AI Act: cosa deve fare un'azienda italiana, in pratica

L’AI Act, il regolamento europeo sull’intelligenza artificiale, è già in vigore, ma a ondate successive. Nel 2026 il calendario è cambiato: con il cosiddetto “Omnibus digitale” l’Unione europea ha rinviato gli obblighi più pesanti. In Italia sono in vigore anche una legge nazionale, dal 10 ottobre 2025, e il decreto che rende operativi controlli e sanzioni, dal 23 ottobre 2026. Questa guida spiega, senza gergo, cosa deve fare oggi un’azienda italiana che usa l’AI, e cosa può aspettare.

Vuoi sapere subito se sei in regola? Fai la verifica AI Act gratuita: 3 minuti, livello di rischio, piano d’azione e scadenze via email.

Nota: è una guida pratica, non una consulenza legale. Per i casi specifici, soprattutto se sviluppi o vendi sistemi AI, fai verificare la tua situazione da un legale.

Prima domanda: sei un “fornitore” o un “utilizzatore”?

L’AI Act distingue tra chi sviluppa e mette sul mercato un sistema di intelligenza artificiale (il fornitore) e chi lo usa nella propria attività (il “deployer”, cioè l’utilizzatore). La grande maggioranza delle PMI italiane è utilizzatrice: usa ChatGPT, Copilot, un agente che legge i documenti, un chatbot sul sito. Gli obblighi per gli utilizzatori sono molto più leggeri di quelli per i fornitori.

Cosa vale già oggi

Le pratiche vietate (dal 2 febbraio 2025)

Alcuni usi dell’AI sono proibiti: manipolare le persone in modo subdolo, sfruttarne le vulnerabilità, il “punteggio sociale”, riconoscere le emozioni dei dipendenti sul posto di lavoro (salvo motivi medici o di sicurezza), alcune forme di riconoscimento biometrico. Per un’azienda normale sono situazioni rare, ma vale la pena controllare, per esempio, che nessun software di selezione o di controllo del personale faccia queste cose.

La formazione sull’AI (articolo 4)

Dal 2 febbraio 2025 chi usa sistemi di AI deve occuparsi che le persone che li usano abbiano competenze adeguate. Con l’Omnibus la formulazione è stata ammorbidita: l’impresa deve sostenere lo sviluppo di queste competenze, in proporzione al ruolo e al rischio, senza dover garantire un livello preciso per ogni singola persona. Non c’è un corso obbligatorio standard. In pratica:

una breve formazione per chi usa l’AI tutti i giorni (cosa può sbagliare, cosa non va inserito, come verificare);
regole interne semplici, per iscritto;
un registro di chi ha fatto cosa: secondo le indicazioni della Commissione è sufficiente, non servono certificati.

La trasparenza (articolo 50, dal 2 agosto 2026)

Se sul tuo sito un chatbot risponde ai clienti, le persone devono sapere che stanno parlando con un sistema AI, a meno che sia evidente. I contenuti generati o modificati con l’AI che possono ingannare (i “deepfake”) vanno dichiarati come tali. Per chi genera contenuti in modo automatico ci sono anche obblighi di marcatura tecnica, con alcuni periodi transitori.

La legge italiana sull’AI (Legge 132/2025, dal 10 ottobre 2025)

Affianca l’AI Act con alcune regole nazionali. Due interessano da vicino le aziende:

I datori di lavoro devono informare i lavoratori quando usano sistemi di AI nell’organizzazione e nella gestione del lavoro.
I professionisti (commercialisti, avvocati, consulenti, ingegneri…) devono comunicare ai clienti, in modo chiaro, se usano l’AI nella prestazione. L’AI può essere solo di supporto: il lavoro intellettuale resta del professionista.

Il decreto italiano di attuazione (D.Lgs. 179/2026, dal 23 ottobre 2026)

Con il decreto legislativo 7 ottobre 2026, n. 179, l’Italia ha reso operativo l’AI Act. Ha nominato le autorità: l’Agenzia per la Cybersicurezza Nazionale (ACN) vigila sul mercato ed è il punto di contatto con l’Unione europea, l’AgID si occupa degli organismi che certificano i sistemi, mentre Banca d’Italia, CONSOB, IVASS e il Garante Privacy mantengono i loro poteri nei rispettivi settori. Il decreto fissa anche le sanzioni, graduate: prima possono arrivare avvertimenti e ordini di correzione, poi le multe, che per le pratiche vietate arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale.

Cosa è stato rinviato

Gli obblighi per i sistemi ad alto rischio (per esempio AI usata per selezionare il personale, valutare il credito, decidere l’accesso a servizi essenziali) sono stati spostati: al 2 dicembre 2027 per i sistemi elencati nell’allegato III, e al 2 agosto 2028 per quelli integrati in prodotti già regolati, come macchinari e dispositivi medici. Per le imprese più piccole sono previste semplificazioni nella documentazione.

Se oggi usi l’AI per leggere documenti, scrivere testi, rispondere a domande frequenti o preparare report, quasi certamente non sei nell’alto rischio. Se invece la usi per decidere qualcosa sulle persone (assunzioni, valutazioni, prestiti), è il momento di mappare quei sistemi.

La lista di controllo in cinque punti

Fai l’elenco degli strumenti AI usati in azienda, anche quelli che le persone usano per conto loro.
Scrivi due regole chiare: quali dati non si inseriscono mai, e chi controlla i risultati prima che escano.
Organizza una formazione breve e tienine traccia.
Informa dipendenti e, se sei un professionista, clienti.
Segnala i chatbot e i contenuti generati dall’AI come tali.

Ricorda che il GDPR continua a valere: se l’AI tratta dati personali, servono le stesse attenzioni di sempre su base giuridica, informative e fornitori.

Per capire in pochi minuti dove si trova la tua azienda puoi usare la verifica AI Act gratuita: ti restituisce il livello di rischio e un piano d’azione con le date.

Domande frequenti

Usare ChatGPT in ufficio è vietato dall’AI Act?

No. È un uso consentito. Servono formazione adeguata, regole su quali dati inserire e, se sei un professionista, la comunicazione ai clienti.

Le sanzioni sono già in vigore?

Sì. Dal 23 ottobre 2026, con il D.Lgs. 179/2026, le autorità italiane sono operative. Le multe più alte riguardano le pratiche vietate; per gli altri obblighi sono previste sanzioni minori, spesso precedute da avvertimenti e richieste di correzione. Il consiglio è mettersi in regola ora, finché costa poco.

Un agente AI che legge i DDT è ad alto rischio?

Di norma no: non prende decisioni sulle persone. Restano gli obblighi generali di formazione e, se tratta dati personali, il GDPR.

Fonti

Commenti

Ancora nessun commento. Inizia tu.

AI Act: cosa deve fare un’azienda italiana, in pratica