Quanta intelligenza artificiale c’è già nella tua azienda? Probabilmente più di quanta ne hai censita: il gestionale che suggerisce, il chatbot che risponde ai clienti, i testi delle newsletter scritti con ChatGPT, le immagini generate per i social. Nel 2025 il 26,7% delle PMI italiane usava o stava testando strumenti di AI, in crescita del 50% sull’anno prima. Ma solo il 7% delle piccole imprese aveva progetti strutturati: quasi tutti la usano, quasi nessuno la governa.
Da questa estate governarla non è più una scelta. Dal 2 agosto 2026 l’AI Act — il Regolamento europeo 2024/1689 sull’intelligenza artificiale — è pienamente applicabile: le autorità di vigilanza hanno pieni poteri e gli obblighi valgono anche per chi l’AI la usa soltanto, senza svilupparla. In questa guida trovi cosa prevede la norma, cosa è cambiato all’ultimo con il Digital Omnibus e da dove iniziare, con metodo.
Quando entra in vigore l’AI Act: il calendario delle scadenze
Sull’AI Act circola parecchia confusione, alimentata da un calendario che si applica a tappe e che è stato pure modificato in corsa. Ricostruiamolo.
Il regolamento è in vigore dal 1° agosto 2024, ma i suoi obblighi sono scattati in momenti diversi: da febbraio 2025 valgono i divieti sulle pratiche inaccettabili e l’obbligo di formare chi usa l’AI in azienda; da agosto 2025 le regole per chi sviluppa i grandi modelli generalisti; dal 2 agosto 2026 tutto il resto, a partire dagli obblighi di trasparenza e dal sistema sanzionatorio.
Poi c’è la modifica dell’ultima ora. Il 27 luglio 2026 è entrato in vigore il Digital Omnibus (Regolamento UE 2026/1744), la prima revisione sostanziale dell’AI Act: sposta al 2 dicembre 2027 gli obblighi per i sistemi ad alto rischio — l’AI usata in selezione del personale, credito, istruzione, infrastrutture critiche — e al 2 agosto 2028 quelli per l’AI integrata in prodotti regolamentati come dispositivi medici e macchinari. Il rinvio nasce da un problema pratico: gli standard tecnici per certificare la conformità non erano pronti.
Attenzione a non leggere male la notizia: è slittato l’alto rischio, non l’AI Act. Trasparenza, divieti e formazione sono obblighi pieni, adesso
Come l’AI Act classifica i sistemi di intelligenza artificiale per rischio
L’impianto dell’AI Act è proporzionale. Non tratta allo stesso modo un filtro antispam e un algoritmo che decide chi assumere: classifica ogni sistema per livello di rischio e calibra gli obblighi di conseguenza. Quattro fasce: pratiche vietate in assoluto, sistemi ad alto rischio con requisiti stringenti (documentazione, supervisione umana, gestione del rischio — dal 2027), sistemi a rischio limitato con obblighi di trasparenza, e rischio minimo senza obblighi specifici.
Il punto che spesso sfugge: la responsabilità non è solo di chi sviluppa. La norma distingue il provider (chi crea o distribuisce un sistema di AI) dal deployer (chi lo utilizza). Se la tua azienda usa un chatbot comprato o un abbonamento a ChatGPT, è un deployer — e verso clienti e utenti risponde comunque degli obblighi di trasparenza.
Quali obblighi AI Act si applicano alla tua azienda
Hai un chatbot o un assistente virtuale sul sito
È lo scenario più comune, ed è il più semplice da sistemare: chi scrive alla tua chat deve sapere fin da subito che sta dialogando con un sistema automatico, non con un operatore. Basta un’indicazione chiara all’avvio della conversazione. Se il tuo assistente poi passa la palla a una persona vera, anche quel passaggio merita di essere esplicito: è trasparenza, ed è pure buona esperienza utente — i dati sulle conversioni ci dicono che gli utenti abbandonano quando si sentono ingannati, non quando sanno con chi parlano.
