L’AI Act non è un divieto generale sull’intelligenza artificiale: è un regolamento europeo basato sul rischio, con obblighi diversi per chi fornisce i sistemi e per chi li usa in modo professionale. Per la maggior parte delle PMI italiane il punto operativo è questo: se usate AI nei processi (anche tool commerciali), siete tipicamente deployer e dovete saper dimostrare trasparenza, literacy e controllo.
Questa è informazione generale, non consulenza legale. Le date e gli obblighi vanno verificati sul caso concreto con un professionista abilitato.
Cos’è l’AI Act, in una frase utile
L’AI Act è il Regolamento (UE) 2024/1689: regole armonizzate sull’intelligenza artificiale nell’Unione Europea. Classifica gli usi per livello di rischio e collega obblighi a quel rischio.
La Commissione Europea lo riassume così: approccio basato sul rischio, con divieti per pratiche inaccettabili, obblighi più stretti per i sistemi ad alto rischio, obblighi di trasparenza per certi usi (es. chatbot e contenuti sintetici) e poche regole aggiuntive per il rischio minimo. Il quadro ufficiale è sulla pagina Regulatory framework for AI.
Quali scadenze contano adesso (agosto 2026)
Le scadenze non sono tutte uguali. Secondo la Commissione:
- dal 2 febbraio 2025 si applicano i divieti sulle pratiche vietate e gli obblighi di AI literacy (art. 4);
- dal 2 agosto 2025 si applicano regole di governance e obblighi sui modelli GPAI (general-purpose AI);
- dal 2 agosto 2026 partono l’enforcement e gli obblighi di trasparenza rilevanti per chatbots e contenuti generati o alterati da AI (comunicato Commissione, 31 luglio 2026);
- gli obblighi sui sistemi ad alto rischio dell’Allegato III sono stati spostati al 2 dicembre 2027, e quelli sui sistemi integrati in prodotti regolamentati (Allegato I) al 2 agosto 2028, a seguito del pacchetto di semplificazione (“AI Omnibus”) descritto dalla stessa Commissione.
In sintesi operativa: agosto 2026 non è “tutto l’alto rischio subito”. È però il momento in cui trasparenza ed enforcement diventano concreti.
Cosa devono fare le aziende che usano AI (ruolo deployer)
Nell’AI Act, il provider è chi sviluppa e immette sul mercato un sistema (o lo mette in servizio a proprio nome). Il deployer è chi usa un sistema AI sotto la propria autorità in ambito professionale (art. 3, punti 3 e 4).
Se la vostra PMI usa ChatGPT, Copilot, un assistente documentale interno o un agente su ticket, nella maggior parte dei casi siete deployer. Non “fuori dalle regole”: siete dentro con obblighi proporzionati.
Passi pratici che raccomandiamo operativamente (non come lista legale esaustiva):
- Inventario: quali tool AI usate, per quali processi, con quali dati.
- Classificazione grezza del rischio: uso generico di supporto vs decisioni su persone (HR, credito, accesso a servizi).
- Trasparenza: se un chatbot parla con clienti o utenti, deve essere chiaro che interagiscono con un sistema AI, non con una persona (art. 50 / enforcement agosto 2026).
- Literacy: formare chi usa l’AI sul lavoro (obbligo già attivo dal febbraio 2025).
- Ownership: chi risponde della qualità dell’output e delle escalation.
- Dati: allineamento con GDPR su cosa si può caricare e dove.
Qui Zendata interviene sul pezzo operativo: sistemi usabili, tracciabili e governati, non sul parere legale sostitutivo.
Sistemi ad alto rischio: quando preoccuparsi davvero
L’alto rischio non è “qualsiasi AI in azienda”. La Commissione elenca casi d’uso sensibili, tra cui (esempi): componenti di sicurezza in infrastrutture critiche, istruzione e scoring di esami, selezione e gestione del personale, credit scoring e accesso a servizi essenziali, biometria in certi contesti, justice e migrazione. Dettagli e elenco aggiornato: pagina ufficiale AI Act.
Se usate l’AI solo per bozze email, ricerca interna o sintesi documentale con supervisione umana, siete in uno scenario diverso da un ranking automatico dei candidati. La distinzione conta: evita panico inutile e ritardi dove invece serve preparazione.
FAQ
L’AI Act vieta ChatGPT in azienda?
No. Non introduce un divieto generale. Introduce obblighi differenziati e, per certi usi, trasparenza e responsabilità.
Una PMI è esentata?
No in modo automatico. Ci sono misure di supporto e semplificazioni per PMI/start-up nel regolamento, ma l’uso professionale rientra nel perimetro. Va valutato il caso concreto.
Cosa è cambiato il 2 agosto 2026?
Secondo la Commissione, partono enforcement e obblighi di trasparenza su interazione con AI e su certi contenuti generati/alterati. Gli obblighi alto rischio Allegato III restano con orizzonte successivo (dicembre 2027, salvo ulteriori aggiornamenti).
Serve un avvocato o basta un vendor AI?
Serve chiarezza operativa e, sui punti giuridici rilevanti, un parere professionale. Un fornitore tecnico non sostituisce la valutazione legale.
Fonti
- EUR-Lex: Regolamento (UE) 2024/1689 – AI Act
- Commissione Europea: Regulatory framework for AI
- Commissione Europea: enforcement e trasparenza dal 2 agosto 2026
- AI Act Explorer: articolo 3 (definizioni provider/deployer)
- AI Act Explorer: articolo 4 (AI literacy)
Approfondisci nella serie
- Legge 132/2025: cosa cambia in Italia
- Deployer vs provider: checklist PMI
- AI literacy e formazione obbligatoria
- Sicurezza dei dati e Shadow AI
- Chi è responsabile quando l’AI sbaglia
Se vuoi mappare i tool AI in uso e capire, in modo operativo, cosa mettere in ordine prima (trasparenza, literacy, ownership, dati), possiamo farlo su un perimetro concreto. Scrivici a info@zendata.it o visita zendata.it.
Pietro Ciattaglia, CEO di Zendata AI, Roma