L’AI Act (Regolamento UE 2024/1689) è la prima legge al mondo che regola l’intelligenza artificiale in modo organico. Non riguarda solo chi sviluppa software: basta usare un chatbot sul sito, un programma per selezionare i curriculum o un sistema di videosorveglianza con IA per rientrare nel campo di applicazione. Dopo il Digital Omnibus, entrato in vigore a fine luglio 2026, alcune scadenze sono slittate e altre no. Ecco le cose più importanti per un’azienda, in ordine pratico.
A chi si applica l’AI Act
Il regolamento vale per chi sviluppa o immette sul mercato sistemi di IA (fornitori) e per chi li usa in ambito professionale (deployer, in italiano “utilizzatori”). Quindi anche una PMI che si limita a usare strumenti di terzi ha degli obblighi, più leggeri di quelli di chi li produce. Fa eccezione l’uso puramente personale e non professionale. Vale anche per le aziende extra-UE, se i risultati del sistema sono utilizzati nell’Unione.
I quattro livelli di rischio
L’AI Act non tratta tutti i sistemi allo stesso modo: gli obblighi crescono con il rischio.
- Rischio inaccettabile: pratiche vietate (per esempio il social scoring o la manipolazione subliminale).
- Alto rischio: sistemi usati in ambiti sensibili come selezione e valutazione del personale, credit scoring, istruzione, infrastrutture critiche. Hanno gli obblighi più pesanti.
- Rischio limitato: sistemi come chatbot e generatori di contenuti, soggetti a obblighi di trasparenza.
- Rischio minimo: tutto il resto (filtri antispam, correttori, molti strumenti di produttività), senza obblighi specifici.
Le scadenze aggiornate dopo il Digital Omnibus
Il Digital Omnibus ha spostato in avanti le regole sull’alto rischio, ma non ha cancellato gli obblighi già in vigore. Il calendario attuale è questo:
| Data | Cosa si applica |
|---|---|
| 2 febbraio 2025 | Divieti sulle pratiche a rischio inaccettabile e obbligo di alfabetizzazione sull’IA (già applicabili) |
| 2 agosto 2025 | Regole per i modelli di IA per finalità generali, governance e sanzioni (già applicabili) |
| 2 agosto 2026 | Obblighi di trasparenza dell’articolo 50 (già applicabili) |
| 2 dicembre 2026 | Marcatura leggibile da macchina dei contenuti generati dall’IA per i sistemi già sul mercato; due nuovi divieti (contenuti pedopornografici e app “nudifier”) |
| 2 dicembre 2027 | Sistemi ad alto rischio dell’Allegato III (rinviati dal 2 agosto 2026) |
| 2 agosto 2028 | Sistemi ad alto rischio integrati in prodotti regolamentati, Allegato I (rinviati dal 2 agosto 2027) |
Cosa è già vietato
Dal febbraio 2025 sono vietate, tra le altre, la manipolazione subliminale o ingannevole, lo sfruttamento delle vulnerabilità di persone fragili, il social scoring, la raccolta indiscriminata di immagini facciali da internet per creare banche dati e il riconoscimento delle emozioni sul posto di lavoro e a scuola (salvo motivi medici o di sicurezza). Chi usa videosorveglianza con IA deve quindi fare attenzione: il rilevamento di intrusioni o persone è un conto, l’identificazione biometrica o l’analisi delle emozioni dei dipendenti un altro. Restano inoltre valide le regole del GDPR e dello Statuto dei lavoratori sui controlli a distanza.
Trasparenza: l’obbligo che riguarda quasi tutti
Dal 2 agosto 2026 si applicano gli obblighi dell’articolo 50. In pratica:
- se un cliente dialoga con un chatbot o un assistente virtuale, deve sapere che sta parlando con un’IA;
- i contenuti generati o manipolati dall’IA (immagini, audio, video, deepfake) vanno dichiarati come tali;
- i fornitori devono marcare i contenuti sintetici in formato leggibile da macchina: per i sistemi già sul mercato c’è tempo fino al 2 dicembre 2026.
