AI Act: dal 2 agosto 2026 le regole valgono davvero. Cosa cambia per la tua azienda

L'AI Act è il Regolamento (UE) 2024/1689: la prima legge al mondo che prova a regolare l'intelligenza artificiale in modo completo, non a pezzi. È in vigore dal 1° agosto 2024, ma si applica a scaglioni — ed è questo che ha confuso tutti per due anni.

Fino a pochi giorni fa un'azienda normale poteva leggere le notizie sull'AI Act e non fare niente, perché quasi niente la riguardava davvero. Dal 2 agosto 2026 non è più così.

Due cose vanno chiarite subito, perché sono le due paure più diffuse e sono entrambe infondate.

L'AI Act non vieta di usare l'intelligenza artificiale. Vieta una manciata di usi specifici — punteggio sociale dei cittadini, riconoscimento delle emozioni sul posto di lavoro, manipolazione del comportamento a danno delle persone — che nessuna PMI italiana stava facendo.

L'AI Act non chiede autorizzazioni preventive. Non esiste un ente a cui presentare domanda, non esiste un bollino da ottenere prima di accendere un chatbot. Esistono obblighi che si rispettano, e la prova di averli rispettati la si costruisce mentre si lavora.

Essendo un regolamento e non una direttiva, si applica direttamente in Italia: non serviva una legge italiana per renderlo operativo. Una legge italiana c'è comunque, e aggiunge qualcosa — ne parliamo più avanti.

La struttura è semplice, e capirla risparmia il 90% della confusione. L'AI Act non chiede la stessa cosa a tutti: guarda cosa fa il sistema alle persone e chiede obblighi proporzionati.

La quasi totalità delle PMI italiane sta nelle ultime due fasce. Un agente che risponde ai clienti, un sistema che legge fatture, un assistente che cerca dentro i documenti aziendali: sono trasparenza o rischio minimo. Non sono alto rischio, e trattarli come tali significa spendere soldi per un problema che non si ha.

L'errore opposto è però più comune: dare per scontato di essere nella fascia bassa senza averlo verificato. Un sistema che filtra i curriculum in arrivo è alto rischio, anche se lo ha scritto uno stagista in un pomeriggio.

L'articolo 50 è l'articolo sulla trasparenza, ed è quello che tocca il maggior numero di aziende. Non chiede documentazione, non chiede audit: chiede che l'utente sappia con cosa ha a che fare. Sono tre obblighi distinti.

1. I sistemi che parlano con le persone devono dichiararsi. Chatbot, assistenti vocali, agenti che rispondono su WhatsApp: la persona deve capire dal primo contatto che dall'altra parte c'è una macchina. Le linee guida della Commissione europea, approvate il 20 luglio 2026 con la comunicazione C(2026) 5054, insistono su un punto che vale la pena riportare: è un requisito di progettazione, integrato nel prodotto. Un avviso aggiunto dopo, in fondo alla pagina o dentro le condizioni d'uso, non basta.

2. I contenuti generati dall'AI devono essere riconoscibili. Testi, immagini, audio, video prodotti da un sistema generativo vanno marcati in modo leggibile dalle macchine — filigrane digitali, metadati, identificativi incorporati. Questo obbligo riguarda chi fornisce il sistema generativo, e per i sistemi già sul mercato al 2 agosto è stato concesso tempo fino al 2 dicembre 2026.

3. Deepfake e testi di interesse pubblico vanno segnalati alle persone. Qui non basta il metadato: serve un'indicazione visibile. Se pubblichi un'immagine realistica generata dall'AI, o un testo scritto dall'AI destinato a informare il pubblico su questioni di interesse generale, deve essere dichiarato in modo che un lettore lo noti. C'è un'eccezione importante: se il contenuto passa da una revisione umana e qualcuno se ne assume la responsabilità editoriale, l'obbligo di segnalazione non scatta.

Esiste anche un codice di condotta volontario sulla trasparenza dei contenuti generati dall'AI, pubblicato il 10 giugno 2026 e riconosciuto adeguato dalla Commissione. Aderirvi non è obbligatorio, ma chi lo fa sposta i controlli delle autorità dalla valutazione nel merito alla verifica dell'adesione: in caso di ispezione, è una posizione migliore.

Qui sta la parte che quasi tutti gli articoli usciti in questi giorni raccontano male. Il 2 agosto 2026 era la data di applicazione generale dell'AI Act, ma non tutto è arrivato a destinazione.

Il 29 giugno 2026 il Consiglio dell'Unione Europea ha dato l'approvazione definitiva al Digital Omnibus, il pacchetto di semplificazione che ha spostato in avanti gli obblighi più pesanti. Il quadro reale delle scadenze è questo.

