AI Act: obblighi e scadenze per le PMI (2026)

Che cos'è l'AI Act e chi riguarda

L'AI Act è il regolamento europeo sull'intelligenza artificiale, in vigore dal 1° agosto 2024 e applicabile in modo scaglionato. È un regolamento: vale direttamente in Italia, senza bisogno di una legge di recepimento.

Il regolamento classifica i sistemi di IA in base al rischio:

rischio inaccettabile: pratiche vietate;
alto rischio: sistemi usati in ambiti sensibili, con obblighi stringenti;
rischio limitato: sistemi soggetti a obblighi di trasparenza, come chatbot e generatori di contenuti;
rischio minimo: la maggior parte degli strumenti di uso comune, senza obblighi specifici oltre all'alfabetizzazione.

Riguarda quindi anche la PMI che usa un assistente per scrivere testi, un chatbot sul sito o un software gestionale con funzioni di IA, non solo chi sviluppa algoritmi.

In Italia la legge 23 settembre 2025, n. 132 ha completato il quadro con regole nazionali su lavoro, professioni, diritto d'autore e reati, e ha individuato le autorità nazionali competenti; i suoi profili penali e 231 sono trattati nell'articolo su intelligenza artificiale e modello 231.

Fornitore o deployer: il ruolo della PMI

Gli obblighi dipendono dal ruolo:

il fornitore sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato con il proprio nome o marchio;
il deployer è chi usa un sistema di IA sotto la propria autorità nell'ambito di un'attività professionale.

La maggior parte delle PMI è deployer: usa strumenti sviluppati da altri. Diventa fornitore se sviluppa un proprio sistema o se mette il proprio marchio su un sistema altrui, oppure se ne modifica in modo sostanziale la destinazione d'uso.

Le scadenze dopo l'Omnibus digitale

Il Regolamento (UE) 2026/1744, pubblicato il 24 luglio 2026 e in vigore dal 27 luglio 2026, ha riscritto parte del calendario.

Data	Cosa si applica
2 febbraio 2025	Pratiche vietate (art. 5) e alfabetizzazione sull'IA (art. 4)
2 agosto 2025	Regole sui modelli di IA per finalità generali e sistema delle sanzioni
27 luglio 2026	Nuovo testo dell'art. 4 sull'alfabetizzazione, introdotto dall'Omnibus
2 agosto 2026	Obblighi di trasparenza (art. 50)
2 dicembre 2026	Nuovi divieti sui contenuti sessuali generati con l'IA senza consenso; adeguamento all'obbligo di marcatura dei contenuti sintetici per i sistemi immessi sul mercato prima del 2 agosto 2026
2 dicembre 2027	Obblighi per i sistemi ad alto rischio dell'Allegato III (per esempio selezione del personale, valutazione del merito creditizio)
2 agosto 2028	Obblighi per i sistemi ad alto rischio dell'Allegato I (IA integrata in prodotti regolati, come macchine o dispositivi medici)

Obbligo 1: le pratiche vietate

L'art. 5 vieta, dal 2 febbraio 2025, alcuni usi dell'IA considerati incompatibili con i diritti fondamentali. Per una PMI i divieti più rilevanti sono:

tecniche manipolative o ingannevoli che distorcono il comportamento delle persone causando un danno;
sfruttamento delle vulnerabilità legate all'età, alla disabilità o alla situazione economica;
riconoscimento delle emozioni nei luoghi di lavoro e negli istituti di istruzione, salvo motivi medici o di sicurezza;
categorizzazione biometrica per dedurre dati sensibili come l'orientamento politico o sessuale;
creazione di banche dati di riconoscimento facciale tramite raccolta indiscriminata di immagini da internet o da telecamere.

Dal 2 dicembre 2026 si aggiungono, per effetto dell'Omnibus, i divieti sui sistemi che generano o manipolano immagini, video o audio realistici delle parti intime di una persona riconoscibile, o che la ritraggono in atti sessualmente espliciti, senza il suo consenso, e sui sistemi che generano materiale pedopornografico.

Obbligo 2: l'alfabetizzazione sull'IA

L'art. 4 impone a fornitori e deployer di adottare misure per sostenere lo sviluppo dell'alfabetizzazione in materia di IA del personale e di chiunque usi i sistemi per loro conto. Le misure vanno calibrate su conoscenze, esperienza e formazione delle persone, sul contesto d'uso e sulle persone su cui i sistemi incidono.

