AI Act: cosa devono fare le aziende (date aggiornate al 2026)

L'AI Act è il regolamento europeo sull'intelligenza artificiale (Regolamento UE 2024/1689). Classifica gli usi dell'AI in base al rischio: alcuni sono vietati, altri sono "ad alto rischio" e hanno regole severe, altri richiedono solo trasparenza. Per la maggior parte delle aziende che usano l'AI, come ChatGPT, Claude o un chatbot sul sito, gli obblighi concreti sono due: formare chi la usa e dire alle persone quando stanno parlando con un'AI.

Uso l'AI ogni giorno nel mio lavoro e sto costruendo un centralinista AI: per questo ho letto il testo ufficiale e le modifiche approvate nel 2026. Non sono un avvocato: questa è una guida per orientarsi, non una consulenza legale. Per un caso specifico serve un professionista.

Cos'è l'AI Act e a chi si applica

L'AI Act è un regolamento dell'Unione europea: vale direttamente in tutti gli Stati membri, senza bisogno di una legge nazionale che lo recepisca. È entrato in vigore il 1° agosto 2024 e si applica a tappe (testo ufficiale su EUR-Lex).

Per "sistema di AI" il regolamento intende un sistema automatizzato che, a partire dall'input che riceve, genera output come previsioni, contenuti, raccomandazioni o decisioni (art. 3). Ci rientrano gli assistenti come ChatGPT e Claude, i chatbot, gli agenti vocali e i software che classificano o valutano dati.

Le regole cambiano in base al livello di rischio:

Fornitore o deployer: che ruolo ha la tua azienda

È la prima cosa da capire, perché gli obblighi dipendono dal ruolo. Le definizioni sono all'articolo 3.

• Fornitore: chi sviluppa un sistema di AI, o lo fa sviluppare, e lo mette sul mercato o in servizio con il proprio nome o marchio, a pagamento o gratis. OpenAI, Anthropic e Google sono fornitori dei loro modelli.
• Deployer: chi usa un sistema di AI sotto la propria autorità per lavoro. L'uso personale non professionale è escluso.

Una PMI che usa ChatGPT, Claude o un chatbot comprato da un'altra azienda è un deployer. Se invece costruisce un proprio assistente e lo offre ai clienti con il proprio marchio, può diventare anche fornitore, con più obblighi.

Le date dell'AI Act, aggiornate al Digital Omnibus

Il 24 luglio 2026 è stato pubblicato il Digital Omnibus sull'AI (Regolamento UE 2026/1744), in vigore dal 27 luglio 2026. Ha modificato l'AI Act e spostato alcune scadenze. Molte guide online riportano ancora le date vecchie, come l'alto rischio dal 2 agosto 2026: non sono più valide.

Fonte: articolo 113 dell'AI Act, come modificato dall'articolo 1 del Regolamento 2026/1744, e articolo 111, paragrafo 4.

Cosa è vietato dal 2025

L'articolo 5 vieta alcune pratiche, qualunque sia l'azienda che le usa. Quelle che possono riguardare una PMI sono soprattutto queste:

• Manipolazione: AI che usa tecniche subliminali o ingannevoli per spingere le persone a decisioni che non avrebbero preso, causando un danno significativo.
• Sfruttamento delle vulnerabilità legate a età, disabilità o situazione sociale ed economica.
• Riconoscimento delle emozioni sul luogo di lavoro e nelle scuole, salvo motivi medici o di sicurezza.
• Punteggio sociale: classificare le persone in base al comportamento, con trattamenti sfavorevoli ingiustificati.
• Categorizzazione biometrica per dedurre razza, opinioni politiche, religione, orientamento sessuale.
• Raccolta indiscriminata di immagini di volti da internet o telecamere per creare banche dati di riconoscimento facciale.

Dal 2 dicembre 2026 l'Omnibus aggiunge due divieti: l'AI che genera immagini intime realistiche di una persona riconoscibile senza il suo consenso e quella che genera materiale pedopornografico.

Trasparenza: dire che è un'AI (dal 2 agosto 2026)

È l'obbligo che tocca più aziende. L'articolo 50 prevede quattro casi.

1. Chatbot e agenti vocali. I sistemi che interagiscono con le persone devono essere progettati in modo che chi li usa sappia di parlare con un'AI, a meno che non sia evidente. L'obbligo è del fornitore, ma se il chatbot è sul tuo sito o al tuo telefono, conviene che il messaggio di benvenuto lo dica chiaramente. L'ho spiegato con un esempio concreto in AI nel centralino 3CX.
2. Contenuti generati. I fornitori di AI generativa devono marcare testi, immagini, audio e video in un formato leggibile dalle macchine, così che si possa riconoscere che sono artificiali.
3. Riconoscimento delle emozioni e categorizzazione biometrica. Dove sono ammessi, chi li usa deve informare le persone esposte.
4. Deepfake e testi di interesse pubblico. Chi pubblica immagini, audio o video che sembrano reali ma sono generati deve dichiararlo. Chi pubblica testi generati con l'AI per informare il pubblico su questioni di interesse pubblico deve dirlo, a meno che il testo sia stato rivisto da una persona che ne ha la responsabilità editoriale.

