(Ovviamente anche questo articolo è stato scritto dall’AI, Rossana ha solo fatto copia e incolla!)

L’ Intelligenza Artificiale fa ormai parte del nostro quotidiano, ma come si usa in modo legale e sicuro?
Se ne sente parlare ovunque, ma la svolta definitiva è qui: l’AI Act europeo è entrato ufficialmente in piena applicazione ad agosto 2026.
Se usi o sviluppi tool di IA per la tua attività l’AI Act ti riguarda direttamente.

Ecco tutto quello che devi sapere in parole semplici, comprese le scadenze nascoste e le pesanti sanzioni per chi non si adegua.

Cos’è l’AI Act e perché riguarda anche le piccole aziende

L’ AI Act (Regolamento UE 2024/1689) è il regolamento europeo che disciplina lo sviluppo e l’uso dell’intelligenza artificiale. Non si applica solo a chi sviluppa modelli di IA, ma a qualunque azienda che utilizza strumenti di IA nella propria attività: un chatbot sul sito, un software che genera contenuti, un sistema che filtra i curriculum, un tool che assiste nella scrittura di documenti. In gergo tecnico, chi sviluppa questi sistemi è il “provider”, chi li usa in azienda è il “deployer” e le due figure hanno obblighi diversi.

Le 4 categorie di rischio dell’AI Act

L’ AI Act classifica ogni strumento di IA in base al rischio che comporta. Capire in quale categoria rientra ciascuno strumento che usi in azienda è il primo passo per essere in regola.

Rischio vietato

Sono pratiche vietate dal 2 febbraio 2025: riconoscimento delle emozioni sul posto di lavoro, sistemi di punteggio sociale, riconoscimento biometrico di massa in spazi pubblici. Con il Digital Omnibus si aggiungono due nuovi divieti dal 2 dicembre 2026: la generazione di immagini intime non consensuali (i cosiddetti “nudifier”) e la generazione o manipolazione di materiale di abuso sessuale su minori.

Rischio alto

Riguarda strumenti come la selezione automatica dei CV, la valutazione dei dipendenti o lo scoring per prestiti bancari. È la novità principale del 2026: con il Digital Omnibus, approvato dal Consiglio UE il 29 giugno 2026, questi obblighi non partono più il 2 agosto 2026 come previsto in origine, ma slittano al 2 dicembre 2027 per i sistemi ad alto rischio autonomi, e al 2 agosto 2028 per i sistemi integrati in altri prodotti (es. dispositivi medici).

Attenzione: è un rinvio, non un’esenzione. Le aziende che usano questi strumenti hanno più tempo per adeguarsi, ma la scadenza tornerà puntuale.

Rischio limitato

È la categoria di gran parte degli strumenti usati quotidianamente dalle aziende: chatbot, generatori di testi, immagini o video. Qui non c’è stato alcun rinvio: l’obbligo di dichiarare che si tratta di intelligenza artificiale resta confermato dal 2 agosto 2026. Ha invece una proroga al 2 dicembre 2026 solo la marcatura tecnica (watermarking) dei contenuti generati.

Rischio minimo

Filtri antispam, IA nei videogiochi e strumenti simili non hanno obblighi specifici, oltre al rispetto del GDPR.

Da fare subito: fai un elenco degli strumenti di IA che usi in azienda e capisci in quale categoria rientra ciascuno. Il rinvio sull’alto rischio dà più tempo per adeguarsi, non toglie l’obbligo di farlo.

Il Digital Omnibus: cosa è cambiato e cosa no

Il 29 giugno 2026 il Consiglio UE ha dato il via libera definitivo al Digital Omnibus, il pacchetto che modifica l’AI Act dopo l’accordo raggiunto con la trattativa tra le tre istituzioni (Commissione europea, Parlamento europeo e Consiglio dell’UE) il 7 maggio 2026 e il voto del Parlamento europeo del 16 giugno. La ragione ufficiale del rinvio: gli standard tecnici e le autorità nazionali non erano ancora pronti ad applicare le regole più onerose sull’alto rischio.

Cosa cambia in pratica:

Alto rischio: rinviato a dicembre 2027 / agosto 2028 (vedi sopra).
Trasparenza (art. 50): nessun rinvio. Chatbot, deepfake e contenuti sintetici destinati al pubblico devono essere dichiarati come tali dal 2 agosto 2026.
Nuovi divieti: dal 2 dicembre 2026 si aggiungono i divieti su nudifier e CSAM generati da IA.
Sandbox normative: posticipata al 2 agosto 2027 l’istituzione, da parte delle autorità nazionali, degli ambienti di sperimentazione controllata per le imprese.

In sintesi: più tempo sull’alto rischio, ma zero sconti sulla trasparenza. Se il tuo strumento più delicato è un chatbot o un generatore di contenuti, per te la scadenza del 2 agosto 2026 è già operativa.

La legge italiana sull’IA (Legge 132/2025)

In Italia, in parallelo all’AI Act, è in vigore dal 10 ottobre 2025 la Legge 132/2025, che introduce regole specifiche per il contesto nazionale. Tra i punti principali:

Chi esercita una professione (consulenti, professionisti, studi) può usare l’IA solo come supporto alla propria attività, non in sostituzione, e deve informarne il cliente.
La governance nazionale è affidata a due autorità: AgID, come autorità di notifica e promozione, e ACN (Agenzia per la Cybersicurezza Nazionale), come autorità di vigilanza del mercato con poteri ispettivi e sanzionatori.
Per settori specifici intervengono anche Banca d’Italia, CONSOB e IVASS.

