Molti titolari di piccole imprese ci chiedono la stessa cosa: "Usiamo l'intelligenza artificiale per scrivere email e preparare preventivi. L'AI Act ci riguarda?" La risposta breve è sì, ma quasi sempre in modo più leggero di quanto si teme. Il regolamento europeo non vieta di usare l'AI e non chiede a una PMI di diventare un ufficio legale. Chiede di sapere quali strumenti si usano, di evitare alcuni usi proibiti, di essere trasparenti in certi casi e di preparare le persone. In questa guida trovi le date che contano davvero a novembre 2026, cosa cambia con le modifiche approvate a luglio, cosa aggiunge la legge italiana e un piano in sei passi da seguire in ufficio.
Che cos'è l'AI Act, in poche righe
L'AI Act è il Regolamento (UE) 2024/1689, in vigore dal 1º agosto 2024. È un regolamento, non una direttiva: vale direttamente in tutti i Paesi dell'Unione, senza bisogno di una legge nazionale che lo recepisca. Riguarda chi sviluppa sistemi di intelligenza artificiale, chi li vende e chi li usa per lavoro.
L'idea di fondo è semplice: più un uso dell'AI può fare danni alle persone, più regole ci sono. Un programma che riassume i verbali delle riunioni non preoccupa nessuno; un sistema che decide chi assumere o a chi concedere un prestito sì. Per questo il regolamento divide gli usi in fasce di rischio e chiede obblighi diversi per ciascuna.
Nel luglio 2026 il testo è stato modificato dal Regolamento (UE) 2026/1744, il cosiddetto "Omnibus digitale sull'IA", pubblicato nella Gazzetta ufficiale dell'Unione il 24 luglio 2026. Ha spostato in avanti le scadenze per i sistemi ad alto rischio, ha riscritto l'obbligo di alfabetizzazione e ha aggiunto misure di semplificazione per PMI e piccole imprese a media capitalizzazione.
Le date: cosa vale già e cosa arriva
La confusione nasce soprattutto dalle date, perché il regolamento si applica a tappe e alcune sono state cambiate. Ecco il quadro aggiornato al 12 novembre 2026.
| Data | Che cosa scatta | Riguarda una PMI che usa l'AI? |
|---|---|---|
| 1º agosto 2024 | Entrata in vigore del regolamento | Solo come punto di partenza |
| 2 febbraio 2025 | Pratiche vietate e obbligo di alfabetizzazione sull'AI (art. 4) | Sì |
| 2 agosto 2025 | Regole per i modelli di AI per finalità generali, autorità, sanzioni | Di solito no: riguarda chi sviluppa i modelli |
| 27 luglio 2026 | Entra in vigore l'Omnibus: nuovo testo dell'art. 4 | Sì |
| 2 agosto 2026 | Applicazione generale, obblighi di trasparenza (art. 50), vigilanza delle autorità nazionali | Sì, se usi chatbot o contenuti generati |
| 2 dicembre 2026 | Nuovi divieti sulle immagini intime false di persone reali; marcatura dei contenuti per i sistemi generativi già sul mercato | Soprattutto per i fornitori |
| 2 dicembre 2027 | Obblighi per i sistemi ad alto rischio dell'allegato III (personale, credito, istruzione…) | Sì, se usi l'AI in questi ambiti |
| 2 agosto 2028 | Alto rischio per l'AI integrata in prodotti regolati (allegato I: macchine, dispositivi medici…) | Per i produttori |
In pratica, oggi una PMI deve già rispettare i divieti, occuparsi della formazione di chi usa l'AI e, da agosto 2026, gli obblighi di trasparenza. Gli adempimenti più pesanti per l'alto rischio sono stati rinviati, non cancellati.
Fornitore o deployer: in quale ruolo sei
Il regolamento distingue soprattutto due figure.
- Fornitore: chi sviluppa un sistema di AI, o lo fa sviluppare, e lo mette sul mercato o in servizio con il proprio nome o marchio.
