vietate e rispettare gli obblighi di trasparenza. Gli obblighi più pesanti, quelli sui sistemi ad alto rischio, sono stati rinviati al 2 dicembre 2027 e al 2 agosto 2028.

Questo articolo ricostruisce il calendario aggiornato a settembre 2026, spiega in che ruolo si trova di solito una PMI e indica cosa fare in pratica. Riportiamo le date e gli articoli come risultano dai testi ufficiali; non è una consulenza legale, e per i casi specifici serve il parere di un professionista.

Aggiornamento del 29 ottobre 2026: dopo l'uscita di questo articolo è stato pubblicato il decreto legislativo 7 ottobre 2026, n. 179 (Gazzetta Ufficiale n. 234 dell'8 ottobre 2026), che adegua la normativa italiana all'AI Act sui poteri delle autorità nazionali e sull'uso dell'intelligenza artificiale nella formazione. Le scadenze europee riportate qui sotto non cambiano.

Cos'è l'AI Act in breve

Il regolamento è entrato in vigore il 1° agosto 2024 ed è direttamente applicabile in tutti gli Stati membri, senza bisogno di una legge di recepimento. Classifica gli usi dell'intelligenza artificiale in base al rischio:

• alcune pratiche sono vietate del tutto;
• alcuni sistemi sono classificati ad alto rischio e devono rispettare requisiti stringenti;
• per altri sistemi, come i chatbot e i generatori di contenuti, valgono obblighi di trasparenza;
• per tutto il resto non ci sono obblighi specifici, salvo quello di alfabetizzazione del personale.

Esistono poi regole a parte per i modelli di AI per finalità generali, cioè i grandi modelli su cui si basano strumenti come ChatGPT. Quelle regole riguardano chi sviluppa i modelli, non l'azienda che li usa.

Il calendario dell'AI Act aggiornato dopo il Digital Omnibus

Il calendario originale prevedeva che quasi tutto si applicasse dal 2 agosto 2026. Il 19 novembre 2025 la Commissione ha proposto un pacchetto di semplificazione, il cosiddetto Digital Omnibus on AI. Parlamento e Consiglio hanno raggiunto l'accordo politico il 7 maggio 2026 e il testo è diventato il Regolamento (UE) 2026/1744 dell'8 luglio 2026, pubblicato in Gazzetta ufficiale dell'UE il 24 luglio ed entrato in vigore il 27 luglio 2026. Il rinvio quindi non è più una proposta: è legge.

Le date dell'alto rischio prima erano il 2 agosto 2026 per l'allegato III e il 2 agosto 2027 per l'allegato I. La Commissione ha motivato il rinvio con la necessità di avere prima norme tecniche e strumenti di supporto per le imprese, come spiega la pagina ufficiale sul quadro normativo dell'AI.

Una cosa che l'Omnibus non ha spostato: alfabetizzazione e divieti si applicano dal 2 febbraio 2025, e da agosto 2026 le autorità nazionali possono vigilare anche su questi.

AI Act e aziende: fornitore o deployer?

Gli obblighi cambiano molto a seconda del ruolo. Il regolamento ne definisce diversi, ma per una PMI contano soprattutto due.

Il fornitore è chi sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. OpenAI per ChatGPT, la software house che vende un gestionale con funzioni AI, ma anche l'azienda che commissiona un sistema su misura e lo usa con il proprio marchio.

Il deployer è chi usa un sistema di AI sotto la propria autorità nell'ambito di un'attività professionale. Il distributore che fa scrivere le descrizioni prodotto a un modello generativo, l'officina che usa un assistente per i preventivi, lo studio che riassume documenti con l'AI: sono tutti deployer.

La maggior parte delle PMI è deployer. Ci sono però casi in cui un deployer diventa fornitore, e l'articolo 25 li elenca per i sistemi ad alto rischio: se metti il tuo nome o marchio su un sistema ad alto rischio già sul mercato, se lo modifichi in modo sostanziale, o se modifichi la finalità di un sistema non ad alto rischio facendolo diventare tale. Un esempio da valutare con attenzione: prendere un modello generico e usarlo per filtrare automaticamente i curriculum può voler dire cambiarne la finalità in un'area che l'allegato III considera ad alto rischio.

Se fai sviluppare software con funzioni AI su misura, come succede nei progetti che seguiamo, chiarisci per iscritto con il fornitore chi ha quale ruolo e chi prepara quale documentazione.

AI Act: gli obblighi per le aziende che usano l'AI

Questa è la parte che interessa alla maggior parte delle PMI.

