AI Act scadenze per le aziende: obblighi e date per le PMI

In breve: chi riguarda e che cosa chiede

Il regolamento europeo sull’intelligenza artificiale, noto come AI Act, non riguarda solo chi sviluppa modelli. Riguarda anche l’agenzia immobiliare che risponde ai clienti con un chatbot, lo studio commerciale che usa un assistente per le email, il negozio online che genera descrizioni e foto prodotto con l’IA.

Il regolamento distingue due ruoli. Il «fornitore» è chi sviluppa un sistema di IA e lo mette sul mercato. Il «deployer» è chi lo utilizza nella propria attività. La maggior parte delle PMI italiane è deployer: compra un software o un servizio in abbonamento e lo usa con clienti e collaboratori. Gli obblighi del deployer sono più leggeri di quelli del fornitore, ma esistono.

Per un’azienda che usa l’IA in modo ordinario, oggi contano tre cose: dire chiaramente alle persone quando parlano con un sistema di IA, segnalare i contenuti artificiali che imitano persone o fatti reali, e assicurarsi che chi usa questi strumenti in azienda sappia cosa sta facendo. Il resto dipende da un’unica domanda: l’IA prende o prepara decisioni importanti sulle persone?

Il calendario aggiornato delle scadenze

Le date qui sotto tengono conto del Regolamento (UE) 2026/1744, l’omnibus digitale sull’IA, pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026 ed entrato in vigore il 27 luglio 2026. Le nuove date sono fissate nel testo, non dipendono da ulteriori decisioni.

Per orientarsi basta leggere la colonna di destra: indica chi deve muoversi a ogni scadenza.

Omnibus digitale: che cosa è slittato e che cosa no

Nel 2026 molti hanno letto titoli come «rinviato l’AI Act». È vero solo in parte. Il Regolamento (UE) 2026/1744 modifica il regolamento IA e sposta in avanti gli obblighi più pesanti, quelli per i sistemi ad alto rischio. Non sposta gli obblighi che toccano più spesso una piccola impresa.

Il rinvio riguarda i sistemi ad alto rischio «autonomi» dell’allegato III, ora dal 2 dicembre 2027, e quelli integrati in prodotti regolati dall’allegato I, ora dal 2 agosto 2028. Restano invece com’erano i divieti e l’alfabetizzazione (dal 2 febbraio 2025), gli obblighi per i modelli GPAI (dal 2 agosto 2025) e gli obblighi di trasparenza dell’art. 50 (dal 2 agosto 2026).

Secondo le sintesi pubblicate dagli studi legali internazionali, l’omnibus introduce anche semplificazioni documentali per le PMI e le piccole imprese a media capitalizzazione. I dettagli vanno letti nel testo: non danno però un’esenzione dagli obblighi di trasparenza.

Trasparenza: cosa dire ai clienti dal 2 agosto 2026

L’art. 50 è la parte del regolamento che una PMI incontra per prima. Il principio è semplice: chi parla con una macchina deve saperlo, e chi guarda un contenuto artificiale che sembra reale non deve essere ingannato.

Esempio pratico. Un B&B sul lago di Garda usa un chatbot per rispondere su orari di check-in, parcheggio e disponibilità. Il chatbot deve presentarsi come assistente basato sull’IA in modo visibile, nella prima schermata della chat. Secondo l’orientamento prevalente dei professionisti, un avviso nascosto nelle condizioni d’uso o nell’informativa privacy non basta.

Secondo caso. Un’agenzia di comunicazione crea un video promozionale con un volto o una voce realistici generati dall’IA, che sembrano una persona reale. In questo caso il regolamento chiede di dichiarare che il contenuto è stato generato o manipolato artificialmente. Per opere chiaramente artistiche, satiriche o di finzione l’obbligo è più leggero.

Terzo caso: la marcatura leggibile dalla macchina dei contenuti generati, una sorta di filigrana digitale. Riguarda soprattutto chi fornisce gli strumenti generativi. Per i sistemi già sul mercato prima del 2 agosto 2026 c’è una transizione fino al 2 dicembre 2026. Se usate un servizio esterno, chiedete al fornitore come gestisce la marcatura.

• Chatbot, assistente vocale o receptionist virtuale: avviso chiaro che si tratta di IA, all’inizio della conversazione.
• Immagini, audio o video realistici di persone o eventi: dichiarazione che il contenuto è artificiale.
• Strumenti generativi acquistati da terzi: verificate con il fornitore la marcatura tecnica dei contenuti.