La lettura pratica è una sola: la parte rinviata è quella che riguarda poche aziende, la parte confermata è quella che riguarda quasi tutte. Chi ha letto i titoli sul rinvio e ha concluso che non c'era fretta ha letto la riga sbagliata della tabella.

Prima di chiedersi cosa fare, bisogna sapere in quale posizione si è. L'AI Act distingue due ruoli, e gli obblighi cambiano in modo netto.

Il fornitore è chi sviluppa un sistema di AI e lo mette sul mercato o in servizio con il proprio nome. Ha la lista lunga: conformità del sistema, documentazione tecnica, marcatura dei contenuti generati, informazioni agli utilizzatori.

L'utilizzatore professionale — il deployer, nel testo del regolamento — è chi usa un sistema di AI nella propria attività. Ha la lista corta: usarlo secondo le istruzioni, informare le persone quando serve, garantire che chi lo usa sappia cosa sta facendo.

Quasi tutte le PMI sono utilizzatori. Chi usa ChatGPT per scrivere, chi ha comprato un CRM con funzioni di AI incorporate, chi ha fatto installare un chatbot: sono tutti utilizzatori, con obblighi contenuti.

C'è però un passaggio da conoscere, perché è il punto in cui ci si trova fornitori senza essersene accorti: se metti il tuo nome su un sistema di AI, o ne modifichi in modo sostanziale la finalità, diventi tu il fornitore. Un'azienda che prende un modello di terzi, lo veste con il proprio marchio e lo offre ai propri clienti come servizio non è più un semplice utilizzatore.

Cinque cose. Nessuna richiede un consulente esterno per essere capita, tutte richiedono qualche ora per essere fatte.

1. Fai l'elenco di dove usi l'AI. È il passo che tutti saltano ed è il più utile. Non solo i sistemi comprati: anche gli strumenti che i collaboratori usano per conto loro. Nella maggior parte delle aziende che abbiamo visto, l'elenco reale è più lungo di quello che si aspettava chi lo compila — c'è sempre qualcuno che passa dati aziendali dentro un assistente pubblico senza averlo detto a nessuno. Quello è il rischio vero, e non è nemmeno un rischio AI Act: è un rischio GDPR.

2. Fai dichiarare i sistemi che parlano con le persone. Se hai un chatbot sul sito, deve dirsi AI dal primo messaggio. Se hai un centralino automatico, deve dirlo prima di iniziare. È l'intervento a più basso costo e più alto rendimento di tutta la lista: sono poche righe di testo, e chiude l'obbligo più esposto a controlli.

3. Aggiorna l'informativa privacy. Se il chatbot conserva le conversazioni, se un sistema di AI elabora dati dei clienti, va scritto: quali dati, per quale finalità, per quanto tempo, con quale base giuridica. L'AI Act e il GDPR qui si sovrappongono, e l'informativa è il punto in cui un cliente attento va a guardare per primo.

4. Forma chi usa l'AI in azienda. È l'articolo 4, in vigore da febbraio 2025 e ignorato quasi da tutti. Non prevede una sanzione diretta, ma in caso di contestazione la formazione documentata è la prova principale di aver agito con diligenza — e pesa sul calcolo della sanzione per qualunque altra violazione. Non serve un corso da ventimila euro: serve che le persone sappiano cosa possono metterci dentro, cosa no, e che le risposte vanno verificate.

5. Metti le clausole giuste nei contratti con i fornitori. Se un fornitore ti costruisce un sistema di AI, deve dirti per iscritto in quale fascia di rischio ricade, cosa ha fatto per la conformità e cosa resta in carico a te. Se non sa risponderti, è un'informazione su di lui.

I titoli parlano di 35 milioni di euro. È vero, ma è il tetto per le pratiche vietate, che nessuna azienda normale commette. Le fasce sono tre.

Qui sta il dettaglio che cambia la prospettiva a una PMI. Per le grandi imprese si applica il più alto tra la cifra fissa e la percentuale. Per PMI e startup si applica il più basso: lo dice l'articolo 99, ed è una scelta esplicita di proporzionalità.

Tradotto: un'azienda con due milioni di fatturato che viola gli obblighi di trasparenza non rischia 15 milioni, rischia fino al 3% di due milioni — 60.000 euro. Resta una cifra che nessuno vuole pagare, e resta un tetto e non un automatismo. Ma è bene sapere che l'ordine di grandezza reale non è quello che circola.

