AI Act e aziende: cosa cambia per chi usa l'intelligenza artificiale

Per un'azienda che usa strumenti di intelligenza artificiale (assistenti di scrittura, chatbot, programmi che leggono documenti o selezionano candidati) l'AI Act chiede già oggi tre cose: non usare pratiche vietate, prendere misure per formare chi usa questi strumenti e rispettare gli obblighi di trasparenza, ad esempio dire alle persone che stanno parlando con una macchina. Gli obblighi più pesanti, quelli per i sistemi ad alto rischio, sono stati rinviati: al 2 dicembre 2027 per la maggior parte dei casi e al 2 agosto 2028 per l'IA inserita in prodotti regolamentati.

L'AI Act è il Regolamento (UE) 2024/1689, entrato in vigore il 1° agosto 2024 e applicato a tappe. Nel 2026 il calendario è cambiato con il cosiddetto Digital Omnibus sull'IA, approvato in via definitiva dal Consiglio il 29 giugno 2026 ed entrato in vigore il 27 luglio 2026. Vediamo come si traduce tutto questo per una PMI italiana.

Che ruolo ha la mia azienda secondo l'AI Act?

Il regolamento distingue soprattutto due figure:

• il fornitore (provider), cioè chi sviluppa un sistema di intelligenza artificiale, o lo fa sviluppare, e lo mette sul mercato o in servizio con il proprio nome;
• il deployer (il termine resta in inglese anche nel testo italiano), cioè chi usa un sistema di IA nell'ambito della propria attività professionale.

La grande maggioranza delle piccole imprese è deployer: usa strumenti fatti da altri. Ma attenzione ai casi di confine. Se fai sviluppare un chatbot con il tuo marchio e lo metti sul tuo sito, o integri un modello di IA in un prodotto che vendi, potresti assumere anche il ruolo di fornitore per quel sistema, con obblighi in più. È una valutazione da fare progetto per progetto.

Cosa è già in vigore oggi?

Il calendario, aggiornato dopo il Digital Omnibus:

1. Dal 2 febbraio 2025 sono vietate alcune pratiche considerate inaccettabili (ad esempio la manipolazione che sfrutta le vulnerabilità delle persone, il punteggio sociale, il riconoscimento delle emozioni sul luogo di lavoro e a scuola salvo motivi medici o di sicurezza) e si applica l'obbligo legato all'alfabetizzazione sull'IA.
2. Dal 2 agosto 2025 si applicano gli obblighi per i fornitori dei modelli di IA per finalità generali, quelli alla base degli assistenti più diffusi, le regole sulla governance e quelle sulle sanzioni.
3. Dal 2 agosto 2026 si applicano le norme sulla trasparenza e gran parte del resto del regolamento.
4. Dal 2 dicembre 2027 si applicano gli obblighi per i sistemi ad alto rischio elencati nell'allegato III (ad esempio selezione del personale, accesso al credito, istruzione).
5. Dal 2 agosto 2028 quelli per i sistemi ad alto rischio inseriti in prodotti già regolamentati, come macchinari e dispositivi medici.

Il Digital Omnibus ha anche fissato al 2 dicembre 2026 il termine per adeguare i sistemi già sul mercato all'obbligo di marcare in modo riconoscibile dalle macchine i contenuti generati dall'IA.

Cosa significa «alfabetizzazione sull'IA» per un'azienda?

L'articolo 4 dell'AI Act riguarda la competenza di chi usa l'intelligenza artificiale. Con il Digital Omnibus il testo è stato attenuato: oggi chiede a fornitori e deployer di adottare misure per favorire un livello sufficiente di alfabetizzazione del personale e di chi usa i sistemi per loro conto, senza dover garantire un livello preciso per ogni persona.

In pratica, per una PMI vuol dire:

• sapere quali strumenti di IA si usano in azienda e per cosa;
• spiegare a chi li usa cosa sanno fare, dove sbagliano e quali dati non vanno inseriti;
• dare regole scritte semplici, ad esempio che un testo generato si rilegge sempre prima di mandarlo a un cliente;
• tenere traccia di queste attività, anche con poco: una nota interna, un incontro, un breve documento.

Ho un chatbot sul sito: cosa devo fare?

Le regole di trasparenza dell'articolo 50 sono quelle che toccano più da vicino le piccole imprese. In sintesi:

• chi interagisce con un sistema di IA, come un chatbot, deve essere informato che sta parlando con una macchina, a meno che sia evidente dal contesto;
• i contenuti sintetici (immagini, audio, video, testi) generati dai sistemi vanno resi riconoscibili come artificiali, con un obbligo che ricade soprattutto su chi fornisce i sistemi;
• chi pubblica immagini, audio o video manipolati che sembrano reali (i cosiddetti deepfake) deve dichiararlo.

