L’AI Act (Regolamento (UE) 2024/1689) è in vigore dal 1° agosto 2024 e si applica in via generale dal 2 agosto 2026 [Commissione europea]. A luglio 2026 il Digital Omnibus sull’IA ne ha spostato le scadenze più pesanti [EUR-Lex]; in Italia si sono aggiunti la legge 132/2025 e due decreti attuativi. Questa guida è per la PMI che non sviluppa AI ma la usa: ChatGPT, Claude, Copilot o Gemini.
La tua azienda è un “deployer”?
Quasi certamente sì. Deployer è chi usa un sistema di AI “sotto la propria autorità”, escluso l’uso personale non professionale [EUR-Lex]: un’azienda che fa usare Claude Team o ChatGPT Business ai dipendenti lo è. Gli obblighi sui modelli spettano a OpenAI, Anthropic, Google e Microsoft [EUR-Lex].
Puoi invece diventare “fornitore” in due casi:
- Cambi lo scopo di un assistente generico e lo rendi un sistema ad alto rischio, per esempio configurandolo perché filtri i curriculum e scarti i candidati. L’art. 25 lo prevede anche per i sistemi di AI per finalità generali [AI Act Service Desk].
- Metti in servizio un sistema tuo, per esempio un chatbot per i clienti costruito sulle API di un fornitore: almeno gli obblighi di trasparenza dell’art. 50 diventano tuoi (da valutare con un legale).
Collegare il gestionale all’assistente per leggere ordini e scadenze non dovrebbe, di per sé, farti diventare fornitore: è la nostra lettura, non confermata da una fonte ufficiale.
Cosa è cambiato nel 2026?
Il Regolamento (UE) 2026/1744, pubblicato il 24 luglio 2026 e in vigore dal 27 luglio, ha cambiato tre cose che contano per chi usa assistenti [EUR-Lex]:
- Gli usi ad alto rischio dell’allegato III slittano dal 2 agosto 2026 al 2 dicembre 2027, data fissa; la proposta la legava alla disponibilità degli standard [EUR-Lex].
- L’alfabetizzazione (art. 4) resta un obbligo delle imprese, più leggero: la proposta voleva spostarla su Commissione e Stati [EUR-Lex].
- Due nuovi divieti dal 2 dicembre 2026: sistemi per creare deepfake intimi senza consenso e materiale pedopornografico.
Le date, in ordine
| Data | Cosa si applica | Ti riguarda se usi assistenti? |
|---|---|---|
| 1 agosto 2024 | AI Act in vigore | Sì, come cornice |
| 2 febbraio 2025 | Pratiche vietate (art. 5) e alfabetizzazione (art. 4) [EUR-Lex] | Sì |
| 2 agosto 2025 | Regole sui modelli per finalità generali, governance, capitolo sanzioni | Indirettamente: valgono per chi fa i modelli |
| 10 ottobre 2025 | Legge italiana 132/2025 in vigore [Gazzetta Ufficiale] | Sì: lavoro e professioni |
| 27 luglio 2026 | Omnibus in vigore, nuovo art. 4 [EUR-Lex] | Sì |
| 2 agosto 2026 | Applicazione generale, trasparenza (art. 50), vigilanza nazionale anche sull’art. 4 [Commissione europea] | Sì, nei casi dell’art. 50 |
| 30 settembre 2026 | D.Lgs. 160/2026 in vigore (responsabilità civile e penale) [Normattiva] | Per gli usi ad alto rischio |
| 23 ottobre 2026 | D.Lgs. 179/2026 in vigore: decisioni sul lavoro, DVR, sanzioni italiane [Normattiva] | Sì, se hai dipendenti |
| 2 dicembre 2026 | Nuovi divieti (deepfake intimi, pedopornografia) | Marginale |
| aprile 2027 circa | Ordini professionali: formazione sull’AI (sei mesi dal 23 ottobre 2026) [Normattiva] | Se sei un professionista iscritto |
| 2 agosto 2027 | Si adeguano i modelli per finalità generali già sul mercato prima del 2 agosto 2025 [AI Act Service Desk] | Indirettamente |
| 2 dicembre 2027 | Alto rischio, allegato III: tra gli altri personale, merito creditizio, assicurazioni vita e salute | Sì, se usi l’AI per queste decisioni |
| 2 agosto 2028 | Alto rischio, allegato I: AI dentro prodotti regolati (macchine, dispositivi medici…) | Se produci macchine o dispositivi con AI integrata |
Cosa chiede davvero l’alfabetizzazione (art. 4)?
Dal 27 luglio 2026 fornitori e deployer “adottano misure volte a sostenere lo sviluppo dell’alfabetizzazione” in materia di IA del personale e di chi usa l’AI per loro conto; l’obbligo “non impone ai fornitori o ai deployer di garantire un livello specifico” [EUR-Lex]. Prima il testo chiedeva di garantire, nella misura del possibile, un livello sufficiente [EUR-Lex].