- Deployer (è il termine usato anche nella versione italiana): chi usa un sistema di AI sotto la propria autorità, per lavoro. L'uso personale e non professionale è escluso.
Quasi tutte le piccole imprese, gli studi e i negozi sono deployer: usano strumenti fatti da altri. Attenzione però a due casi in cui si può diventare fornitori senza accorgersene: quando si mette il proprio marchio su un sistema ad alto rischio già sul mercato, oppure quando lo si modifica in modo sostanziale o se ne cambia la finalità. Se ti stai facendo costruire uno strumento su misura, chiarisci per iscritto chi ha quale ruolo.
Le fasce di rischio con esempi da ufficio
- Rischio inaccettabile: vietato. Pochi usi, elencati all'articolo 5. Li vediamo nel prossimo capitolo.
- Alto rischio: ammesso con molte regole. Per esempio software che seleziona i curriculum, valuta i dipendenti o decide promozioni e licenziamenti; sistemi che valutano l'affidabilità creditizia delle persone; strumenti che decidono l'accesso a scuole e corsi o valutano gli studenti.
- Rischio legato alla trasparenza. Chatbot che parlano con i clienti, testi, immagini, audio e video generati o modificati con l'AI.
- Rischio minimo. La grande maggioranza degli usi aziendali: riassunti, traduzioni, bozze di email, lettura di documenti e ordini, previsioni di vendita, filtri antispam. Non ci sono obblighi specifici oltre all'alfabetizzazione.
Un esempio concreto. Un'azienda di distribuzione che usa l'AI per leggere gli ordini dei clienti e preparare le righe per il gestionale è nel rischio minimo. Se la stessa azienda usasse un software che dà un punteggio ai candidati per scegliere chi chiamare a colloquio, entrerebbe nell'alto rischio.
Gli usi vietati che possono toccare anche una PMI
Dal 2 febbraio 2025 sono vietati, fra gli altri:
- i sistemi che riconoscono le emozioni sul luogo di lavoro e negli istituti di istruzione, salvo motivi medici o di sicurezza. Una telecamera che "legge" lo stress dei cassieri o un programma che giudica l'umore dei centralinisti dalla voce è vietato;
- le tecniche subliminali o manipolative che spingono le persone a decisioni dannose;
- lo sfruttamento delle vulnerabilità dovute all'età, a una disabilità o a una situazione economica o sociale difficile;
- il "punteggio sociale" che penalizza le persone in contesti diversi da quelli in cui i dati sono stati raccolti;
- la creazione di banche dati di volti raccogliendo immagini da internet o da telecamere in modo non mirato;
- la categorizzazione biometrica per dedurre dati sensibili come orientamento sessuale, opinioni politiche o religione.
Dal 2 dicembre 2026 si aggiungono i divieti sui sistemi usati per generare immagini intime o sessualmente esplicite false di persone reali riconoscibili e materiale pedopornografico.
Trasparenza: quando devi dire che c'è una macchina
L'articolo 50 si applica dal 2 agosto 2026. Per chi usa l'AI in azienda i casi più comuni sono questi:
- Chatbot e assistenti sul sito, su WhatsApp o al telefono: le persone devono sapere che stanno parlando con un sistema di AI, a meno che sia evidente dal contesto. Una frase chiara all'inizio della conversazione risolve.
- Deepfake: se pubblichi immagini, audio o video generati o manipolati che sembrano reali, devi dichiarare che sono artificiali. Per le opere chiaramente creative o satiriche l'obbligo è più leggero.
- Testi pubblicati per informare il pubblico su temi di interesse generale: va indicato che sono generati con l'AI, salvo che una persona li abbia rivisti e ne abbia la responsabilità editoriale.
- Riconoscimento delle emozioni o categorizzazione biometrica consentiti: le persone esposte vanno informate.
I fornitori di sistemi che generano contenuti devono inoltre renderli riconoscibili come artificiali con una marcatura leggibile dalle macchine; per i sistemi già sul mercato prima del 2 agosto 2026 il termine è il 2 dicembre 2026.