Alfabetizzazione in materia di IA: un obbligo dal 2025

Dal 2 febbraio 2025 l’art. 4 chiede a fornitori e deployer di garantire che il personale e le altre persone che usano sistemi di IA per loro conto abbiano un livello sufficiente di alfabetizzazione in materia di IA. Il regolamento non fissa un programma, un numero di ore né un attestato obbligatorio.

In pratica, per una piccola impresa significa che chi usa l’IA deve sapere cosa fa lo strumento, dove può sbagliare e quali dati non vanno inseriti. Per uno studio di consulenza del lavoro con otto persone può bastare una sessione interna, una breve regola scritta e un responsabile a cui rivolgersi in caso di dubbi.

Conviene conservare traccia di quello che si fa: data della formazione, partecipanti, argomenti trattati. Non perché lo chieda un modulo preciso, ma perché è il modo più semplice per dimostrare di aver preso sul serio l’obbligo.

Quando un uso dell’IA diventa ad alto rischio

Un sistema non è ad alto rischio perché è «intelligente» o perché parla con i clienti. Lo diventa quando svolge una delle funzioni elencate nell’allegato III del regolamento. Tra queste ci sono, ad esempio, la selezione del personale e la gestione dei lavoratori, la valutazione del merito creditizio, la valutazione degli studenti e degli esami, l’accesso a servizi essenziali pubblici e privati, compresa la valutazione del rischio nelle assicurazioni.

Facciamo due esempi opposti. Un ristorante usa un assistente che prende prenotazioni e risponde sugli allergeni presenti nel menu: in linea generale non rientra in queste funzioni. Una società di servizi usa invece un software che scarta automaticamente i curriculum dei candidati: qui l’IA incide su decisioni di assunzione e il caso va valutato come potenziale alto rischio.

Per gli usi dell’allegato III gli obblighi si applicano dal 2 dicembre 2027. È una data vicina se si pensa al tempo necessario per cambiare fornitore, rivedere i processi o documentare come vengono prese le decisioni. Il confine esatto va sempre verificato sul testo dell’allegato e, nei casi dubbi, con un legale.

• Di norma non ad alto rischio: chatbot per prenotazioni, receptionist IA che risponde a domande frequenti, assistente che riassume email o prepara bozze di testi.
• Da valutare con attenzione: filtri automatici sui candidati, punteggi di affidabilità creditizia dei clienti, correzione automatica di prove d’esame, decisioni sull’accesso a servizi essenziali.
• Attenzione alle estensioni: se il chatbot delle prenotazioni inizia a decidere chi ottiene un finanziamento o un posto di lavoro, la valutazione cambia.

Cosa fare adesso: sei passi per una PMI

Primo: fate un elenco degli strumenti di IA usati in azienda, compresi quelli integrati in software che già avete (CRM, posta, gestionale) e quelli usati in autonomia dai collaboratori.

Secondo: per ogni strumento annotate il ruolo dell’azienda, quasi sempre deployer, e lo scopo d’uso: assistenza clienti, marketing, amministrazione, personale.

Terzo: controllate ogni punto di contatto con i clienti. Chatbot, assistenti vocali e risposte automatiche devono dichiarare in modo visibile che si tratta di IA.

Quarto: definite una regola per i contenuti. Immagini, audio e video realistici generati dall’IA che rappresentano persone o fatti vanno segnalati come artificiali.

Quinto: organizzate una formazione breve per chi usa l’IA e conservatene traccia, in linea con l’art. 4.

Sesto: segnate gli usi che toccano personale, credito, istruzione o servizi essenziali e pianificate una verifica prima del 2 dicembre 2027. Chiedete ai fornitori come intendono adeguarsi.

Sanzioni, controlli e sostegno per le PMI

Il regolamento prevede sanzioni amministrative, disciplinate dall’art. 99, applicate dalle autorità nazionali competenti. Gli importi dipendono dal tipo di violazione: per una PMI è più utile concentrarsi sugli obblighi già in vigore che fare ipotesi sulle cifre.

C’è anche un lato di sostegno. L’art. 58 prevede che l’accesso agli spazi di sperimentazione normativa per l’IA, le cosiddette sandbox, sia gratuito per PMI e start-up, salvo eventuali costi eccezionali recuperabili in modo proporzionato. È utile soprattutto per chi sviluppa un prodotto basato sull’IA e vuole testarlo con l’autorità.

Synelo Studio progetta assistenti e chatbot con l’avviso di trasparenza integrato fin dall’inizio, ma non è uno studio legale: per la qualificazione dei casi dubbi serve un avvocato.

Queste sono informazioni generali aggiornate a ottobre 2026 e non costituiscono consulenza legale: verificate il vostro caso con un legale o con l’autorità competente.