AI Act: cosa prevede e quali obblighi valgono già per le aziende
Divieti, alfabetizzazione e trasparenza sono già in vigore, mentre il Digital Omnibus ha rinviato gli obblighi per l’alto rischio. Cosa deve fare oggi un’azienda che usa l’AI, anche alla luce della legge italiana.
L’AI Act, il Regolamento (UE) 2024/1689, classifica i sistemi di intelligenza artificiale in base al rischio e riguarda anche le aziende che li usano, non solo chi li sviluppa. A ottobre 2026 sono già applicabili i divieti, le misure di alfabetizzazione sull’AI e gli obblighi di trasparenza. Per i sistemi ad alto rischio, invece, il Digital Omnibus ha spostato le scadenze al 2 dicembre 2027 e al 2 agosto 2028.
Cosa prevede l’AI Act in breve
L’AI Act è un regolamento europeo, quindi vale direttamente in tutti gli Stati membri senza bisogno di recepimento. Non regola la tecnologia in sé, ma gli usi: più un sistema può incidere su salute, sicurezza e diritti delle persone, più obblighi porta con sé. È lo stesso approccio basato sul rischio che le imprese conoscono dal risk management.
I livelli sono quattro, più una disciplina a parte per i grandi modelli di uso generale:
- Rischio inaccettabile: pratiche vietate, come la manipolazione che sfrutta le vulnerabilità delle persone, il social scoring o il riconoscimento delle emozioni sul luogo di lavoro (salvo motivi medici o di sicurezza).
- Alto rischio: sistemi usati in ambiti sensibili, ad esempio selezione del personale, valutazione del merito di credito, istruzione, infrastrutture critiche, oppure integrati in prodotti regolati come macchine e dispositivi medici.
- Rischio di trasparenza: chatbot, contenuti generati o manipolati (deepfake), sistemi che interagiscono con le persone.
- Rischio minimo: la gran parte degli usi aziendali, come filtri antispam, traduzioni, estrazione di dati da documenti. Nessun obbligo specifico oltre all’alfabetizzazione.
- Modelli di AI per finalità generali (i modelli alla base degli assistenti generativi): obblighi per chi li sviluppa e li immette sul mercato, non per chi li usa.
A chi si applica: fornitore o deployer
Il regolamento distingue i ruoli. Il fornitore sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato con il proprio nome. Il deployer è chi usa un sistema di AI sotto la propria autorità nell’ambito di un’attività professionale. Ci sono poi importatori e distributori.
Una PMI che usa un assistente generativo, un software HR con funzioni di screening dei CV o un gestionale con moduli predittivi è quasi sempre deployer. Attenzione però: se metti il tuo marchio su un sistema ad alto rischio, o lo modifichi in modo sostanziale, puoi diventare fornitore a tua volta, con obblighi molto più pesanti. L’AI Act si applica anche a fornitori extra UE quando i risultati del sistema sono usati in Europa.
Il calendario aggiornato a ottobre 2026
L’AI Act è entrato in vigore il 1° agosto 2024 e si applica per gradi. Ecco le date che contano dopo le modifiche del 2026:
| Data | Cosa si applica | Stato a ottobre 2026 |
|---|---|---|
| 2 febbraio 2025 | Divieti delle pratiche a rischio inaccettabile e alfabetizzazione sull’AI | In vigore |
| 2 agosto 2025 | Obblighi per i modelli di uso generale, governance, sanzioni | In vigore |
| 27 luglio 2026 | Modifiche del Digital Omnibus, incluso il nuovo testo sull’alfabetizzazione | In vigore |
| 2 agosto 2026 | Applicazione generale, compresi gli obblighi di trasparenza | In vigore |
| 2 dicembre 2026 | Nuovo divieto sui deepfake intimi non consensuali; marcatura dei contenuti generati per i sistemi già sul mercato | Imminente |
| 2 dicembre 2027 | Obblighi per i sistemi ad alto rischio dell’Allegato III (lavoro, credito, istruzione, biometria) | Rinviato |
| 2 agosto 2028 | Obblighi per l’AI ad alto rischio integrata in prodotti regolati (Allegato I) | Rinviato |
Cosa ha cambiato il Digital Omnibus
Il pacchetto di semplificazione proposto dalla Commissione nel novembre 2025 è diventato il Regolamento (UE) 2026/1744, pubblicato in Gazzetta ufficiale dell’UE il 24 luglio 2026 e in vigore dal 27 luglio, pochi giorni prima della scadenza originaria del 2 agosto 2026 per l’alto rischio.
Le modifiche principali:
- Rinvio dell’alto rischio: 2 dicembre 2027 per i sistemi dell’Allegato III, 2 agosto 2028 per quelli integrati in prodotti. È un rinvio, non una cancellazione: requisiti e obblighi restano gli stessi.
- Alfabetizzazione ricalibrata: fornitori e deployer non devono più «garantire» un livello sufficiente di competenze, ma adottare misure per svilupparle tra il personale. Commissione e Stati membri devono sostenere le imprese, in particolare le PMI.