Alto rischio: cosa preparare entro dicembre 2027
Se usi l'AI per il personale, per valutare l'affidabilità creditizia di persone fisiche o in altri ambiti dell'allegato III, come deployer dovrai, fra l'altro:
- usare il sistema secondo le istruzioni del fornitore;
- affidare la sorveglianza umana a persone competenti, formate e con l'autorità per fermare o correggere il sistema;
- controllare che i dati che inserisci siano pertinenti;
- conservare i registri generati automaticamente per almeno sei mesi;
- informare i rappresentanti dei lavoratori e i lavoratori prima di mettere in uso il sistema sul luogo di lavoro;
- informare le persone su cui il sistema aiuta a prendere decisioni.
Il rinvio al 2 dicembre 2027 dà tempo, ma non conviene aspettare: scegliere oggi un fornitore che documenta bene il suo prodotto evita di doverlo cambiare fra un anno.
La legge italiana: Legge 23 settembre 2025, n. 132
L'Italia ha approvato una propria legge sull'intelligenza artificiale, pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025 e in vigore dal 10 ottobre 2025. Non sostituisce l'AI Act: lo affianca e va letta insieme al regolamento. Per un'azienda i punti pratici sono questi.
- Lavoro (art. 11). Il datore di lavoro o il committente deve informare il lavoratore dell'uso dell'intelligenza artificiale, nei casi e con le modalità già previste per i sistemi decisionali e di monitoraggio automatizzati (art. 1-bis del D.Lgs. 152/1997).
- Professioni intellettuali (art. 13). Commercialisti, avvocati, consulenti e ingegneri possono usare l'AI solo per attività di supporto: il lavoro intellettuale resta del professionista, che deve informare il cliente sui sistemi di AI che usa, in modo chiaro e comprensibile.
- Autorità. La legge individua l'Agenzia per l'Italia Digitale (AgID) e l'Agenzia per la Cybersicurezza Nazionale (ACN) come autorità nazionali per l'intelligenza artificiale.
- Deepfake. Introduce nel codice penale il reato di illecita diffusione di contenuti generati o alterati con l'AI (art. 612-quater).
- Deleghe al Governo per adeguare le norme italiane al regolamento europeo, anche sul fronte delle sanzioni.
Per la Pubblica Amministrazione la legge ribadisce che l'AI è uno strumento di supporto e che la decisione resta del funzionario responsabile.
Quanto si rischia
L'articolo 99 dell'AI Act fissa i massimi. Per le pratiche vietate si arriva a 35 milioni di euro o al 7% del fatturato mondiale annuo; per la maggior parte degli altri obblighi, compresi quelli di trasparenza e quelli dei deployer, a 15 milioni o al 3%; per informazioni false o incomplete date alle autorità, a 7,5 milioni o all'1%. Per le PMI si applica l'importo più basso fra la cifra fissa e la percentuale, e l'Omnibus ha esteso questo criterio anche alle piccole imprese a media capitalizzazione. Le sanzioni devono essere proporzionate: contano la gravità, la durata, l'intenzionalità e la collaborazione con le autorità.
Il piano in sei passi per una PMI
- Fai l'elenco degli strumenti. Chiedi a ogni reparto quali programmi con AI usa, anche gratuiti o integrati in software che hai già. Spesso il titolare scopre strumenti che non sapeva di avere.
- Assegna a ciascuno una fascia di rischio. Per la maggior parte sarà "minimo". Segna con attenzione tutto ciò che tocca personale, candidati, credito e clienti finali.
- Scrivi poche regole interne. Quali strumenti sono ammessi, quali dati non vanno mai inseriti, chi controlla i risultati prima che escano dall'azienda.
- Organizza l'alfabetizzazione. Una formazione proporzionata ai ruoli, con un registro di quello che è stato fatto. Ne parliamo nella guida sulla formazione AI per i dipendenti.
- Sistema la trasparenza. Avviso nel chatbot, indicazione sui contenuti generati che sembrano reali, informativa ai lavoratori dove serve.