Il testo in vigore dal 27 luglio 2026, riscritto dall'Omnibus, precisa che l'obbligo non impone di garantire un livello specifico di alfabetizzazione: l'impresa deve fare la propria parte con misure adeguate, non certificare un risultato.

In pratica, per una PMI:

censire gli strumenti di IA in uso e chi li usa;
adottare una policy sull'uso dell'IA (strumenti ammessi, dati che non possono essere inseriti, verifica dei risultati);
organizzare una formazione proporzionata ai ruoli, con attenzione a chi usa l'IA per decisioni che riguardano clienti o dipendenti;
conservare traccia delle iniziative svolte.

Obbligo 3: la trasparenza

L'art. 50, applicabile dal 2 agosto 2026, prevede obblighi di trasparenza che riguardano soprattutto:

i fornitori di sistemi che interagiscono con le persone, come i chatbot, che devono essere progettati in modo da informare l'utente che sta parlando con una macchina, salvo che sia evidente;
i fornitori di sistemi che generano testi, immagini, audio o video sintetici, che devono marcarli in un formato leggibile da una macchina; per i sistemi immessi sul mercato prima del 2 agosto 2026 il termine di adeguamento è il 2 dicembre 2026;
i deployer che usano sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, che devono informare le persone esposte;
i deployer che pubblicano deepfake (immagini, audio o video generati o manipolati che sembrano autentici), che devono dichiararne l'origine artificiale; lo stesso vale per i testi generati con l'IA pubblicati per informare il pubblico su questioni di interesse pubblico, salvo revisione umana con responsabilità editoriale.

Per la PMI che usa l'IA per contenuti di marketing, la regola pratica è etichettare i contenuti realistici generati o manipolati con l'IA e non presentarli come autentici.

I sistemi ad alto rischio

Sono ad alto rischio, tra gli altri, i sistemi dell'Allegato III usati per:

selezionare il personale, filtrare candidature, valutare candidati, decidere promozioni o licenziamenti, monitorare le prestazioni;
valutare il merito creditizio delle persone fisiche;
determinare l'accesso a servizi essenziali o a prestazioni pubbliche;
l'istruzione e la formazione professionale (ammissioni, valutazioni).

Per questi sistemi il deployer dovrà, dal 2 dicembre 2027, usarli secondo le istruzioni, affidarne la sorveglianza a persone competenti, controllare i dati di input, conservare i log, informare i lavoratori e i loro rappresentanti prima di usarli sul lavoro e, in alcuni casi, svolgere una valutazione d'impatto sui diritti fondamentali.

Una PMI che sta valutando un software di selezione del personale con funzioni di IA fa bene a chiedere fin da ora al fornitore come intende adeguarsi.

Le sanzioni

L'art. 99 dell'AI Act prevede sanzioni amministrative fino a:

35 milioni di euro o 7% del fatturato mondiale annuo, se superiore, per l'uso di pratiche vietate;
15 milioni di euro o 3% per la violazione degli altri obblighi, compresi quelli di trasparenza e quelli del deployer;
7,5 milioni di euro o 1% per informazioni inesatte, incomplete o fuorvianti fornite alle autorità.

Per le PMI, comprese le start-up, si applica l'importo più basso tra la cifra fissa e la percentuale del fatturato. Le sanzioni sono applicate dalle autorità nazionali competenti.

AI Act, privacy e modello 231

L'AI Act non sostituisce il GDPR. Se lo strumento di IA tratta dati personali di clienti o dipendenti servono informativa, base giuridica, nomina del fornitore come responsabile del trattamento e, nei casi a rischio elevato, una valutazione d'impatto sulla protezione dei dati. Nelle imprese che hanno nominato un DPO, il DPO va coinvolto nella scelta degli strumenti.

Per le imprese con modello 231, dal 30 settembre 2026 l'art. 25-vicies del d.lgs. 231/2001 ha aggiunto reati collegati all'IA: la policy sull'IA e la formazione previste dall'AI Act diventano anche presidi del modello.