Alfabetizzazione in materia di AI (art. 4)

Dal 2 febbraio 2025 fornitori e deployer devono prendere misure per l'alfabetizzazione in materia di AI del personale e delle altre persone che usano i sistemi per loro conto. Il testo originale parlava di garantire "nella misura del possibile un livello sufficiente" di alfabetizzazione. L'Omnibus ha riscritto l'articolo 4: l'obbligo resta, ma consiste nel prendere misure per sostenere lo sviluppo delle competenze, tenendo conto delle conoscenze tecniche, dell'esperienza e del contesto d'uso, e non richiede di garantire un livello specifico per ogni persona. Le domande e risposte della Commissione sull'alfabetizzazione AI chiariscono che il controllo spetta alle autorità nazionali di vigilanza del mercato a partire dal 2 agosto 2026.

In pratica: chi usa strumenti AI deve sapere cosa fanno, dove sbagliano, quali dati non vanno inseriti e chi chiamare in caso di dubbio. Conviene tenere traccia di cosa hai fatto (date, contenuti, partecipanti).

Pratiche vietate (art. 5)

Sono vietate dal 2 febbraio 2025. La maggior parte riguarda casi lontani dalla vita di una PMI, come l'identificazione biometrica in tempo reale da parte delle forze dell'ordine. Alcune invece possono toccare un'azienda:

• i sistemi che inferiscono le emozioni delle persone sul luogo di lavoro, salvo motivi medici o di sicurezza;
• le tecniche manipolative o ingannevoli che distorcono il comportamento delle persone causando un danno significativo;
• lo sfruttamento delle vulnerabilità legate a età, disabilità o situazione economica;
• il punteggio sociale che porta a trattamenti sfavorevoli ingiustificati;
• la categorizzazione biometrica per dedurre dati sensibili come opinioni politiche o orientamento sessuale.

Se un fornitore ti propone di "misurare il coinvolgimento" dei dipendenti analizzando volti o voci durante le riunioni, fermati e chiedi un parere legale prima di firmare. Dal 2 dicembre 2026 si aggiungono i divieti introdotti dall'Omnibus sui sistemi che generano immagini sessuali di persone reali senza consenso.

Sistemi ad alto rischio

Gli obblighi per i sistemi dell'allegato III si applicano dal 2 dicembre 2027. Per una PMI le aree più probabili sono due: il lavoro (selezione dei candidati, decisioni su promozioni o cessazioni, assegnazione di compiti in base al comportamento individuale, monitoraggio delle prestazioni) e la valutazione del merito di credito delle persone fisiche.

Se usi un sistema del genere come deployer, l'articolo 26 ti chiede tra l'altro di:

• usarlo secondo le istruzioni del fornitore;
• affidare la sorveglianza umana a persone con competenza, formazione e autorità adeguate;
• conservare i log generati automaticamente, se sono sotto il tuo controllo, per almeno sei mesi;
• informare i rappresentanti dei lavoratori e i lavoratori interessati prima di metterlo in uso sul luogo di lavoro.

Il rinvio dà tempo, ma i contratti si firmano adesso. Se stai valutando un software HR con funzioni di selezione automatica, chiedi al fornitore come intende adeguarsi entro dicembre 2027.

Trasparenza (art. 50)

Dal 2 agosto 2026 si applicano gli obblighi di trasparenza. I fornitori devono progettare i sistemi che interagiscono con le persone in modo che queste sappiano di parlare con un'AI, a meno che non sia evidente. I fornitori di sistemi che generano contenuti sintetici devono marcarli in un formato leggibile da una macchina; per i sistemi già sul mercato prima del 2 agosto 2026 il termine è il 2 dicembre 2026.

Per i deployer gli obblighi principali sono due. Chi pubblica deepfake, cioè immagini, audio o video generati o manipolati che sembrano autentici, deve dichiararlo. Chi pubblica testi generati dall'AI per informare il pubblico su questioni di interesse pubblico deve dichiararlo, salvo che il testo sia passato da una revisione umana con una persona che ne ha la responsabilità editoriale.

Per una PMI questo significa, per esempio, che il chatbot aziendale sul sito deve far capire al cliente che sta parlando con un sistema automatico, e che un video promozionale con una persona generata dall'AI va segnalato come tale.

Le sanzioni previste

L'articolo 99 fissa i massimi: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate; fino a 15 milioni o al 3% per la violazione di altri obblighi, compresi quelli dei deployer (art. 26) e di trasparenza (art. 50); fino a 7,5 milioni o all'1% per informazioni inesatte fornite alle autorità. Per le PMI si applica il valore più basso tra importo fisso e percentuale; l'Omnibus ha esteso lo stesso criterio alle small mid-cap per le violazioni diverse dalle pratiche vietate. Le regole concrete sulle sanzioni le stabiliscono gli Stati membri.

La legge italiana sull'intelligenza artificiale

L'Italia ha approvato la legge 23 settembre 2025, n. 132, pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025 e in vigore dal 10 ottobre 2025. Non sostituisce l'AI Act: lo affianca. Per le aziende contano soprattutto tre articoli.