Il 10 giugno 2026 il Consiglio dei Ministri ha approvato in esame preliminare i primi due decreti attuativi della legge, non ancora definitivi: riguardano la governance nazionale, l’uso dell’IA nelle professioni e nella formazione, oltre a nuove disposizioni su responsabilità civile e penale per chi non protegge adeguatamente i sistemi di IA ad alto rischio. I decreti dovranno ancora passare al vaglio delle Commissioni parlamentari prima di diventare definitivi.

2 agosto 2026: sono scattati i nuovi obblighi di trasparenza (Art. 50)

Il 2 agosto 2026 è stata la vera linea di demarcazione per la trasparenza aziendale: da quella data, se il tuo brand crea o diffonde contenuti tramite IA, non puoi più farlo “nell’ombra”. Sono diventati obbligatori tre punti:

Dichiarazione sui temi pubblici. Se usi l’IA per generare testi su temi di interesse pubblico o attualità, l’uso della tecnologia deve essere dichiarato esplicitamente, salvo che il contenuto sia stato sottoposto a revisione editoriale umana, con relativa responsabilità.
Avviso di interazione. Gli utenti devono sapere immediatamente e chiaramente se stanno parlando con un chatbot o un assistente virtuale, non con una persona reale, e per conto di chi agisce (es. “sono l’assistente virtuale di [Nome Azienda]”).
L’obbligo non scatta solo se è già evidente dal contesto che si tratta di IA, ma anche in quel caso è più prudente dichiararlo comunque esplicitamente.
Etichettatura e watermarking. Testi, immagini, video e audio generati o manipolati dall’IA (compresi i deepfake) devono contenere un’etichetta chiara, leggibile anche dai sistemi informatici (machine-readable), che ne dichiari l’origine artificiale.
Chi ha già immesso sul mercato sistemi generativi prima del 2 agosto 2026 ha tempo fino al 2 dicembre 2026 per implementare la marcatura tecnica; per i sistemi nuovi, l’obbligo è già pienamente operativo.

Nota bene: l’obbligo non è retroattivo. Se avevi già pubblicato contenuti generati con IA prima del 2 agosto 2026, non devi tornare indietro ad aggiungere le etichette a meno che tu non li ripubblichi o modifichi da questa data in poi.

Sanzioni e Multe: Cosa si Rischia Davvero?

Ignorare le regole può costare carissimo. Le sanzioni europee colpiscono il fatturato mondiale annuo (non l’utile) dell’esercizio precedente:

Fino a 35 milioni di euro (o il 7% del fatturato): Per chi utilizza pratiche vietate (Rischio Inaccettabile).
Fino a 15 milioni di euro (o il 3% del fatturato): Per la mancata conformità sui sistemi ad Alto Rischio o per il mancato rispetto degli obblighi di trasparenza e formazione del personale (AI literacy).
Fino a 7,5 milioni di euro (o l’1,5% del fatturato): Per chi fornisce informazioni false o incomplete alle autorità di controllo.

La Checklist di Compliance per le PMI

Ogni azienda deve avviare subito tre passi fondamentali:

Censire e mappare: Creare un registro aziendale di tutti i tool di IA usati (anche i plugin del browser o le IA integrate in CRM come Salesforce o HubSpot).
Classificare il rischio: Capire se i tool usati rientrano nel rischio minimo, limitato o alto rischio.
Coinvolgere il team e i sindacati: Valutare l’impatto dell’IA sul lavoro, sulla privacy e sui diritti dei lavoratori in modo partecipativo.

La svolta penale in Italia: Nel nostro Paese la responsabilità si estende ai reati aziendali (D.Lgs. 231).

I decreti di giugno 2026 hanno introdotto il reato di omessa adozione di misure di sicurezza nei sistemi di IA e pene severe (fino a 5 anni) per la diffusione illecita di contenuti manipolati (deepfake). Se un dipendente usa male un’IA, oggi risponde direttamente l’azienda.

Domande frequenti sull’AI Act 2026

L’AI Act è entrato pienamente in vigore ad agosto 2026? In parte. Le regole generali e gli obblighi di trasparenza (art. 50) sì, dal 2 agosto 2026. Gli obblighi sui sistemi ad alto rischio sono invece stati rinviati al 2 dicembre 2027 con il Digital Omnibus di giugno 2026.

Un chatbot per i clienti è considerato “ad alto rischio”? No, di solito rientra nella categoria “rischio limitato”: è sufficiente dichiarare esplicitamente che si tratta di intelligenza artificiale.

Le sanzioni sono già applicabili? Sì. Il sistema sanzionatorio dell’art. 99 è pienamente operativo, in particolare per le violazioni sui divieti e sulla trasparenza.

Chi controlla il rispetto dell’AI Act in Italia? Principalmente AgID (notifica) e ACN (vigilanza e sanzioni); per i settori bancario, finanziario e assicurativo intervengono anche Banca d’Italia, CONSOB e IVASS.

L’AI Act è retroattivo? No. Gli obblighi di trasparenza non si applicano ai contenuti creati e pubblicati prima del 2 agosto 2026, salvo che vengano ripubblicati o modificati dopo tale data.

C’è uno sconto sulle sanzioni per le PMI? Sì, l’AI Act prevede che per le piccole e medie imprese e le startup le sanzioni debbano essere proporzionate e tenere conto della sostenibilità economica dell’impresa, ma l’impatto economico e reputazionale resta comunque distruttivo.

Fonti: Regolamento (UE) 2024/1689 (AI Act), artt. 4, 5, 50, 99; Legge 23 settembre 2025, n. 132; Digital Omnibus sull’IA, approvazione definitiva del Consiglio UE del 29 giugno 2026; Orientamenti della Commissione europea sull’art. 50 AI Act del 20 luglio 2026.