Se possiedi o gestisci una piccola o media impresa e negli ultimi mesi hai sentito parlare di AI Act con toni allarmistici, questo articolo è per te. La buona notizia è che, con ogni probabilità, la tua azienda non deve affrontare l'apparato più pesante della normativa europea sull'intelligenza artificiale. La notizia da non sottovalutare, però, è che alcuni obblighi concreti diventano operativi proprio in questi giorni.
Il quadro normativo, in breve
L'AI Act è il Regolamento (UE) 2024/1689, la prima legge completa al mondo sull'intelligenza artificiale, che stabilisce regole su come i sistemi AI possono essere sviluppati e usati nell'Unione Europea, classificando i sistemi per livello di rischio e imponendo obblighi proporzionali. Il regolamento non è entrato in vigore tutto insieme: è in vigore dall'agosto 2024, con applicazione progressiva: alcune norme sono già esigibili da febbraio 2025, la piena operatività generale è prevista per il 2 agosto 2026.
La scadenza chiave: 2 agosto 2026
Questa data segna un passaggio importante, ma non nel modo in cui molti temevano. Dal 2 agosto 2026 diventano efficaci gli obblighi di trasparenza dell'AI Act, mentre slittano molte regole sui sistemi ad alto rischio. Nello specifico, il calendario dei sistemi ad alto rischio è stato rinviato: i sistemi ad alto rischio autonomi (Allegato III) passano dal 2 agosto 2026 al 2 dicembre 2027, un rinvio deciso attraverso il cosiddetto Digital Omnibus sull'IA.
Attenzione però: questo rinvio riguarda un apparato che, comunque, tocca solo poche imprese. L'AI Act ragiona per livelli di rischio: pratiche vietate, alto rischio, rischio limitato con obblighi di trasparenza — e il peso normativo cade soprattutto sui provider di sistemi ad alto rischio, mentre per un deployer a rischio limitato o minimo gli obblighi sono leggeri.
Cosa conta davvero per la tua PMI
Per la stragrande maggioranza delle piccole e medie imprese italiane ed europee, che utilizzano strumenti AI sviluppati da terzi (ChatGPT, Copilot, chatbot, software HR) senza svilupparli in proprio, contano tre elementi concreti:
1. Le pratiche vietate. Sono in vigore dal 2025: dal 2 febbraio 2025 si applicano le pratiche vietate previste dall'Art. 5 del regolamento — manipolazione comportamentale, social scoring, biometria in tempo reale in spazi pubblici. Sono usi che nessuna impresa seria dovrebbe adottare.
2. L'alfabetizzazione AI. Per una PMI questo non significa necessariamente organizzare corsi o ottenere certificazioni formali, ma poter dimostrare che chi usa l'AI in azienda è stato messo nelle condizioni di farlo in modo consapevole. In pratica: diventa opportuno disporre di linee guida interne, momenti formativi, regole sui dati da non inserire nei prompt, criteri di verifica degli output e indicazioni chiare sul controllo umano.
3. La trasparenza sui contenuti e sulle interazioni AI (Art. 50). È la vera novità operativa del 2 agosto 2026. La norma impone a chi sviluppa e a chi utilizza sistemi di intelligenza artificiale di dichiarare, in modo chiaro e verificabile, quando un contenuto testuale, audio, video o un'interazione conversazionale è generata o manipolata da un algoritmo. Concretamente, secondo le indicazioni degli esperti, le aziende devono verificare alcuni casi tipici: se usano un sistema che interagisce direttamente con persone fisiche, per esempio un chatbot sul sito o un assistente virtuale nel customer care, devono assicurarsi che l'interlocutore sappia di avere davanti un sistema di intelligenza artificiale, salvo casi in cui ciò sia già evidente. Lo stesso vale per deepfake o contenuti audio, video o immagini generati o manipolati con AI, di cui va resa chiara la natura artificiale.
Provider o deployer? Capire il proprio ruolo
Una distinzione utile per non farsi prendere dal panico riguarda i ruoli previsti dalla normativa. Il fornitore (provider) è il soggetto che sviluppa un sistema di IA e lo mette sul mercato o in servizio — tipicamente le società che producono software, piattaforme o modelli di IA — mentre il deployer è il soggetto che utilizza un sistema di IA sviluppato da terzi nell'ambito della propria attività professionale. La maggior parte delle PMI italiane rientra in quest'ultima categoria, con obblighi decisamente più leggeri rispetto ai provider.
Attenzione a un'eccezione: se prendi un modello open-weight e ci costruisci sopra un prodotto che rivendi sotto il tuo nome, il tuo ruolo cambia e ti avvicini a quello di provider, con responsabilità maggiori.
Le sanzioni: perché non conviene ignorare la norma
Anche se gli obblighi per le PMI sono contenuti, le conseguenze di una violazione non lo sono. Le violazioni dell'AI Act sono punite con ammende fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate e fino a 15 milioni o al 3% per l'inosservanza degli altri obblighi; per PMI e start-up si applica l'importo o la percentuale inferiore tra i due. Oltre alla sanzione economica, va considerato anche l'impatto reputazionale, soprattutto per le aziende che partecipano a bandi pubblici o gare che richiedono requisiti di conformità.
In Italia: chi vigila
Sul piano nazionale, la legge n. 132/2025 designa l'Agenzia per la cybersicurezza nazionale (ACN) come autorità di vigilanza e l'Agenzia per l'Italia digitale (AgID) come autorità di notifica. Le autorità italiane hanno iniziato a strutturarsi con largo anticipo rispetto alle scadenze operative.
Tre cose da fare da subito
- Mappa gli strumenti AI in uso in azienda — chatbot, assistenti virtuali, generatori di contenuti, software di selezione CV — per capire se rientrano negli obblighi di trasparenza.
- Rendi visibile l'uso dell'AI dove serve: un avviso su un chatbot, un'etichetta su un contenuto generato, un'istruzione interna per chi produce testi o immagini con strumenti AI.
- Documenta le scelte fatte. In caso di controllo, conta poter dimostrare un percorso di adeguamento, non solo di averlo pensato.
Una nota di prudenza
Il quadro normativo europeo sull'IA è ancora in evoluzione: il Digital Omnibus che ha rinviato parte degli obblighi ad alto rischio deve completare il proprio iter di pubblicazione, e alcune scadenze potrebbero essere confermate o modificate nei prossimi mesi. Per la tua impresa, la strategia più solida resta la stessa che guida l'approccio di ANCO.AI all'adozione dell'intelligenza artificiale nelle PMI: capire prima di implementare, con attenzione a compliance, trasparenza e sostenibilità del progetto nel tempo — senza inseguire allarmismi, ma senza nemmeno ignorare le scadenze reali.
Questo articolo ha finalità informativa e non costituisce consulenza legale. Per valutazioni specifiche sulla conformità della tua azienda, ti consigliamo di rivolgerti a un professionista qualificato.