AI Act 2026: cosa cambia dal 2 agosto e come adeguarsi (guida per PMI)
Dal 2 agosto 2026 l'AI Act è pienamente operativo e riguarda anche chi si limita a usare strumenti di intelligenza artificiale in azienda. Obblighi reali, scadenze rinviate, sanzioni in proporzione e una checklist pratica per le PMI italiane.
AI Act 2026: cosa cambia dal 2 agosto e come adeguarsi (guida per PMI)
A cura di Francesco Tarricone — Innovation Manager certificato UNI 11814
Dal 2 agosto 2026 l'AI Act, il regolamento europeo sull'intelligenza artificiale, è entrato nella sua fase di applicazione generale. Non è una notizia che riguarda solo le grandi aziende tecnologiche: riguarda chiunque, in azienda, usi uno strumento di intelligenza artificiale per lavorare — un chatbot, un generatore di contenuti, un assistente per l'analisi dati. In questa guida spieghiamo cosa cambia davvero da questa settimana, cosa può ancora aspettare, e cosa fare in pratica se gestite una piccola o media impresa.
Cos'è l'AI Act, in breve
L'AI Act (Regolamento UE 2024/1689) è la prima legge organica al mondo sull'intelligenza artificiale. Non regola solo chi sviluppa sistemi AI — i provider — ma anche chi li utilizza nella propria attività: i deployer, categoria in cui rientra la quasi totalità delle PMI italiane.
Il principio alla base del regolamento è semplice: più un sistema di intelligenza artificiale può incidere sulle persone, maggiori sono gli obblighi di chi lo utilizza. Da qui nasce una classificazione del rischio su più livelli, dalle pratiche vietate ai sistemi ad alto rischio, fino agli obblighi di trasparenza più leggeri che riguardano la maggioranza degli usi aziendali quotidiani.
Cosa cambia dal 2 agosto 2026
La scadenza del 2 agosto 2026 rende pienamente applicabili gli obblighi di trasparenza previsti dall'articolo 50 del regolamento. In pratica, da questa data:
- i chatbot e gli assistenti vocali devono dichiarare di essere sistemi di intelligenza artificiale, salvo che non sia già evidente dal contesto;
- i contenuti sintetici e i deepfake devono essere etichettati come tali;
- chi utilizza sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone coinvolte.
- Censite ogni strumento di intelligenza artificiale utilizzato in azienda, incluso quello adottato informalmente da singoli dipendenti.
- Classificate ciascuno strumento: la vostra azienda agisce da provider o da deployer?
- Verificate che chatbot e contenuti generati con l'AI si dichiarino come tali.
- Individuate chi supervisiona ogni strumento e con quale livello di formazione.
- Formate il team sull'intelligenza artificiale — obbligo in vigore, va ricordato, da un anno e mezzo. Se non l'avete ancora fatto, organizziamo percorsi su misura.
La marcatura tecnica (watermarking) dei contenuti generati, prevista sempre dall'articolo 50, slitta invece al 2 dicembre 2026: per ora resta operativo l'obbligo di dichiarazione esplicita, non quello di etichettatura automatica dei file.
Cosa NON è (ancora) obbligatorio
Una parte consistente delle preoccupazioni che circolano in questi giorni riguarda gli obblighi sui sistemi "ad alto rischio" — quelli usati per selezione del personale, valutazione del credito, infrastrutture critiche, dispositivi medici. Il Digital Omnibus, approvato dal Consiglio dell'Unione Europea a fine giugno 2026, ha rinviato questi obblighi al 2 dicembre 2027 per i sistemi autonomi e al 2 agosto 2028 per quelli integrati in prodotti già regolamentati da altre normative.
Restano invece in vigore da febbraio 2025 il divieto delle pratiche di intelligenza artificiale considerate inaccettabili e l'obbligo di formazione — l'alfabetizzazione AI — per il personale che utilizza questi strumenti.
Provider o deployer: qual è il vostro ruolo
È il primo dubbio da sciogliere, perché determina quali obblighi si applicano. Il provider è chi sviluppa e immette sul mercato un sistema di intelligenza artificiale: OpenAI, Microsoft, o il fornitore del vostro gestionale se ha integrato funzioni AI proprie. Il deployer è chi utilizza quel sistema nella propria attività: nella grande maggioranza dei casi, è la posizione in cui si trova una PMI italiana.
