Normativa · Regolamento UE 2024/1689
AI Act: cosa cambia dal 2 agosto 2026 per le aziende
Se la tua azienda usa ChatGPT o Copilot per scrivere email non ti serve un sistema di gestione. Ti servono tre cose, e stanno in poche pagine. Qui c'è cosa è davvero obbligatorio, cosa è stato rinviato, e cosa aggiunge la legge italiana.
Verificato il . Questa pagina spiega come mi muovo io con le aziende che seguo: non è un parere legale e non sostituisce il tuo consulente.
Prima cosa: quasi certamente sei un deployer
È la distinzione da cui dipende tutto il resto, e quasi nessuno la spiega bene. Il regolamento tratta in modo molto diverso chi sviluppa e immette sul mercato un sistema di intelligenza artificiale, chiamato fornitore, e chi lo usa sotto la propria autorità, chiamato deployer o utilizzatore.
Un'azienda che compra licenze di un assistente conversazionale e le dà ai propri dipendenti è un deployer. Gli obblighi pesanti del regolamento, cioè valutazione di conformità, documentazione tecnica, sistema di gestione dei rischi, marcatura, riguardano i fornitori e i sistemi ad alto rischio. Non te.
Attenzione però a un punto: si può diventare fornitori senza volerlo. Se prendi un modello di terzi, ci costruisci sopra uno strumento, gli metti il tuo marchio e lo dai a dei clienti, il regolamento ti tratta diversamente. Per un'azienda che usa l'AI al proprio interno questo non succede.
Cosa scatta davvero il 2 agosto 2026
La data è importante meno per gli obblighi nuovi e più per un motivo pratico: da quel giorno le autorità nazionali di vigilanza diventano operative. Diversi obblighi esistevano già sulla carta ma non avevano chi li verificasse.
Diventano esigibili anche gli obblighi di trasparenza dell' articolo 50: dichiarare, nei casi previsti, che un contenuto è stato generato o manipolato da un sistema di intelligenza artificiale, e che l'interlocutore sta parlando con una macchina quando non è ovvio. Se hai un assistente che risponde ai clienti sul sito, è il punto che ti riguarda.
Nel frattempo il pacchetto Digital Omnibus ha rinviato al 2027 e al 2028 gli obblighi sui sistemi ad alto rischio. È la notizia che ha generato più confusione, perché è stata letta come un rinvio generale. Non lo è: riguarda l'alto rischio, non la vigilanza né la trasparenza.
L'obbligo di alfabetizzazione, spiegato senza allarmismo
L'articolo 4 chiede a fornitori e deployer di assicurare al proprio personale un livello adeguato di competenza sull'AI, proporzionato al ruolo, al contesto d'uso e ai rischi. È in vigore dal 2 febbraio 2025, ma è dal 2 agosto 2026 che c'è chi può verificarlo.
Non fissa una soglia dimensionale, quindi vale anche per una ditta da quindici persone. Ma la parola che conta è proporzionato. Per un'azienda che usa un assistente conversazionale per scrivere email e sintetizzare documenti significa spiegare alle persone cosa può e non può fare lo strumento, cosa non va mai incollato dentro, e come si verifica un output prima di usarlo. Una sessione fatta bene, con un elenco dei partecipanti, non un corso certificato.
Segnalo anche che il Digital Omnibus ha ammorbidito la formulazione, passando da misure per garantire l'alfabetizzazione a misure volte a sostenerne lo sviluppo. Cambia il tono, non la sostanza pratica: la formazione va fatta e va poterla dimostrare.
Cosa aggiunge la legge italiana
L'Italia ha una sua legge sull'intelligenza artificiale, la 132 del 23 settembre 2025, in vigore dal 10 ottobre 2025. Non sostituisce il regolamento europeo, lo integra dove questo lascia spazio agli Stati membri.
Per un'impresa i due punti che pesano davvero sono questi. Il primo è il divieto di usare strumenti di AI per il controllo a distanza dei lavoratori senza accordo sindacale o autorizzazione dell'Ispettorato del Lavoro: se stai valutando qualcosa che misura produttività individuale, fermati e parlane con un giuslavorista prima di comprare. Il secondo è l'insistenza su formazione e alfabetizzazione, che rafforza quello che già chiede l'articolo 4.
