AI Act: cosa devono fare le aziende e quali sono le nuove scadenze

Un'azienda che usa strumenti di intelligenza artificiale senza produrli deve già formare chi li usa ed evitare le pratiche vietate, e dal 2 agosto 2026 deve dichiarare deepfake e contenuti generati nei casi previsti dal regolamento. Il rinvio deciso dall'Unione europea con il Digital Omnibus riguarda soprattutto i sistemi ad alto rischio, come quelli che aiutano a selezionare il personale, che dovranno rispettare le nuove regole dal 2 dicembre 2027.

Le scadenze dopo il Digital Omnibus

L'AI Act è il regolamento europeo 2024/1689, in vigore dal 1° agosto 2024 e applicato a tappe. Dal 2 febbraio 2025 valgono i divieti, per esempio il riconoscimento delle emozioni sul posto di lavoro, e l'obbligo di alfabetizzazione del personale; dal 2 agosto 2025 le regole per i fornitori dei grandi modelli, come quelli dietro ChatGPT o Gemini. Il Digital Omnibus sull'AI, cioè il regolamento 2026/1744 firmato l'8 luglio 2026 e pubblicato il 24 luglio, ha spostato alcune date e alleggerito qualche obbligo.

Secondo il calendario della Commissione europea, dal 2 agosto 2026 si applicano le regole di trasparenza dell'articolo 50 e partono i controlli. Il 2 dicembre 2026 entrano in vigore nuovi divieti sui sistemi che creano immagini intime o sessuali realistiche di persone riconoscibili senza il loro consenso, e scade il termine per i fornitori di generatori già sul mercato, che devono marcare in modo leggibile dalle macchine ciò che producono. Le regole sui sistemi ad alto rischio dell'allegato III arrivano il 2 dicembre 2027, quelle sull'AI dentro i prodotti regolati dell'allegato I, come macchinari e dispositivi medici, il 2 agosto 2028.

Cosa deve fare un'azienda che usa l'AI

Il regolamento chiama «deployer» chi usa un sistema di AI nella propria attività, e la maggior parte delle PMI rientra qui. Chi in ufficio usa ChatGPT o Copilot per scrivere e tradurre non adopera un sistema ad alto rischio, ma l'azienda deve sostenere la formazione di chi li usa: l'articolo 4, riscritto dall'Omnibus, chiede misure adatte agli strumenti e ai ruoli, senza un livello da garantire né un attestato, come spieghiamo in Formazione sull'AI: per le aziende è obbligatoria?. Dal 2 agosto 2026 chi pubblica deepfake deve dichiararli, e per i chatbot l'obbligo di avvisare che risponde una macchina spetta al fornitore, anche se conviene controllare che l'avviso compaia davvero sul proprio sito. I dettagli sono in Chatbot sul sito e contenuti fatti con l'AI.

Il quadro cambia per chi usa l'AI nelle decisioni sulle persone. Il regolamento divide gli strumenti un po' come i farmaci: un assistente per scrivere le mail è un prodotto da banco, un sistema che filtra i curriculum si usa solo con la ricetta, cioè con controlli e qualcuno che ne risponda. Filtrare i curriculum, valutare i candidati, assegnare i compiti o valutare i dipendenti sono usi ad alto rischio secondo l'allegato III. Dal 2 dicembre 2027 l'azienda che li adotta dovrà seguire le istruzioni del fornitore, affidare la supervisione a persone competenti, conservare i registri del sistema per almeno sei mesi e informare lavoratori e rappresentanti prima di usarlo, come chiede l'articolo 26. In Italia la legge 132/2025 chiede già oggi al datore di lavoro di informare i dipendenti quando usa sistemi di AI.

Sanzioni e controlli in Italia

Le multe previste dall'articolo 99 arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate, e fino a 15 milioni o al 3% per gli obblighi di chi usa i sistemi e per la trasparenza. Per le PMI vale la cifra più bassa tra le due, e l'Omnibus chiede agli Stati di tenere conto della loro sostenibilità economica quando fissano le sanzioni. In Italia la legge 132/2025 affida il ruolo di autorità per l'intelligenza artificiale all'Agenzia per l'Italia digitale (AgID) e all'Agenzia per la cybersicurezza nazionale (ACN), che vigila sul mercato e può fare ispezioni e sanzionare; il decreto legislativo 179/2026, in vigore dal 23 ottobre, ne ha precisato i poteri.

Per una PMI il primo passo pratico è l'elenco degli strumenti di AI in uso, di chi li usa e per quale lavoro. In un'azienda che vende online l'elenco può contenere ChatGPT per le mail ai fornitori, un assistente sul sito che risponde sullo stato degli ordini e un generatore di immagini per la newsletter. Per tutti vale l'articolo 4 sulla formazione di chi li usa; l'assistente richiede in più l'avviso che risponde una macchina, e le immagini vanno dichiarate solo se sembrano foto di persone o fatti reali.

Noi partiamo da quell'elenco e sistemiamo le parti che toccano il sito, come l'avviso nel primo messaggio del chatbot e un campo nel pannello per segnare le immagini generate. Quando sviluppiamo un agente collegato al gestionale, al CRM o all'e-commerce, stabiliamo prima con l'azienda quali operazioni può fare da solo e quali deve passare a una persona, e teniamo traccia di chi ha approvato cosa. Dal 2 dicembre 2027 il regolamento chiederà la stessa sorveglianza umana per gli usi ad alto rischio. Nei casi dubbi, come un sistema che potrebbe rientrare nell'alto rischio, conviene verificare la classificazione con un legale. Se vuoi fare quell'elenco con qualcuno che conosce gli strumenti dall'interno, scrivici.