Secondo la Commissione europea (risposte aggiornate al 20 ottobre 2026) non servono certificati, misure delle conoscenze dei dipendenti o un “responsabile AI”. Chi usa strumenti come ChatGPT va informato sui rischi specifici, come le allucinazioni; le “altre persone” possono essere collaboratori esterni, fornitori di servizi e clienti; si può tenere un registro interno delle formazioni [Commissione europea].
Il nostro suggerimento, non una regola: un’ora di sessione e una pagina di regole. L’AI può sbagliare numeri e nomi con tono sicuro; si verifica la fonte prima di mandare fuori un dato; non si decide sulle persone solo con l’AI. Segna data e partecipanti.
Quando devi dichiarare che un contenuto è fatto con l’AI?
Dal 2 agosto 2026 l’art. 50 impone al deployer pochi obblighi precisi [AI Act Service Desk]:
| Caso | Obbligo |
|---|---|
| Pubblichi immagini, audio o video realistici generati o manipolati (deepfake), anche nel marketing | Dichiari che il contenuto è artificiale; per opere evidentemente artistiche o satiriche l’obbligo è più leggero |
| Pubblichi testi generati con l’AI per informare il pubblico su temi di interesse pubblico | Lo dichiari, salvo che il testo abbia avuto una revisione umana o un controllo editoriale e qualcuno ne abbia la responsabilità editoriale |
| Usi riconoscimento delle emozioni o categorizzazione biometrica | Informi le persone esposte (sul lavoro il riconoscimento delle emozioni è vietato) |
| Email, offerte, report, documenti interni scritti con l’AI | Nessun obbligo di etichetta per l’AI Act |
L’informazione va data in modo chiaro e distinguibile, al più tardi alla prima interazione o esposizione [AI Act Service Desk]. In Italia, poi, diffondere senza consenso immagini, video o voci falsificati con l’AI e capaci di ingannare, causando un danno ingiusto, è reato: da uno a cinque anni (art. 612-quater del codice penale, di norma a querela) [Normattiva].
Cosa è già vietato?
Dal 2 febbraio 2025 è vietato usare sistemi di AI per dedurre le emozioni delle persone sul luogo di lavoro, salvo motivi medici o di sicurezza [EUR-Lex]. Il 14 maggio 2026 il Garante privacy ha richiamato il divieto, con un avvertimento, per un componente aggiuntivo che analizzava lo stress dei dipendenti nelle chat aziendali [Garante privacy]. Se ti propongono “analisi del clima” basata su chat, email o chiamate dei dipendenti, chiedi un parere.
Quando l’uso diventa ad alto rischio?
Dal 2 dicembre 2027 si applicano gli obblighi per gli usi ad alto rischio dell’allegato III, tra cui [AI Act Service Desk]:
- Selezione del personale: annunci mirati, analisi e filtro delle candidature, valutazione dei candidati.
- Gestione del personale: decisioni su condizioni di lavoro, promozioni o cessazioni, assegnazione di compiti in base a comportamenti o caratteristiche personali, monitoraggio e valutazione di prestazioni e comportamento.
- Merito creditizio di persone fisiche: valutazione dell’affidabilità o punteggio di credito, esclusa la rilevazione delle frodi. Il controllo di affidabilità di un cliente società non è nell’elenco; per ditte individuali e professionisti chiedi un parere.
- Assicurazioni vita e salute: valutazione del rischio e prezzi per le persone fisiche.
Un sistema dell’allegato III non è ad alto rischio se non presenta un rischio significativo, per esempio se svolge un compito procedurale limitato; lo è sempre se fa profilazione di persone fisiche [EUR-Lex].
Se rientri, da deployer dovrai seguire le istruzioni del fornitore, affidare la sorveglianza a persone competenti e con autorità, conservare per almeno sei mesi i log sotto il tuo controllo, informare prima lavoratori e rappresentanti, e informare le persone soggette alle decisioni [AI Act Service Desk]. La valutazione d’impatto sui diritti fondamentali (FRIA) tocca solo organismi di diritto pubblico, privati che forniscono servizi pubblici e chi usa questi sistemi per credito o assicurazioni vita e salute [AI Act Service Desk].
Il nuovo art. 437-bis del codice penale punisce con la reclusione da uno a cinque anni l’utilizzatore professionale di un sistema ad alto rischio che omette intenzionalmente le misure di sorveglianza umana, se ne deriva pericolo per la vita o l’incolumità delle persone [Normattiva]. È anche reato presupposto per la responsabilità dell’ente (D.Lgs. 231/2001) [Normattiva]. Non è ancora chiaro come si coordini con la data del 2 dicembre 2027.
Cosa NON devi fare se usi solo assistenti?
Per gli usi non ad alto rischio (ordini, magazzino, fatture, report, testi) non servono valutazione di conformità, marcatura CE, registrazione nella banca dati UE, documentazione tecnica o sistema di gestione della qualità, obblighi dei fornitori di sistemi ad alto rischio [EUR-Lex]. Né, come visto sopra, FRIA, certificati, responsabile AI o etichette sui documenti interni.