Pubblichi contenuti creati con l’AI
Qui la norma ragiona sul controllo umano. Un articolo o una campagna che nascono da un prompt ma passano da una revisione editoriale vera — una persona che verifica, corregge e se ne assume la responsabilità — non richiedono etichette. Diverso il caso dei contenuti sintetici che simulano la realtà: immagini fotorealistiche, voci clonate, video generati (i deepfake) vanno dichiarati come artificiali. E lo stesso vale per i testi d’informazione pubblicati in automatico, senza che nessuno li abbia controllati.
C’è anche un livello tecnico: gli output dei sistemi generativi dovranno essere marcati in formato leggibile dalle macchine (watermark e metadati). Questo obbligo pesa soprattutto sui provider, e per i sistemi già sul mercato c’è tempo fino al 2 dicembre 2026. Ma il tema tocca anche te che pubblichi: le piattaforme social leggono già i metadati dei file generati e li segnalano ai loro utenti. Sui contenuti conviene arrivarci prima, con una policy chiara, e non farselo dire dall’algoritmo di turno.
Usi l’AI nei processi interni
Due verifiche. La prima: nessuno strumento in azienda deve rientrare nelle pratiche vietate — dal febbraio 2025 sono fuori legge, tra le altre, l’analisi delle emozioni di dipendenti e studenti, la categorizzazione biometrica su attributi sensibili come etnia o opinioni politiche, il social scoring e i database facciali costruiti raccogliendo immagini dal web. Dal 2 dicembre 2026 la lista si allunga con i sistemi per creare immagini intime non consensuali e materiale pedopornografico.
La seconda verifica riguarda le persone: l’articolo 4 impone che chi usa strumenti di AI abbia competenze adeguate. Non è burocrazia, è il presidio contro l’errore più frequente che vediamo: dati riservati — anagrafiche, bilanci, contratti — incollati in un tool pubblico per fare prima. Formazione significa sapere cosa non condividere, controllare gli output prima di usarli (i modelli sbagliano con grande sicurezza) e sapere a chi chiedere in azienda. Nota bene: quest’obbligo è attivo dal 2 febbraio 2025. Non serve una certificazione ufficiale — non esiste — ma serve poter dimostrare di aver formato le persone: programma, presenze, attestati. Funziona come l’accountability del GDPR.
Sanzioni AI Act e autorità di controllo in Italia
Con il 2 agosto 2026 il sistema di vigilanza è a regime. In Italia le autorità designate sono l’Agenzia per la Cybersicurezza Nazionale, affiancata da AgID, secondo il quadro della Legge 132/2025 — che ha fatto dell’Italia il primo Paese UE con una legge nazionale organica sull’intelligenza artificiale.
Le sanzioni seguono la logica del rischio: fino a 35 milioni di euro o al 7% del fatturato mondiale per chi viola i divieti; fino a 15 milioni o al 3% per gli altri obblighi, trasparenza compresa; fino a 7,5 milioni o all’1% per chi fornisce informazioni false alle autorità. Sono tetti massimi, con criteri di proporzionalità e soglie ridotte per le PMI — ma abbastanza alti da meritare un posto nella valutazione dei rischi aziendali.
Un’ultima cosa da non confondere: l’AI Act non sostituisce il GDPR. Se il tuo sistema di AI tratta dati personali — un chatbot che raccoglie contatti, un motore che profila i clienti — si applicano entrambi, ognuno con le sue domande: il GDPR guarda ai dati e a come li tratti, l’AI Act al sistema e agli effetti sulle persone. E le sanzioni si sommano.
Come adeguarsi all’AI Act: le 5 fasi operative
La parte legale dell’adeguamento è materia per il tuo legale. Ma la maggior parte del lavoro è operativa e digitale, e si affronta come qualsiasi progetto fatto bene. Noi usiamo il nostro metodo in cinque fasi:
- Analyse — censisci dove l’AI è davvero in uso: strumenti ufficiali, plugin, integrazioni nei gestionali, ma anche gli account personali che il team usa per lavoro. È il passaggio che riserva più sorprese.
- Define — classifica ogni uso per livello di rischio e definisci le regole interne: quali strumenti sono approvati, per quali dati, con quali controlli.
- Execute — metti a terra gli adempimenti: avviso sul chatbot, etichette dove servono, informative aggiornate, formazione documentata del team.