Errori da evitare

Pensare che l'AI Act riguardi solo chi sviluppa IA: alfabetizzazione e trasparenza riguardano anche chi la usa.
Lasciare ai dipendenti la scelta libera degli strumenti, senza policy né regole sui dati che si possono inserire.
Pubblicare immagini o video realistici generati con l'IA senza indicarlo.
Introdurre software di selezione del personale con IA senza valutare obblighi futuri, privacy e informativa ai lavoratori.
Confondere il rinvio dell'alto rischio con un rinvio generale: divieti, alfabetizzazione e trasparenza sono già applicabili.

Esempio pratico

Un'agenzia di comunicazione di Ancona con 15 dipendenti usa un assistente di IA generativa per testi e immagini, un chatbot sul sito realizzato da un fornitore e un software che ordina le candidature ricevute.

Alfabetizzazione: censisce gli strumenti, adotta una policy che vieta di inserire dati personali dei clienti senza autorizzazione e organizza due ore di formazione per tutto il personale, con un modulo specifico per chi gestisce le candidature.
Trasparenza: verifica con il fornitore che il chatbot informi l'utente che sta parlando con un sistema automatico; etichetta le immagini realistiche generate con l'IA nelle campagne.
Alto rischio: il software di screening delle candidature rientra nell'Allegato III; gli obblighi del deployer si applicheranno dal 2 dicembre 2027, ma l'agenzia chiede subito al fornitore la documentazione e aggiorna l'informativa privacy ai candidati.

Riferimenti normativi

Regolamento (UE) 2024/1689 (AI Act), artt. 3, 4, 5, 6, 26, 50, 99, 113 e Allegato III
Regolamento (UE) 2026/1744 dell'8 luglio 2026 (Omnibus digitale sull'IA), pubblicato nella GUUE del 24 luglio 2026, in vigore dal 27 luglio 2026
Legge 23 settembre 2025, n. 132 (disposizioni e deleghe in materia di intelligenza artificiale)
D.lgs. 8 giugno 2001, n. 231, art. 25-vicies

Domande frequenti

L'AI Act si applica alle piccole imprese che usano ChatGPT o strumenti simili?

Sì. Chi usa un sistema di IA nell'attività professionale è "deployer" e deve almeno adottare misure per l'alfabetizzazione del personale (art. 4), rispettare i divieti dell'art. 5 e, se pubblica contenuti realistici generati con l'IA, indicarne l'origine artificiale (art. 50). Gli obblighi più pesanti riguardano i fornitori e i sistemi ad alto rischio.

L'alfabetizzazione sull'IA è obbligatoria?

Sì, dal 2 febbraio 2025. Dal 27 luglio 2026 il nuovo testo dell'art. 4, introdotto dal Regolamento (UE) 2026/1744, chiede di adottare misure per sostenerla, calibrate su ruoli, competenze e contesto d'uso, senza imporre di garantire un livello specifico. Una policy sull'uso dell'IA e una formazione proporzionata, documentate, sono il modo più semplice per dimostrarlo.

Quando si applicano gli obblighi per i sistemi ad alto rischio?

Dopo l'Omnibus digitale, dal 2 dicembre 2027 per i sistemi dell'Allegato III, come quelli usati per selezionare il personale o valutare il merito creditizio, e dal 2 agosto 2028 per l'IA integrata in prodotti regolati dall'Allegato I, come macchine e dispositivi medici. Divieti, alfabetizzazione e trasparenza restano invece già applicabili.

Quali sanzioni prevede l'AI Act per le PMI?

L'art. 99 prevede fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate, fino a 15 milioni o il 3% per gli altri obblighi e fino a 7,5 milioni o l'1% per informazioni inesatte alle autorità. Per le PMI e le start-up si applica l'importo più basso tra cifra fissa e percentuale.

Bisogna etichettare i contenuti creati con l'intelligenza artificiale?

Dipende. Chi pubblica deepfake, cioè immagini, audio o video generati o manipolati che sembrano autentici, deve dichiararne l'origine artificiale; lo stesso vale per i testi generati per informare il pubblico su questioni di interesse pubblico, salvo revisione umana con responsabilità editoriale. I fornitori dei sistemi devono inoltre marcare i contenuti sintetici in modo leggibile da una macchina.

AI Act: obblighi e scadenze per le PMI che usano l'intelligenza artificiale