AI Act per le aziende: cosa fare nel 2026, dopo il rinvio

AI Act e aziende: chi è deployer, fasce di rischio, calendario dopo il rinvio del 2026, trasparenza, formazione e cosa deve fare in pratica una PMI.

L'AI Act è il regolamento europeo sull'intelligenza artificiale, e riguarda anche la piccola azienda che usa un assistente in chat o un software che legge le fatture. Per la maggior parte delle PMI gli obblighi sono pochi e concreti: non usare pratiche vietate, dire alle persone quando parlano con un sistema automatico e formare chi usa questi strumenti. A luglio 2026 l'Unione europea ha rinviato gli obblighi più pesanti, quelli per i sistemi "ad alto rischio", ma il resto è già in vigore. Vediamo cosa vale oggi e cosa fare in pratica.

Cos'è l'AI Act, in due righe

È il Regolamento (UE) 2024/1689, in vigore dal 1° agosto 2024 e applicato a tappe. Non vieta l'intelligenza artificiale: la classifica in base al rischio e chiede più cautele dove il rischio per le persone è più alto. Vale in tutta l'Unione senza bisogno di leggi nazionali, anche se l'Italia ha aggiunto regole sue con la legge 132/2025.

Il regolamento distingue due ruoli:

• fornitore: chi sviluppa un sistema di AI e lo mette sul mercato con il proprio nome;
• deployer: chi lo usa nella propria attività, sotto la propria responsabilità.

Quasi tutte le PMI sono deployer. Gli obblighi più lunghi, come documentazione tecnica e marcatura CE dei sistemi ad alto rischio, ricadono sui fornitori.

Le quattro fasce di rischio

La maggior parte degli usi in una PMI cade nelle ultime due righe: leggere fatture, smistare email, rispondere ai clienti, preparare bozze di preventivo.

Il calendario aggiornato dopo il rinvio

A luglio 2026 è entrato in vigore il pacchetto chiamato Digital Omnibus, che ha spostato le scadenze dell'alto rischio perché standard tecnici e autorità nazionali non erano pronti. Il resto del calendario non è cambiato.

Il rinvio dà più tempo a chi rientra nell'alto rischio, ma non sospende il regolamento. Divieti, trasparenza e formazione valgono già oggi.

Cosa deve fare una PMI, in pratica

1. Fare l'elenco degli strumenti di AI che usate. Sembra banale, ma è il passo che quasi nessuno fa. Mettete in una tabella ogni strumento, chi lo usa, per cosa e con quali dati: assistenti in chat, generatori di testi, il software che legge i documenti, il centralino AI, le funzioni "intelligenti" dentro il gestionale.

2. Controllare che nessun uso sia vietato. Per una PMI il caso più realistico è il riconoscimento delle emozioni dei dipendenti, per esempio nell'analisi delle chiamate del customer service. Sul luogo di lavoro è vietato, salvo motivi medici o di sicurezza.

3. Verificare se qualcosa è ad alto rischio. Il caso tipico è la selezione del personale: un sistema che ordina o scarta i curriculum è ad alto rischio. Dal 2 dicembre 2027 chi lo usa dovrà garantire una supervisione umana competente, conservare i registri e informare i candidati. Meglio impostarlo bene da subito.

4. Essere trasparenti. Dal 2 agosto 2026 chi parla con un chatbot o con un assistente vocale deve saperlo, salvo che sia evidente. Bastano una frase all'inizio della conversazione ("Sono l'assistente automatico di…") e la possibilità di passare a una persona. Le immagini e i video realistici generati o modificati con l'AI vanno dichiarati come tali; i testi generati per informare il pubblico su temi di interesse pubblico anche, salvo che una persona li abbia rivisti e se ne assuma la responsabilità.

5. Formare chi usa l'AI. L'articolo 4 chiede a fornitori e deployer di prendere misure per l'alfabetizzazione sull'AI di chi usa questi sistemi per loro conto. Il Digital Omnibus ha tolto il riferimento a un "livello sufficiente" da garantire, ma l'obbligo di attivarsi è rimasto. In una PMI può bastare una formazione breve e documentata: cosa sa fare lo strumento, dove sbaglia, quali dati non inserire, chi controlla.

6. Scrivere due regole interne. Una policy di una pagina su quali strumenti si possono usare e con quali dati evita la maggior parte dei problemi, compresi quelli di privacy.

AI Act e GDPR

Sono due regole diverse che si sommano. L'AI Act guarda al sistema e al suo rischio, il GDPR ai dati personali che ci passano dentro. Un assistente che risponde ai clienti deve rispettare tutte e due: trasparenza sul fatto che è automatico, e informativa privacy su quali dati raccoglie e a chi li affida. Gli adempimenti privacy sono riassunti nella guida su AI e GDPR in azienda.

Le sanzioni

Le multe massime sono alte: fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate, fino a 15 milioni o il 3% per gli altri obblighi. Per le PMI e le startup si applica la cifra più bassa tra le due. Il rischio vero, per una piccola azienda, è meno la multa e più un uso scorretto che danneggia un cliente o un dipendente.

Un esempio

Prendiamo un'azienda di servizi con quindici persone. Usa un assistente in chat sul sito, un software che legge le fatture dei fornitori e, da poco, uno strumento che ordina i curriculum ricevuti.

• Assistente in chat: rischio limitato. Basta dichiarare che è automatico e permettere di scrivere a una persona.
• Lettura delle fatture: rischio minimo. Resta la verifica umana sui casi dubbi, che serve comunque.
• Ordinamento dei curriculum: alto rischio. Dal dicembre 2027 servono supervisione umana, registri e informativa alle persone coinvolte; per la legge italiana, già oggi, chi usa l'AI nelle decisioni su assunzioni e gestione del personale deve informare per iscritto i lavoratori.

Una mattina di lavoro per l'elenco, una formazione di un'ora per il personale e due righe nella policy interna: per la maggior parte delle PMI l'adeguamento si ferma qui.

Domande frequenti

L'AI Act si applica anche se uso solo strumenti già pronti? Sì. Chi usa un sistema di AI nella propria attività è deployer e ha i suoi obblighi, più leggeri di quelli del fornitore: uso conforme alle istruzioni, trasparenza, formazione e, per l'alto rischio, supervisione umana.

Il rinvio vuol dire che fino al 2027 non devo fare niente? No. Il rinvio riguarda solo i sistemi ad alto rischio. Divieti e formazione si applicano dal 2025, la trasparenza dal 2 agosto 2026.

Devo nominare un responsabile per l'AI? Il regolamento non lo chiede alle PMI che usano strumenti a rischio limitato o minimo. È comunque utile che una persona tenga l'elenco degli strumenti e sia il riferimento per i dubbi.

Questa guida è una sintesi divulgativa, non un parere legale: per i casi concreti, soprattutto se usate l'AI con i dipendenti, sentite il vostro consulente. Se volete partire con un'automazione già impostata in regola, guardate le automazioni AI per le PMI oppure scriveteci.