• L'articolo 11 riguarda il lavoro: il datore di lavoro deve informare il lavoratore dell'uso dell'intelligenza artificiale nei casi e con le modalità dell'articolo 1-bis del decreto legislativo 152/1997, cioè quando si usano sistemi decisionali o di monitoraggio automatizzati rilevanti per assunzione, gestione del rapporto, assegnazione dei compiti o valutazione.
• L'articolo 13 riguarda le professioni intellettuali: l'AI può essere usata solo per attività strumentali e di supporto, e il professionista deve informare il cliente dei sistemi che usa, con un linguaggio chiaro.
• L'articolo 20 designa le autorità nazionali: AgID per la promozione dell'innovazione e per la notifica degli organismi di valutazione della conformità, ACN per la vigilanza, comprese ispezioni e sanzioni. Restano ferme le competenze di Banca d'Italia, CONSOB e IVASS nei rispettivi settori.

La legge contiene anche deleghe al Governo per adeguare la normativa nazionale all'AI Act. Un primo decreto attuativo, il decreto legislativo 9 settembre 2026, n. 160, riguarda l'uso dell'AI nelle attività di polizia e la responsabilità civile e penale; è stato pubblicato nella Gazzetta Ufficiale del 15 settembre 2026. Altri decreti sono attesi: conviene seguire gli aggiornamenti su Normattiva.

Cosa fare in pratica in una PMI

Per un'azienda da 20 o 50 persone il lavoro è gestibile, a patto di farlo con ordine. Questo è il percorso che suggeriamo ai clienti che ce lo chiedono.

1. Fai l'inventario degli strumenti AI. Chiedi a ogni reparto cosa usa davvero, compresi gli account personali di ChatGPT e simili e le funzioni AI dentro software già in casa (CRM, gestionale, piattaforme di selezione del personale). Per ciascuno annota chi lo usa, per cosa, con quali dati e chi è il fornitore.
2. Classifica ogni uso. La gran parte cadrà nella fascia senza obblighi specifici o in quella della trasparenza. Segna a parte tutto ciò che tocca dipendenti e candidati, il merito di credito o la sicurezza di prodotti: sono i casi da approfondire con un consulente.
3. Scrivi una policy d'uso di una o due pagine: strumenti autorizzati, dati che non si inseriscono mai (dati personali di clienti e dipendenti, prezzi riservati, documenti coperti da riservatezza), obbligo di verificare gli output prima di usarli, a chi rivolgersi.
4. Organizza la formazione e documentala. Una sessione per chi usa gli strumenti ogni giorno, una più breve per tutti gli altri, materiale da rileggere. È il modo più diretto per rispettare l'articolo 4.
5. Verifica i contratti con i fornitori: uso dei dati inseriti, luogo di conservazione, ruolo di ciascuno ai sensi dell'AI Act, impegni di adeguamento per eventuali sistemi ad alto rischio.
6. Informa i lavoratori quando serve, secondo l'articolo 11 della legge 132/2025 e, per i sistemi ad alto rischio, l'articolo 26 dell'AI Act.
7. Rivedi l'inventario ogni sei mesi. Gli strumenti cambiano in fretta, e le linee guida della Commissione e delle autorità nazionali continuano ad arrivare.

Buona parte di questo lavoro si sovrappone a quello già fatto per il GDPR e per la sicurezza informatica. Se hai un registro dei trattamenti e una politica di sicurezza informatica per la tua PMI, parti da lì. Per una visione più ampia di come introdurre l'AI in azienda c'è la guida sull'intelligenza artificiale per PMI, mentre il tema delle informative ai lavoratori si lega a quello trattato nell'articolo l'AI sostituirà i miei dipendenti?.

Per i testi ufficiali e le domande frequenti la Commissione ha aperto l'AI Act Service Desk, che raccoglie articoli, allegati e strumenti di verifica.

Se state valutando strumenti che agiscono da soli sui vostri sistemi, abbiamo spiegato a parte cosa sono e cosa fanno davvero gli agenti AI.

Parliamone

Quando progettiamo automazioni con l'intelligenza artificiale per aziende, mettiamo la classificazione del rischio e i ruoli previsti dall'AI Act nell'analisi iniziale, insieme ai permessi sui dati e al controllo umano. Se vuoi capire come impostare un progetto AI che regga anche dal punto di vista normativo, o hai bisogno di una mano a fare l'inventario degli strumenti che usi, prenota una call con noi. Per gli aspetti strettamente legali ti diremo con chiarezza quando serve un avvocato.

Questo articolo ha finalità informative e non costituisce consulenza legale. Date e contenuti sono verificati sui testi ufficiali disponibili a settembre 2026.