Attenzione a un confine meno ovvio: se personalizzate un modello di intelligenza artificiale con i vostri dati in modo sostanziale — un fine-tuning approfondito, non una semplice configurazione — rischiate di essere riclassificati come provider, con obblighi molto più estesi. In questi casi vale la pena verificare la propria posizione con un legale prima di procedere.
Un esempio pratico: il chatbot che prende le prenotazioni
Il caso più comune per chi lavora a contatto con il pubblico — un ristorante, un salone, uno studio professionale — è quello di un chatbot che risponde su WhatsApp o sul sito.
Non basta, per essere in regola, che questa informazione compaia nei termini e condizioni del sito: se il cliente non la vede durante la conversazione, l'obbligo di trasparenza non è rispettato. È sufficiente invece una riga alla prima risposta del chatbot — qualcosa come "Sono l'assistente virtuale, rispondo io alle richieste semplici, per il resto vi richiamiamo noi" — dichiarata una volta all'inizio dello scambio, non ripetuta a ogni messaggio.
La checklist: cinque cose da fare questa settimana
Non serve rivoluzionare l'organizzazione aziendale. Serve mettere ordine in strumenti che, nella maggior parte dei casi, sono già in uso:
Le sanzioni, con la giusta proporzione
Le cifre che circolano fanno impressione: fino a 35 milioni di euro o il 7% del fatturato globale annuo per le pratiche vietate, fino a 15 milioni o il 3% per le altre violazioni sostanziali. Sono importi pensati per le grandi piattaforme tecnologiche. Per PMI e startup il regolamento prevede l'applicazione dell'importo minore tra percentuale e cifra fissa, e la sanzione deve comunque essere proporzionata alle dimensioni dell'impresa.
Il rischio più concreto, per la maggior parte delle aziende italiane, non è la sanzione in sé: è non riuscire a dimostrare la propria diligenza — in un controllo, in una vertenza con un dipendente, in un bando pubblico — perché nessun passaggio è stato documentato. In Italia la vigilanza sull'AI Act è affidata all'Agenzia per la Cybersicurezza Nazionale (ACN), individuata come autorità di riferimento dalla legge 132/2025. Per i dati personali coinvolti resta competente anche il Garante Privacy: le due normative si leggono insieme, non in alternativa.
Domande frequenti sull'AI Act
Devo formare il mio team sull'intelligenza artificiale per legge?
Sì. L'obbligo di alfabetizzazione AI per il personale che utilizza questi strumenti è in vigore dal febbraio 2025, non da questa settimana.
Se uso ChatGPT o Copilot in azienda, sono soggetto all'AI Act?
Sì, come deployer. Gli obblighi sono più leggeri rispetto a chi sviluppa il sistema, ma non sono nulli: riguardano soprattutto trasparenza, supervisione interna e, dove applicabile, la dichiarazione all'utente finale.
Gli obblighi sui sistemi ad alto rischio si applicano già alle PMI?
No. Il Digital Omnibus ha rinviato questi obblighi al dicembre 2027 per i sistemi autonomi e all'agosto 2028 per quelli integrati in prodotti già regolamentati.
Chi controlla il rispetto dell'AI Act in Italia?
L'Agenzia per la Cybersicurezza Nazionale (ACN), designata dalla legge 132/2025. Per i trattamenti di dati personali resta competente anche il Garante Privacy.
Il passo successivo
Non è consulenza legale — per un parere vincolante sul vostro caso specifico serve chi segue la vostra compliance. Ma il primo passo, capire quali strumenti usate davvero e dove siete già in regola, possiamo farlo insieme: prenotate una call conoscitiva e portateci la vostra lista di strumenti AI. Trenta minuti, non una consulenza legale: giusto il tempo di capire da dove partire.
Fonti normative: Regolamento (UE) 2024/1689 (AI Act); Digital Omnibus, approvato dal Consiglio UE il 29 giugno 2026; Legge 132/2025 (designazione ACN come autorità nazionale di vigilanza).