Alto rischio: più tempo, ma non conviene aspettare
Se usi l’IA per selezionare candidati, valutare i dipendenti o decidere un credito, quel sistema è di norma ad alto rischio. Per chi lo usa gli obblighi principali sono: impiegarlo secondo le istruzioni del fornitore, garantire una supervisione umana competente, monitorarne il funzionamento, conservare i registri di funzionamento (log) e informare i lavoratori prima di adottarlo sul posto di lavoro. La scadenza è il 2 dicembre 2027, ma adeguare processi e contratti con i fornitori richiede mesi.
Formazione del personale
L’obbligo di alfabetizzazione sull’IA (articolo 4) è in vigore dal febbraio 2025 e non è stato rinviato. Il Digital Omnibus ne ha ritoccato la formulazione, ma formare chi usa l’IA in azienda resta la misura più concreta e documentabile: una breve formazione su cosa si può e non si può inserire negli strumenti di IA, con un registro di chi l’ha seguita, è un buon punto di partenza.
Sanzioni
Le sanzioni massime dell’articolo 99 sono di 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate, 15 milioni o il 3% per la violazione degli altri obblighi e 7,5 milioni o l’1% per informazioni inesatte alle autorità. Per le PMI si applica l’importo più basso tra le due soglie. L’importo effettivo dipende dalla gravità del caso.
Cosa fare adesso: sei passi pratici
- Fai l’inventario degli strumenti di IA usati in azienda, compresi quelli che i dipendenti usano di propria iniziativa (ChatGPT, assistenti nei software, strumenti di trascrizione).
- Classifica ogni uso per livello di rischio: segna a parte tutto ciò che riguarda personale, credito, videosorveglianza e dati sensibili.
- Scrivi un regolamento interno su quali strumenti sono ammessi e quali dati non vanno mai inseriti.
- Forma il personale e conserva traccia della formazione.
- Adegua la trasparenza: avvisi sui chatbot, etichette sui contenuti generati dall’IA.
- Verifica i fornitori: chiedi documentazione tecnica e dichiarazioni di conformità per i sistemi ad alto rischio, e aggiorna i contratti.
Per i dati più delicati (contratti, documenti dei clienti, dati del personale) una soluzione concreta è far girare i modelli in locale, su un server interno, senza inviare nulla a servizi esterni: ne parliamo nella pagina sulla consulenza sull’intelligenza artificiale in locale per aziende. Chi invece usa o sta valutando impianti di videosorveglianza con intelligenza artificiale deve verificare con attenzione funzioni di analisi e conservazione delle immagini.
AI Act e normativa italiana
In Italia si aggiunge la legge 132/2025 sull’intelligenza artificiale, in vigore dal 10 ottobre 2025, che affianca il regolamento europeo con principi generali e disposizioni su lavoro, professioni e pubblica amministrazione. Per un’azienda significa tenere insieme tre piani: AI Act, GDPR e norme italiane sul lavoro.
Come può aiutarti ADG Service
Dal 2007 ci occupiamo di assistenza informatica per aziende e privati a Roma. Possiamo aiutarti a mappare gli strumenti di IA già presenti, impostare un regolamento d’uso, mettere in sicurezza dati e reti e, quando serve, installare un’IA che resta dentro la tua azienda. Per un primo confronto chiama il 06 8855 0002 o scrivici su WhatsApp al 334 900 9728. Questo articolo ha scopo informativo e non sostituisce la consulenza di un legale: per i casi di alto rischio conviene coinvolgere anche un professionista.
Articolo aggiornato al 10 ottobre 2026. Fonti: Regolamento (UE) 2024/1689 su EUR-Lex; Freshfields, The final Digital Omnibus on AI; Deepelse, calendario scadenze AI Act.