AI Act: cosa devono fare le aziende italiane

Chatbot per scrivere, CRM con funzioni di intelligenza artificiale, software che filtrano i curriculum: se li usi, l'AI Act ti riguarda, a prescindere dalle dimensioni.

Cos'è l'AI Act, in parole semplici

È il regolamento (UE) 2024/1689, in vigore dal 1° agosto 2024 e direttamente applicabile in tutta l'UE. Il criterio è il rischio: più un uso dell'IA può incidere su salute, sicurezza e diritti, più gli obblighi pesano. Quattro livelli:

• Rischio inaccettabile: pratiche vietate dall'articolo 5, come i «punteggi sociali» o dedurre le emozioni delle persone sul lavoro o a scuola, salvo motivi medici o di sicurezza.
• Rischio elevato: IA nei prodotti regolati per la sicurezza e usi in aree come lavoro, credito e istruzione.
• Rischio di trasparenza: chatbot, contenuti generati, deep fake.
• Rischio minimo: secondo la Commissione vi rientra la stragrande maggioranza dei sistemi in uso nell'UE; nessuna regola specifica oltre all'alfabetizzazione.

Ti riguarda? Fornitore o deployer

Quasi certamente sì, e il ruolo decide gli obblighi (articolo 3):

• Fornitore: chi sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio.
• Deployer: chi usa un sistema di IA sotto la propria autorità, fuori da un'attività personale non professionale.

Chi usa un assistente di scrittura, l'IA del CRM o un chatbot acquistato è di solito deployer. Ma se fai costruire un agente AI su misura e lo metti in servizio con il tuo nome, anche per uso interno, puoi diventare fornitore: chiariscilo con un legale prima del contratto.

Le scadenze, aggiornate al 26 settembre 2026

Divieti, alfabetizzazione e trasparenza valgono già; l'alto rischio è slittato al 2027 e al 2028 con il regolamento (UE) 2026/1744, l'«Omnibus digitale sull'IA», in vigore dal 27 luglio 2026: non una proposta, ma legge.

• 2 febbraio 2025: divieti e alfabetizzazione in materia di IA (articoli 5 e 4).
• 2 agosto 2025: regole per i modelli di IA per finalità generali e governance.
• 2 agosto 2026: si applica la maggior parte del regolamento, trasparenza compresa, e partono i controlli.
• 2 dicembre 2026: nuovi divieti sui sistemi che generano contenuti intimi di persone riconoscibili senza consenso o materiale pedopornografico; fine della proroga per marcare i contenuti dei sistemi generativi già sul mercato prima del 2 agosto 2026.
• 2 dicembre 2027: alto rischio dell'allegato III (lavoro, credito, istruzione e altre aree).
• 2 agosto 2028: alto rischio dell'allegato I, l'IA integrata in prodotti regolati come dispositivi medici o giocattoli.

Le date possono ancora cambiare: controlla la pagina della Commissione europea sull'AI Act.

Cosa deve fare adesso una PMI: cinque passi

Se l'IA in azienda è agli inizi, parti da come iniziare con l'AI senza farsi male.

• 1. Inventario e classificazione. Elenca gli strumenti di IA in uso, anche dentro i software che hai già, le automazioni con l'AI e quelli adottati dai colleghi; per ognuno annota chi lo usa, con quali dati e con quale rischio.
• 2. Formazione. L'articolo 4 chiede misure per sostenere l'alfabetizzazione in materia di IA di chi usa i sistemi per l'azienda, senza imporre un livello specifico (dal 27 luglio 2026). Non serve un certificato, dice la Commissione, e va informato di rischi come le «allucinazioni» anche chi usa un chatbot per scrivere o tradurre.
• 3. Trasparenza. Chi parla con un assistente virtuale deve sapere che è un'IA, salvo che sia evidente. I deep fake vanno dichiarati; i testi generati pubblicati per informare su temi di interesse pubblico anche, salvo revisione umana con responsabilità editoriale.
• 4. Fornitori. Metti per iscritto dove finiscono i dati, se servono ad addestrare modelli, quali istruzioni per l'uso ricevi.
• 5. Regole interne. Strumenti ammessi, dati da non inserire, chi approva un nuovo strumento, quando serve la revisione umana.

Alto rischio: attenzione a personale e credito

Per una PMI il caso più probabile è il personale. L'allegato III considera ad alto rischio, tra gli altri, i sistemi per selezionare candidati (per esempio filtrando i curriculum), decidere promozioni o cessazioni, assegnare compiti in base al comportamento o valutare le prestazioni, e quelli sul merito di credito delle persone fisiche. Ci sono eccezioni se il rischio non è significativo, come i compiti procedurali limitati (articolo 6), ma i sistemi che profilano persone fisiche lo sono sempre.

Dal 2 dicembre 2027 il deployer dovrà, fra l'altro (articolo 26), seguire le istruzioni del fornitore, affidare la sorveglianza umana a persone competenti, conservare per almeno sei mesi i log sotto il suo controllo e informare lavoratori e loro rappresentanti prima dell'uso.

In Italia: la legge 132/2025 e chi controlla

La cornice nazionale è la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025. Le autorità per l'IA sono l'AgID, autorità di notifica, e l'ACN, autorità di vigilanza del mercato con attività ispettive e sanzionatorie; restano Banca d'Italia, CONSOB e IVASS per gli istituti finanziari e le competenze del Garante privacy.

Per le aziende contano due articoli: l'11 obbliga il datore di lavoro a informare il lavoratore dell'uso dell'IA nei casi dell'articolo 1-bis del d.lgs. 152/1997 (sistemi decisionali o di monitoraggio automatizzati); il 13 limita l'IA, nelle professioni intellettuali, ad attività strumentali e di supporto e chiede di informare il cliente.

Sanzioni: cosa prevede l'articolo 99

Ogni tetto è una cifra fissa o una percentuale del fatturato mondiale annuo: per le imprese conta il valore più alto, per PMI e start-up il più basso; l'applicazione spetta agli Stati membri.

• Pratiche vietate: fino a 35 milioni di euro o al 7%.
• Altri obblighi, compresi quelli dei deployer e di trasparenza: fino a 15 milioni di euro o al 3%.
• Informazioni inesatte alle autorità: fino a 7,5 milioni di euro o all'1%.

Dal 27 luglio 2026 il valore più basso vale anche per le piccole imprese a media capitalizzazione, nelle ultime due voci.

GDPR e AI privata: aiutano, non sostituiscono le regole

L'AI Act non sostituisce il GDPR, lo dice l'articolo 2: le regole si sommano. Se l'IA tratta dati personali servono anche base giuridica, informativa, minimizzazione e sicurezza: ne parla la guida su AI e GDPR.

Un'AI privata, su cloud europeo, cloud privato o on-premise, aiuta a controllare dove stanno i dati, chi vi accede e cosa viene tracciato, ma non certifica la conformità: quella dipende da come usi il sistema. Come proteggiamo i dati è nella pagina sicurezza; le nostre soluzioni partono da una valutazione, non da un parere legale.

Informazioni generali aggiornate alla data indicata (26 settembre 2026), non consulenza legale: per il tuo caso rivolgiti a un professionista.