C'è poi un principio utile da conoscere: la legge modula gli obblighi sulla dimensione dell'impresa, proprio per evitare che la conformità diventi un privilegio di chi ha un ufficio legale interno.
I tre documenti che servono davvero
Nella grande maggioranza delle PMI che seguo, la conformità pratica sta in tre documenti brevi. Non in un sistema di gestione, non in una consulenza da mesi.
- Un registro dei sistemi di AI usati. Quali strumenti, per quale finalità, quali dati ci passano, quale fornitore, chi li usa in azienda. Una tabella, non un trattato. È anche il documento che ti serve per rispondere in trenta secondi se qualcuno te lo chiede.
- Una regola interna di utilizzo. Cosa si può e cosa non si può inserire negli strumenti, con particolare attenzione ai dati dei clienti e alle informazioni riservate. Va scritta prima di distribuire le licenze, non dopo il primo incidente.
- Una traccia della formazione. Data, contenuti, partecipanti. Serve a dimostrare l'adempimento dell'articolo 4, e serve anche a te per sapere chi è stato formato e chi no.
Cosa non fare
Il rischio più concreto in questo momento non è la sanzione, è il contrario: bloccare l'adozione dell'AI per paura di una normativa che, per un utilizzatore ordinario, chiede molto meno di quanto si racconta. Ho visto aziende fermare progetti utili in attesa di capire, mentre i concorrenti andavano avanti.
L'altro errore è comprare conformità a scatola chiusa. Se qualcuno ti propone un pacchetto AI Act senza prima chiederti quali strumenti usi e per cosa, non sta valutando la tua posizione: sta vendendo un modello.
Il percorso sensato è l'opposto e costa poco: metti per iscritto cosa usi, scrivi due regole, forma le persone, e continua a lavorare. Se poi vuoi capire dove l'AI conviene davvero nei tuoi processi, è il lavoro che descrivo nella pagina sulla consulenza sull'intelligenza artificiale, e per settore ho scritto le pagine su la manifattura e sugli studi di amministrazione condominiale.
Domande frequenti
Cos'è l'AI Act?
L'AI Act è il Regolamento UE 2024/1689, la prima normativa organica al mondo sull'intelligenza artificiale. Classifica i sistemi di AI per livello di rischio, dalle pratiche vietate ai sistemi ad alto rischio fino a quelli a rischio minimo, e impone obblighi diversi a seconda che un soggetto sviluppi il sistema, cioè sia fornitore, oppure lo utilizzi sotto la propria autorità, cioè sia deployer. Per la grande maggioranza delle aziende italiane, che usano strumenti di terzi senza svilupparli, vale la seconda categoria e gli obblighi sono molto più leggeri di quanto si racconti.
Quando entra in vigore l'AI Act?
Il regolamento è entrato in vigore ad agosto 2024 con applicazione scaglionata. Dal 2 febbraio 2025 si applicano le pratiche vietate e l'obbligo di alfabetizzazione. Dal 2 agosto 2026 il regolamento diventa applicabile in via generale, le autorità nazionali di vigilanza diventano operative e diventano esigibili gli obblighi di trasparenza dell'articolo 50. Gli obblighi sui sistemi ad alto rischio sono stati rinviati al 2027 e al 2028 dal pacchetto Digital Omnibus.
Quali sono le sanzioni previste dall'AI Act?
Il regolamento prevede sanzioni proporzionate alla gravità della violazione, con i massimali più alti riservati alle pratiche vietate e importi decrescenti per le violazioni degli obblighi sui sistemi ad alto rischio e per le informazioni scorrette fornite alle autorità. Per le piccole e medie imprese il regolamento prevede espressamente che i massimali siano calcolati tenendo conto della dimensione, proprio per evitare che l'importo sia insostenibile. Nella pratica, per un'azienda che usa strumenti di terzi senza applicazioni ad alto rischio, il rischio sanzionatorio concreto è basso: quello che conta è poter dimostrare la formazione e sapere quali sistemi si usano.