- Nuovo divieto dal 2 dicembre 2026 per i sistemi che generano immagini intime o sessualmente esplicite di persone riconoscibili senza consenso.
- Semplificazioni documentali e sul sistema di gestione della qualità per PMI e small mid-cap.
Gli obblighi di trasparenza non sono stati rinviati: si applicano dal 2 agosto 2026. Fa eccezione la marcatura leggibile dalla macchina dei contenuti generati, che per i sistemi già sul mercato prima di quella data slitta al 2 dicembre 2026.
Gli obblighi che valgono già oggi
Pratiche vietate
Verifica che nessuno strumento in uso rientri tra le pratiche vietate. Il caso più vicino alle aziende è il riconoscimento delle emozioni dei dipendenti, ad esempio in call center o durante i colloqui: è vietato salvo ragioni mediche o di sicurezza.
Alfabetizzazione sull’AI
Chi usa sistemi di AI deve adottare misure per sviluppare competenze adeguate nelle persone che li utilizzano, tenendo conto del loro ruolo e del contesto. Non serve un attestato né un numero minimo di ore: bastano formazione mirata, istruzioni d’uso chiare e una traccia di cosa hai fatto.
Trasparenza
Dal 2 agosto 2026, se un chatbot sul tuo sito risponde ai clienti, le persone devono sapere che stanno parlando con una macchina. Se pubblichi immagini, audio o video realistici generati o manipolati con l’AI, devi dichiararlo. Lo stesso vale per i testi generati pubblicati per informare il pubblico su questioni di interesse pubblico, salvo revisione umana con responsabilità editoriale.
Le sanzioni previste dall’articolo 99 arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate e fino a 15 milioni o al 3% per gli altri obblighi. Per le PMI si applica l’importo più basso tra i due.
La legge italiana sull’AI (Legge 132/2025)
L’Italia ha affiancato all’AI Act una legge quadro nazionale, la Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025. Non duplica il regolamento europeo, ma aggiunge principi e regole su alcuni ambiti. Per le aziende contano soprattutto questi punti:
- Lavoro (art. 11): il datore di lavoro deve informare i lavoratori dell’uso dell’AI nei casi e con le modalità già previste per i sistemi decisionali o di monitoraggio automatizzati.
- Professioni intellettuali (art. 13): l’AI può svolgere solo attività strumentali e di supporto, e il professionista deve comunicare al cliente quali sistemi usa, in modo chiaro e semplice.
- Autorità (art. 20): AgID e ACN sono le autorità nazionali per l’AI, mentre Banca d’Italia, CONSOB e IVASS vigilano nei rispettivi settori.
- Minori (art. 4): sotto i 14 anni l’accesso a sistemi di AI richiede il consenso di chi esercita la responsabilità genitoriale.
- Reati (art. 26): nuova aggravante per i reati commessi con l’AI e nuovo reato di illecita diffusione di contenuti generati o alterati (deepfake).
La legge delega il Governo ad adottare entro dodici mesi i decreti per adeguare l’ordinamento all’AI Act, in particolare su poteri di vigilanza e sanzioni. Il Consiglio dei ministri ci ha lavorato nel 2026: prima di impostare procedure interne, controlla in Gazzetta Ufficiale quali decreti sono stati pubblicati e da quando si applicano.
Cosa fare in azienda: una checklist pratica
- Fai l’inventario degli strumenti di AI in uso, compresi quelli integrati in software che già usi (CRM, HR, contabilità, assistenza clienti).
- Classifica ogni uso per livello di rischio e chiarisci il tuo ruolo: deployer o fornitore.
- Scrivi una policy interna su quali strumenti si possono usare, con quali dati e con quale controllo umano.
- Organizza la formazione per ruolo e conserva una traccia delle attività svolte.
- Informa i lavoratori quando l’AI incide su selezione, gestione o monitoraggio, come chiede la legge italiana.
- Verifica la trasparenza di chatbot e contenuti generati pubblicati all’esterno.
- Chiedi ai fornitori documentazione, istruzioni d’uso e impegni contrattuali, soprattutto se i sistemi possono rientrare nell’alto rischio dal 2027.
Lo stesso vale per i software che usano l’AI per leggere documenti e preparare dati di sostenibilità, come Envify: sono usi a basso impatto, ma conviene sapere quali dati vengono elaborati e chi verifica i risultati. La governance dell’AI sta entrando anche nei questionari ESG di clienti e banche (ne parliamo in questionari ESG delle banche), e una buona gestione dei dati ESG parte dagli stessi principi: sapere da dove vengono le informazioni e chi le controlla. Per gli usi dell’AI nel reporting puoi leggere anche AI e reporting di sostenibilità.
Per la maggior parte delle aziende, che usano l’AI senza svilupparla, gli obblighi già in vigore sono tre: evitare le pratiche vietate, formare chi usa l’AI e garantire la trasparenza verso clienti e pubblico. L’alto rischio è rinviato al 2027 e al 2028, ma inventario e classificazione degli strumenti conviene farli adesso.