L'informazione va data in modo chiaro e riconoscibile, al più tardi alla prima interazione (art. 50, par. 5).

Formazione: l'alfabetizzazione sull'AI

L'articolo 4 chiede a fornitori e deployer di adottare misure per sostenere l'alfabetizzazione sull'AI del personale e di chi usa i sistemi per loro conto, tenendo conto delle competenze delle persone e del contesto d'uso.

Il Digital Omnibus ha riscritto l'articolo: oggi precisa che l'obbligo non impone di garantire un livello specifico di competenza, e chiede a Commissione e Stati membri di aiutare soprattutto le PMI, anche con esempi pratici pubblicati dalla Commissione.

In pratica, per una piccola azienda può bastare poco, purché sia fatto: regole interne chiare (quali strumenti si usano, quali dati non si caricano, quando serve un controllo umano) e una breve formazione per chi usa l'AI.

AI ad alto rischio: cosa cambia dal 2027

L'allegato III elenca gli usi ad alto rischio. Per una PMI il caso più probabile è il lavoro: un software che pubblica annunci mirati, filtra le candidature o valuta i candidati, oppure che prende decisioni su promozioni, licenziamenti, assegnazione di compiti o monitoraggio delle prestazioni. Altri esempi: valutazione del merito di credito delle persone, accesso e valutazione nell'istruzione.

Dal 2 dicembre 2027 chi usa questi sistemi dovrà, tra le altre cose (art. 26):

• usarli secondo le istruzioni del fornitore;
• affidare la sorveglianza a persone con competenza, formazione e autorità adeguate;
• monitorarne il funzionamento e conservare i log per almeno sei mesi, se sono sotto il suo controllo;
• se è un datore di lavoro, informare i lavoratori e i loro rappresentanti prima di usarli sul luogo di lavoro.

Se oggi usi o stai valutando un'AI per selezionare il personale, il rinvio ti dà tempo: usalo per scegliere fornitori che documentano bene il loro sistema.

La legge italiana sull'AI (legge 132/2025)

Accanto all'AI Act c'è la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025. Per le aziende contano soprattutto tre punti:

• Lavoro (art. 11): il datore di lavoro o il committente deve informare il lavoratore dell'uso dell'AI, nei casi e nei modi previsti dall'articolo 1-bis del decreto legislativo 152/1997.
• Professioni intellettuali (art. 13): l'AI può servire solo come supporto, con prevalenza del lavoro intellettuale del professionista, che deve informare il cliente sui sistemi usati con un linguaggio chiaro e semplice.
• Autorità (art. 20): AgID e l'Agenzia per la cybersicurezza nazionale (ACN) sono le autorità nazionali per l'AI; all'ACN spettano la vigilanza, le ispezioni e le sanzioni.

Quanto rischi: le sanzioni

Le sanzioni le stabiliscono gli Stati membri, entro i massimi fissati dall'articolo 99:

Per le grandi imprese vale l'importo più alto tra i due. Per le PMI, comprese le start-up, vale il più basso (art. 99, par. 6), e nel decidere le sanzioni si deve tenere conto della loro sostenibilità economica.

Cosa fare adesso: la checklist per una PMI

1. Fai l'inventario degli strumenti AI che usate: assistenti, chatbot, agenti vocali, software di selezione, automazioni con AI.
2. Per ognuno, capisci il ruolo: lo usate (deployer) o lo offrite ai clienti con il vostro marchio (fornitore)?
3. Escludi gli usi vietati, per esempio software che "leggono" le emozioni dei dipendenti.
4. Trasparenza: chatbot e agenti vocali devono dire che sono un'AI dal primo messaggio; immagini e video generati che sembrano reali vanno dichiarati.
5. Formazione: scrivi regole interne semplici e forma chi usa l'AI.
6. Lavoratori e clienti: informa i lavoratori sull'uso dell'AI (legge 132/2025) e, se sei un professionista, i clienti.
7. Privacy: il GDPR continua a valere. Controlla l'informativa e quali dati carichi negli strumenti AI.
8. Alto rischio: se usi l'AI per selezionare o valutare persone, preparati per il 2 dicembre 2027.

In sintesi

L'AI Act non vieta di usare l'AI in azienda: chiede di usarla sapendo cosa si fa. Per una PMI il lavoro concreto oggi è fare l'inventario degli strumenti, formare chi li usa, dire chiaramente quando un cliente parla con un'AI e informare i lavoratori. Le regole più pesanti, quelle sull'alto rischio, arrivano dal dicembre 2027.

Se stai pensando di mettere un'AI a contatto con i clienti, parti da AI nel centralino 3CX per un esempio pratico. Racconto come uso l'AI nel lavoro anche su LinkedIn.