- Controlla contratti e privacy. L'AI Act non sostituisce il GDPR: per ogni strumento verifica dove vanno i dati, chi è responsabile del trattamento e se i dati vengono usati per addestrare i modelli. Su questo tema trovi la guida AI in locale o in cloud.
Come impostiamo noi i progetti di AI
Faberweb realizza soluzioni di intelligenza artificiale per aziende, studi ed enti del Nord e del Centro Italia. Non siamo uno studio legale e per i casi dubbi ti consigliamo di sentire il tuo avvocato o consulente; possiamo però aiutarti nella parte pratica: capire quali strumenti usate, che dati trattano e come sono configurati.
Nei progetti che costruiamo l'AI prepara il lavoro e la persona decide: è il principio che seguiamo per WorkMind, per gli strumenti dedicati agli studi professionali e per quelli rivolti alla Pubblica Amministrazione. Sul trattamento dei dati firmiamo un accordo secondo il GDPR in cui il cliente resta Titolare e Faberweb è Responsabile. Per gli enti siamo abilitati su Consip/MEPA e Sintel.
Se vuoi fare il punto sugli strumenti che usate, scrivici dal modulo contatti oppure chiamaci al 0371 464 186: ti rispondiamo entro 24 ore lavorative.
Domande frequenti
L'AI Act vale anche per una piccola impresa con pochi dipendenti?
Sì: il regolamento non prevede esenzioni in base alle dimensioni per chi usa l'AI per lavoro. Gli obblighi però dipendono dall'uso che ne fai: con strumenti a rischio minimo, come riassunti, traduzioni o lettura di documenti, si riducono all'alfabetizzazione di chi li usa e al rispetto dei divieti. Per le PMI sono previste anche sanzioni massime più basse e documentazione semplificata per chi sviluppa sistemi.
Le scadenze per l'alto rischio sono state rinviate?
Sì. Con il Regolamento (UE) 2026/1744, pubblicato il 24 luglio 2026, gli obblighi per i sistemi ad alto rischio dell'allegato III si applicano dal 2 dicembre 2027 e quelli per l'AI integrata nei prodotti regolati dell'allegato I dal 2 agosto 2028. Restano invece in vigore i divieti, l'alfabetizzazione e, dal 2 agosto 2026, la trasparenza.
Se uso un chatbot sul sito devo scrivere che è un'intelligenza artificiale?
Sì, dal 2 agosto 2026 le persone devono essere informate che stanno interagendo con un sistema di AI, salvo che sia evidente dal contesto. Basta un messaggio chiaro all'inizio della conversazione, per esempio "Sono l'assistente virtuale dell'azienda", e la possibilità di parlare con una persona quando la domanda è complessa.
Chi controlla il rispetto dell'AI Act in Italia?
La vigilanza spetta alle autorità nazionali. La Legge 132/2025 indica l'Agenzia per l'Italia Digitale e l'Agenzia per la Cybersicurezza Nazionale come autorità per l'intelligenza artificiale, ferme restando le competenze di altre autorità, come il Garante per la protezione dei dati personali per gli aspetti privacy.
Devo informare i dipendenti se in azienda usiamo l'AI?
Dipende dall'uso. La legge italiana chiede al datore di lavoro di informare i lavoratori quando l'AI rientra nei sistemi decisionali o di monitoraggio automatizzati che incidono sul rapporto di lavoro. L'AI Act, per i sistemi ad alto rischio usati sul luogo di lavoro, chiede di informare lavoratori e rappresentanti prima della messa in uso. In ogni caso è buona regola spiegare a tutti quali strumenti si usano e perché.
L'AI Act sostituisce il GDPR?
No, si sommano. L'AI Act regola i sistemi di intelligenza artificiale e il loro uso; il GDPR continua a regolare ogni trattamento di dati personali, anche quando avviene tramite l'AI. Se uno strumento elabora dati di clienti, dipendenti o fornitori, servono le stesse verifiche di sempre: base giuridica, informativa, sicurezza e accordo con il fornitore che tratta i dati.