AI Act: cosa cambia per le aziende che usano l'intelligenza artificiale

L’AI Act è il regolamento europeo sull’intelligenza artificiale (Regolamento UE 2024/1689). Classifica i sistemi di AI in base al rischio che comportano per le persone e assegna obblighi proporzionati: alcuni usi sono vietati, altri sono ammessi con requisiti stringenti, la maggior parte richiede solo trasparenza o nessun obbligo specifico. Riguarda sia chi sviluppa sistemi di AI sia chi li usa in azienda, a prescindere dalle dimensioni.

Questa guida è informativa e non sostituisce una consulenza legale. Le date sono aggiornate a novembre 2026: prima di decisioni formali, verificale sui testi ufficiali citati in fondo.

I quattro livelli di rischio

Livello	Cosa significa	Esempi
Rischio inaccettabile	Vietato	Punteggio sociale delle persone, manipolazione che sfrutta vulnerabilità, riconoscimento delle emozioni sul lavoro e a scuola (salvo eccezioni), raccolta indiscriminata di immagini di volti per creare banche dati
Alto rischio	Ammesso con obblighi stringenti	Selezione e valutazione del personale, accesso al credito, istruzione, servizi pubblici essenziali, componenti di sicurezza di prodotti regolati
Rischio limitato	Obblighi di trasparenza	Chatbot, assistenti vocali, contenuti generati o manipolati dall’AI, deepfake
Rischio minimo	Nessun obbligo specifico	Filtri antispam, suggerimenti di prodotto, correttori, la maggior parte degli usi interni

La maggior parte delle PMI usa sistemi a rischio minimo o limitato. L’alto rischio riguarda chi usa l’AI per decisioni che incidono in modo importante sulle persone, come assumere, concedere credito o valutare studenti.

Il calendario aggiornato

Data	Cosa si applica
1 agosto 2024	Entrata in vigore del regolamento
2 febbraio 2025	Pratiche vietate e alfabetizzazione sull’AI
2 agosto 2025	Regole sui modelli di AI per uso generale, governance e regime delle sanzioni
2 agosto 2026	Obblighi di trasparenza (articolo 50) e la gran parte delle altre disposizioni
2 dicembre 2026	Fine del periodo transitorio per la marcatura dei contenuti generati, per i sistemi già sul mercato prima del 2 agosto 2026
2 dicembre 2027	Obblighi per i sistemi ad alto rischio dell’Allegato III (dopo il Digital Omnibus)
2 agosto 2028	Obblighi per i sistemi ad alto rischio integrati in prodotti regolati, Allegato I (dopo il Digital Omnibus)

Cosa ha cambiato il Digital Omnibus

Il Digital Omnibus sull’IA, proposto dalla Commissione il 19 novembre 2025 e adottato dal Consiglio a giugno 2026, ha semplificato alcune parti dell’AI Act. Le novità principali per le imprese:

• Rinvio dell’alto rischio: gli obblighi per i sistemi dell’Allegato III passano dal 2 agosto 2026 al 2 dicembre 2027; quelli per i sistemi integrati in prodotti regolati dell’Allegato I al 2 agosto 2028.
• Alfabetizzazione riformulata: l’obbligo di formazione resta, ma in una forma più flessibile, orientata a sostenere le competenze delle persone in base all’uso reale dell’AI.
• Nuovi divieti espliciti, come quello per le applicazioni che generano immagini di nudo non consensuali.

Il rinvio non riguarda i divieti, le regole sui modelli per uso generale né gli obblighi di trasparenza.

Cosa cambia per chi usa chatbot e assistenti vocali

Dal 2 agosto 2026 i sistemi di AI che interagiscono direttamente con le persone devono essere progettati in modo che queste sappiano di parlare con un’intelligenza artificiale, a meno che non sia evidente dal contesto. L’obbligo ricade su chi fornisce il sistema, ma riguarda da vicino anche chi lo usa con i propri clienti. In pratica:

• un chatbot sul sito o su WhatsApp deve presentarsi come assistente virtuale;
• un assistente telefonico AI dovrebbe dichiararlo all’inizio della chiamata;
• i contenuti generati dall’AI, come immagini, audio e video, vanno marcati in modo riconoscibile da chi li produce, e i deepfake vanno dichiarati da chi li diffonde.

Ne parliamo nella guida all’assistente telefonico AI.

Fornitore o deployer: quale ruolo hai?

• Il fornitore sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato con il proprio nome.
• Il deployer usa un sistema di AI sotto la propria autorità per la propria attività.

Un’azienda che usa un chatbot o un assistente di terze parti è in genere un deployer. Chi costruisce un sistema di AI e lo vende ai clienti è un fornitore. I ruoli possono sommarsi: se modifichi in modo sostanziale un sistema o lo usi per uno scopo ad alto rischio, puoi assumere obblighi da fornitore.

Alfabetizzazione sull’AI: cosa significa in pratica

Chi fornisce o usa sistemi di AI deve fare in modo che le persone che li usano abbiano competenze adeguate. Non serve un attestato specifico: serve poter dimostrare che le misure adottate sono coerenti con l’uso reale. Per esempio:

• una regola interna su quali strumenti usare e con quali dati;
• una formazione breve su limiti, errori tipici e rischi;
• istruzioni chiare su quando serve la verifica di una persona.

La guida su come usare ChatGPT, Claude e Gemini senza esporre i dati è un buon punto di partenza.

Sanzioni

L’AI Act prevede sanzioni fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per le pratiche vietate, fino a 15 milioni o il 3% per la violazione degli altri obblighi e fino a 7,5 milioni o l’1% per informazioni inesatte fornite alle autorità. Per le PMI vale l’importo più basso tra la cifra fissa e la percentuale.

La legge italiana sull’intelligenza artificiale

In Italia l’AI Act è affiancato dalla legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025. La legge:

• individua AgID (promozione, notifica e accreditamento) e ACN, l’Agenzia per la cybersicurezza nazionale (vigilanza, ispezioni e sanzioni), come autorità nazionali per l’AI;
• introduce principi e obblighi di informazione in ambiti specifici, come il lavoro e le professioni intellettuali;
• delega il Governo ad adottare decreti attuativi su diversi aspetti.

Checklist in sei passi

1. Fai l’inventario: quali sistemi di AI usate, per cosa, con quali dati, di quale fornitore.
2. Classifica il rischio di ciascuno: vietato, alto, limitato, minimo.
3. Metti in regola la trasparenza di chatbot, assistenti vocali e contenuti generati: è già obbligatoria.
4. Forma le persone che usano l’AI, in modo proporzionato all’uso.
5. Controlla i contratti con i fornitori: ruoli, trattamento dei dati, documentazione disponibile.
6. Documenta le scelte: un registro semplice di sistemi, rischi e misure aiuta in caso di controlli e prepara alle scadenze dell’alto rischio.

Se stai integrando l’AI nei tuoi processi o nei servizi per i clienti, possiamo progettarla sicura e trasparente fin dall’inizio.