Quali sono le sanzioni per una PMI?
| Violazione | Massimo previsto dall’AI Act |
|---|---|
| Pratiche vietate (art. 5) | 35 milioni di euro o 7% del fatturato mondiale annuo [AI Act Service Desk] |
| Altri obblighi, compresi quelli dei deployer (art. 26) e la trasparenza (art. 50) | 15 milioni o 3% |
| Informazioni inesatte, incomplete o fuorvianti alle autorità | 7,5 milioni o 1% |
Vale il più alto dei due importi, ma per PMI e start-up il più basso; le sanzioni nazionali devono tenere conto dei loro interessi e possono comprendere avvertimenti e misure non pecuniarie [AI Act Service Desk]. Dal 2026 l’importo più basso vale anche per le piccole imprese a media capitalizzazione, nelle ultime due fasce [EUR-Lex].
L’Italia riprende le stesse fasce, con una in più per gli artt. 27 e 86 (fino a 1 milione di euro o, se superiore, lo 0,5% del fatturato), e l’importo più basso per PMI, microimprese comprese, e start-up innovative [Normattiva]. Per le violazioni lievi l’autorità può limitarsi a ordinare di eliminarle e di non ripeterle (art. 22) [Normattiva].
L’art. 4 non compare nelle fasce di sanzione, né nell’AI Act [AI Act Service Desk] né nel decreto italiano [Normattiva]. Non è facoltativo: per la Commissione una sanzione è più probabile se un incidente dipende da una formazione insufficiente [Commissione europea]. Come venga sanzionato in concreto va chiarito con un legale.
Le regole italiane: legge 132/2025 e decreti del 2026
Lavoro. Il datore di lavoro informa il lavoratore dell’uso dell’AI nei casi e con le modalità dell’art. 1-bis del D.Lgs. 152/1997, cioè per i sistemi decisionali o di monitoraggio integralmente automatizzati [Normattiva]. Dal 23 ottobre 2026 il D.Lgs. 179/2026 aggiunge due regole, valide anche per chi usa solo un assistente:
- Decisione finale umana. Le decisioni su assunzione, modifica e cessazione del rapporto, compresi provvedimenti disciplinari e valutazioni delle prestazioni, non possono basarsi unicamente su un trattamento automatizzato: la decisione definitiva spetta a una persona, anche se il lavoratore acconsente. Le decisioni prese in violazione, licenziamento compreso, sono nulle; il lavoratore può chiedere una motivazione intelligibile [Normattiva]. Ricerca e selezione delle candidature non contano come decisione finale.
- DVR. L’AI che incide su organizzazione, ritmi o sicurezza del lavoro va considerata nella valutazione dei rischi del D.Lgs. 81/2008, e i lavoratori vanno informati e formati sui rischi specifici [Normattiva].
Professioni intellettuali (commercialisti, consulenti del lavoro, avvocati, ingegneri…). Dal 10 ottobre 2025 l’AI serve solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale, e i sistemi di AI usati vanno comunicati al cliente “con linguaggio chiaro, semplice ed esaustivo” [Normattiva]. Il Consiglio nazionale dei commercialisti (CNDCEC) ha pubblicato una clausola tipo per l’informativa ai clienti [CNDCEC]. Il D.Lgs. 179/2026 rende obbligatori nella formazione degli ordini percorsi sull’AI, compresi gli obblighi informativi verso il cliente; i consigli nazionali hanno sei mesi per adeguare i regolamenti [Normattiva]. Vedi anche la pagina sui commercialisti.
Checklist per la PMI che usa assistenti AI
-
Fai l’inventario
Assistenti, piani, chi li usa, per cosa, con quali dati. Gli account personali usati per lavoro vanno portati su un piano aziendale.
-
Scrivi una regola d’uso di una pagina
Quali dati si usano, come si verifica una risposta, cosa non si delega all’AI.
-
Fai la sessione di alfabetizzazione e registrala
Ripetila quando cambi assistente o colleghi nuovi dati.
-
Controlla gli usi sulle persone
Curriculum, valutazioni, provvedimenti disciplinari: decisione finale umana già oggi (D.Lgs. 179/2026). Dal 2 dicembre 2027 questi usi, e l’affidabilità di clienti persone fisiche, possono essere ad alto rischio.
-
Aggiorna i documenti del lavoro
Informativa ai lavoratori dove si applica l’art. 1-bis del D.Lgs. 152/1997, DVR, nessuno strumento che deduca emozioni.
-
Etichetta i contenuti pubblici
Immagini, video e audio realistici generati con l’AI vanno dichiarati. I documenti interni no.
-
Se sei un professionista, informa i clienti
Nel mandato, una clausola su quali strumenti di AI usi e per cosa.
-
Allinea la parte privacy
DPA, registro dei trattamenti, valutazione d’impatto se l’AI legge dati di dipendenti o incrocia più archivi.
-
Rivedi a ogni scadenza
Prossime: aprile 2027 (professionisti), 2 dicembre 2027 (alto rischio).
La parte privacy è nella pagina su sicurezza e GDPR; piani e condizioni dei fornitori nel confronto tra assistenti AI. Nel programma pilota il collegamento al gestionale nasce in sola lettura, con accesso personale e registro delle richieste, e sono previsti i documenti GDPR e una sessione di formazione utile per l’art. 4. Altre guide.