Per un chatbot sul sito basta poco: un'indicazione chiara all'apertura della chat, una via semplice per parlare con una persona, e risposte che non promettono quello che l'azienda non può mantenere. Ne parlo in dettaglio nella guida al chatbot con intelligenza artificiale sul sito.

Cosa prevede la legge italiana sull'intelligenza artificiale?

Accanto al regolamento europeo c'è la legge 132 del 2025, in vigore dal 10 ottobre 2025. Due punti interessano direttamente molte PMI:

• professioni intellettuali: chi esercita una professione intellettuale (commercialisti, avvocati, ingegneri, architetti, consulenti) può usare l'IA solo per attività strumentali e di supporto, con la prevalenza del lavoro umano, e deve informare il cliente sui sistemi di IA usati, in modo chiaro;
• lavoro: il datore di lavoro deve informare i lavoratori quando usa sistemi di intelligenza artificiale nei casi previsti dalla normativa sul lavoro.

Per chi lavora negli studi professionali, quindi, l'informativa al cliente sull'uso dell'IA è già un obbligo attuale, indipendentemente dal calendario europeo.

E i dati che inserisco negli strumenti di IA?

L'AI Act non sostituisce il GDPR: i due si sommano. Ogni volta che un collaboratore incolla in un assistente di intelligenza artificiale una mail di un cliente, un contratto o un elenco di nominativi, quei dati personali vengono trasmessi a un fornitore esterno. Le domande da farsi sono quelle di sempre: su quale base giuridica, verso quale fornitore, con quale accordo sul trattamento, in quale paese, per quanto tempo, e se il fornitore li usa per addestrare i suoi modelli.

Molti servizi offrono versioni aziendali con impegni contrattuali più chiari: niente addestramento sui dati dei clienti, conservazione limitata, server in Europa. Per un uso professionale sono quasi sempre la scelta giusta rispetto agli account gratuiti personali dei dipendenti.

Quanto rischia chi non rispetta l'AI Act?

Le sanzioni previste dal regolamento sono alte: fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate, cifre più basse per le altre violazioni. Per le PMI e le start-up il regolamento prevede che si applichi l'importo più basso tra la cifra fissa e la percentuale del fatturato.

Al di là delle sanzioni, il rischio più concreto per una piccola impresa è un altro: un uso disordinato dell'IA che porta a errori verso i clienti, a dati riservati inseriti in servizi esterni senza controllo, a decisioni prese senza che nessuno le abbia verificate.

Da dove comincio, in pratica?

Il percorso che suggerisco alle aziende con cui lavoro è breve:

1. Censimento: un elenco degli strumenti di IA usati in azienda, ufficialmente o no, con chi li usa e per cosa.
2. Classificazione: per ciascuno, il ruolo dell'azienda (fornitore o deployer) e se l'uso rientra in un caso ad alto rischio, come la selezione del personale.
3. Regole interne: una pagina scritta su quali dati si possono inserire, quali verifiche fare, chi decide.
4. Contratti e privacy: verifica delle condizioni dei fornitori, di dove finiscono i dati, dell'accordo sul trattamento dei dati personali.
5. Trasparenza verso l'esterno: chatbot dichiarati, contenuti generati riconoscibili, informativa ai clienti dove richiesta.
6. Formazione di chi usa gli strumenti, anche breve, e da ripetere quando cambiano.

Ne parliamo?

Se stai pensando di usare l'intelligenza artificiale per rispondere ai clienti, leggere documenti o automatizzare attività ripetitive, e vuoi farlo in modo ordinato, scrivimi dalla pagina contatti. Progetto soluzioni di intelligenza artificiale su misura tenendo conto fin dall'inizio di trasparenza, dati e controllo umano, e posso affiancarti con una consulenza tecnica sugli strumenti che usi già. Per l'interpretazione giuridica resta indispensabile il confronto con un legale.

Fonti

• Regolamento (UE) 2024/1689 sull'intelligenza artificiale, testo su EUR-Lex
• Consiglio dell'UE, via libera definitiva alla semplificazione delle regole sull'IA (29 giugno 2026)
• Commissione Europea, AI Omnibus enters into force
• Legge 23 settembre 2025, n. 132, disposizioni in materia di intelligenza artificiale (Normattiva)

Crediti delle immagini

• Copertina: foto di Guillaume Périgois su Unsplash