La mia azienda deve fare qualcosa per l'AI Act?
Se usa strumenti di intelligenza artificiale, anche solo ChatGPT o Copilot per scrivere email, sì, ma molto meno di quanto si legge in giro. Un'azienda che si limita a usare strumenti di terzi è un deployer, non un fornitore, e gli obblighi pesanti del regolamento riguardano i fornitori e i sistemi ad alto rischio. Per un deployer che non fa selezione del personale, valutazione del credito o sorveglianza, gli adempimenti concreti sono tre: formare le persone che usano gli strumenti, dichiarare quando un contenuto è generato dall'AI nei casi previsti, e tenere traccia di quali sistemi si usano e per cosa.
Cosa cambia esattamente il 2 agosto 2026?
Dal 2 agosto 2026 il regolamento diventa applicabile in via generale e, soprattutto, le autorità nazionali di vigilanza diventano operative: fino a quel momento diversi obblighi esistevano sulla carta ma non aveva chi li verificasse. Diventano esigibili anche gli obblighi di trasparenza dell'articolo 50, cioè dichiarare che un contenuto è stato generato o manipolato da un sistema di AI nei casi previsti. Gli obblighi sui sistemi ad alto rischio sono invece stati rinviati al 2027 e al 2028 dal pacchetto Digital Omnibus.
Cos'è l'obbligo di alfabetizzazione AI e riguarda anche una ditta da quindici dipendenti?
L'articolo 4 dell'AI Act chiede a chi fornisce e a chi utilizza sistemi di intelligenza artificiale di assicurare al proprio personale un livello adeguato di competenza sull'AI, proporzionato al ruolo, al contesto d'uso e ai rischi. Vale anche per le aziende piccole, perché la norma non fissa una soglia dimensionale, ma è proporzionale: per una ditta da quindici persone che usa un assistente conversazionale significa spiegare cosa può e non può fare lo strumento, cosa non va mai incollato dentro, e come si verifica un output. Non significa un corso certificato.
Posso usare l'AI per selezionare il personale?
È una delle aree classificate ad alto rischio, quindi la risposta è che si può ma con obblighi seri e un onere di conformità che per una PMI raramente ha senso affrontare. Ai fini pratici, usare un sistema di AI per fare screening dei curriculum o classificare i candidati è la scelta che sposta un'azienda dalla categoria degli utilizzatori tranquilli a quella regolata. Nella maggior parte dei casi conviene tenere l'AI fuori dalle decisioni sulle persone e usarla su documenti e processi.
Cosa aggiunge la legge italiana rispetto al regolamento europeo?
La legge 23 settembre 2025 numero 132, in vigore dal 10 ottobre 2025, non sostituisce l'AI Act: lo integra dove il regolamento lascia spazio agli Stati. Per le imprese i due punti che contano di più sono il divieto di usare strumenti di AI per il controllo a distanza dei lavoratori senza accordo sindacale o autorizzazione dell'Ispettorato del Lavoro, e l'insistenza su formazione e alfabetizzazione. La legge prevede inoltre obblighi modulati sulla dimensione dell'impresa, proprio per non schiacciare le PMI.
Cosa conviene mettere per iscritto?
Tre documenti brevi bastano nella grande maggioranza dei casi. Un registro dei sistemi di AI usati in azienda, con finalità, dati trattati, fornitore e chi li usa. Una regola interna di utilizzo che dica cosa si può e cosa non si può inserire negli strumenti, con particolare attenzione ai dati dei clienti. Una traccia della formazione fatta alle persone, anche solo una sessione con l'elenco dei partecipanti. Sono documenti da poche pagine, non un sistema di gestione.
Non sai in quale categoria sei?
In mezz'ora guardiamo quali strumenti usi e per cosa, e capiamo se la tua posizione è quella tranquilla o quella regolata.
Marco Masut, Largo di Porta Cadore 5, 31029 Vittorio Veneto (TV)[email protected]