- Test — verifica sul campo: il disclaimer si vede davvero? I contenuti pubblicati rispettano la policy? Le persone hanno capito cosa non incollare?
- Optimize — la norma evolve (il Digital Omnibus lo dimostra) e gli strumenti pure: rivedi il censimento e le regole a cadenza fissa, non una tantum.
Il rinvio dell’alto rischio al 2027 è tempo regalato: usalo per arrivare pronto, non per rimandare. Chi si adegua adesso lo fa con calma e costi bassi; chi aspetta lo farà in emergenza.
La formazione del team? La organizziamo noi
Tra tutti gli adempimenti, la formazione è quello che puoi chiudere più in fretta — ed è anche quello già in ritardo, visto che l’obbligo corre dal febbraio 2025. Noi formiamo i team delle aziende sull’uso consapevole dell’AI: percorsi pratici, tarati sui ruoli e sugli strumenti che le tue persone usano davvero, non teoria astratta. Si lavora su casi concreti — cosa non incollare nei tool, come verificare gli output prima di usarli, come sfruttare l’AI per lavorare meglio senza esporre l’azienda — e alla fine ti restano le evidenze che l’AI Act ti chiede di conservare: programma del corso, registro dei partecipanti e attestati. Un adempimento in meno da pensare, e un team che usa l’AI con più risultati e meno rischi.
Parliamone
Se hai un sito con chatbot, pubblichi contenuti creati con l’AI o vuoi semplicemente capire a che punto sei, partiamo da un’analisi concreta di quello che usi oggi: è il primo passo del metodo, e spesso basta per avere il quadro chiaro. Da 25 anni orientiamo le aziende nel digitale con dati e risultati misurabili — e i contenuti che gestiamo per i nostri clienti passano già da questi controlli.
Richiedi una consulenza gratuita: è ora di fare grandi cose. Sicuro!
Sì. L’AI Act si applica a tutte le organizzazioni che sviluppano o utilizzano sistemi di intelligenza artificiale nell’Unione Europea, indipendentemente dalle dimensioni. Le PMI beneficiano di soglie sanzionatorie ridotte e di procedure semplificate, ma non di esenzioni dagli obblighi di trasparenza e formazione.
Sì. Chi utilizza un chatbot sul proprio sito deve informare l’utente che sta interagendo con un sistema automatico. L’informazione va fornita all’avvio della conversazione, in modo chiaro e riconoscibile. L’obbligo si applica dal 2 agosto 2026 e riguarda anche chi ha acquistato il chatbot da un fornitore esterno.
Non sempre. I testi generati con AI che passano da una revisione editoriale umana documentata non richiedono etichettatura. Vanno invece dichiarati come artificiali i contenuti sintetici che simulano la realtà — immagini fotorealistiche, video e audio deepfake — e i testi informativi pubblicati senza controllo umano.
L’AI Act prevede sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale per la violazione dei divieti. Per gli altri obblighi, inclusa la trasparenza, il tetto è di 15 milioni di euro o del 3% del fatturato. Per informazioni false alle autorità la sanzione arriva a 7,5 milioni di euro o all’1% del fatturato.
In Italia le autorità competenti sono l’Agenzia per la Cybersicurezza Nazionale (ACN) e l’Agenzia per l’Italia Digitale (AgID), designate dalla Legge 132/2025. L’Italia è stato il primo Stato membro dell’Unione Europea a dotarsi di una legge nazionale organica sull’intelligenza artificiale.
L’obbligo di alfabetizzazione all’intelligenza artificiale è in vigore dal 2 febbraio 2025. L’articolo 4 dell’AI Act richiede che il personale che utilizza sistemi di AI abbia un livello di competenza adeguato. Non esiste una certificazione ufficiale: l’azienda deve poter dimostrare l’attività formativa con programma, registro presenze e attestati.
No, ha rinviato solo una parte degli obblighi. Gli obblighi per i sistemi ad alto rischio slittano al 2 dicembre 2027 e quelli per l’AI integrata in prodotti regolamentati al 2 agosto 2028. Divieti, obblighi di trasparenza e obbligo di formazione restano pienamente applicabili.
.