C'è un pezzo di questa storia che non fa notizia e che invece a una PMI serve più delle sanzioni: insieme agli obblighi, la Commissione ha pubblicato strumenti pensati proprio per chi non ha un ufficio legale interno. Sono pubblici e sono in italiano.

• L'AI Act Service Desk. Un punto unico dove chiedere se una cosa rientra o no. Non è un consulente e non dà pareri vincolanti, ma toglie di mezzo le domande che oggi si risolvono cercando su Google.
• Il compliance checker. Un questionario che in una decina di minuti dice in quale fascia ricade un sistema. Utile soprattutto per escludere l'alto rischio con qualche certezza, che è la paura più costosa da tenersi addosso.
• Una guida dedicata alle piccole imprese. Esiste, ed è scritta per chi non fa questo di mestiere.
• Le sandbox normative. Dal 2 agosto 2026 ogni Stato membro deve aver istituito uno spazio di sperimentazione dove testare sistemi di AI in condizioni reali sotto la supervisione dell'autorità, prima di immetterli sul mercato. È una possibilità concreta per chi sviluppa qualcosa che rischia di ricadere in alto rischio.
• Il Patto per l'IA. Un'adesione volontaria a rispettare gli obblighi principali prima che diventino esigibili. Non serve a evitare sanzioni: serve a dimostrare, se qualcuno chiede, che ci si è mossi prima.

C'è anche una semplificazione strutturale che vale la pena conoscere: il pacchetto di novembre 2025 ha esteso i requisiti alleggeriti — a partire dalla documentazione tecnica ridotta — dalle sole PMI anche alle piccole imprese a media capitalizzazione. Il legislatore europeo ha ammesso, in sostanza, che la prima versione era troppo pesante per chi non è una grande impresa.

Le fonti primarie sono due, ed è meglio leggere quelle che i riassunti: la pagina ufficiale della Commissione europea e il testo consolidato con gli strumenti di verifica.

L'Italia è stato il primo paese dell'Unione a darsi una legge nazionale sull'intelligenza artificiale: la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025. Non sostituisce l'AI Act — non potrebbe — ma aggiunge obblighi su ambiti che il regolamento europeo lascia agli Stati.

Due riguardano direttamente le imprese.

Informativa al cliente. Imprese e professionisti devono dichiarare in modo chiaro se e come impiegano strumenti di intelligenza artificiale nella prestazione che forniscono. Non è una formalità: è esattamente il tipo di informazione che un cliente si aspetta di trovare, e ometterla oggi comunica peggio di quanto comunichi dichiararla.

Informativa ai lavoratori. Il datore di lavoro deve comunicare quali sistemi di AI sono utilizzati nella gestione del personale, con quali finalità, con quale logica di funzionamento e quali limiti. E deve poterlo dimostrare: la legge chiede una gestione documentata, non una dichiarazione a voce.

Chi ci chiede un agente AI in queste settimane fa quasi sempre la stessa domanda prima di firmare: e poi sono a norma? Rispondiamo qui, per iscritto, distinguendo le due cose che vanno distinte.

La parte che dipende da come il sistema è costruito la copriamo noi.

• Ogni agente che costruiamo si presenta come intelligenza artificiale al primo contatto, per progettazione e non con un avviso aggiunto dopo. Vale anche per l'agente che risponde su questo sito: te lo dice nel primo messaggio, nell'intestazione e sotto ogni risposta.
• Non progettiamo sistemi che ricadono nelle pratiche vietate. Niente riconoscimento delle emozioni dei dipendenti, niente punteggi sui comportamenti delle persone.
• Quando un progetto sfiora l'alto rischio — selezione del personale, valutazione del merito creditizio — lo diciamo prima del preventivo, non dopo. Cambia l'impegno e cambia il costo, e saperlo a metà lavoro non conviene a nessuno.
• I dati restano su infrastrutture dedicate, e sappiamo dirti in quale paese vengono elaborati. È la domanda che il tuo consulente privacy farà per prima.
• A fine progetto ti consegniamo per iscritto in quale fascia ricade il sistema, cosa fa esattamente e cosa resta in carico a te.

La parte che dipende da come lo usi resta tua — e questa è la frase che un fornitore serio deve dirti, perché nessuno può assumersi la conformità di scelte che fai dopo la consegna. L'informativa ai tuoi clienti, la formazione delle tue persone, i dati che decidi di inserire: quello è il tuo perimetro. Noi ti diciamo qual è, in modo che nessuno scopra a posteriori di avere un buco che pensava coperto.

Se stai valutando un agente AI e vuoi capire dove ricadrebbe, la pagina sugli agenti AI spiega come lavoriamo. Se non sai ancora se l'AI ti serve, questa pagina parte da zero.