AI Act: cosa deve fare davvero un'azienda normale (e cosa no)

Il 2 agosto 2026 l'AI Act è diventato pienamente applicabile, e nelle settimane successive è arrivata in azienda la solita ondata di messaggi allarmati: sanzioni da 35 milioni, adeguamenti urgenti, corsi da comprare entro domani.

Quasi niente di tutto questo è vero per un'azienda normale. Ma qualcosa da fare c'è, ed è meno di quello che ti stanno vendendo e più di quello che stai facendo adesso.

Questo articolo mette in fila cosa prevede davvero il regolamento, cosa cambia per una PMI che usa l'intelligenza artificiale nel lavoro di tutti i giorni, e cosa invece riguarda solo una minoranza di aziende.

Cos'è l'AI Act, in una riga

È il regolamento (UE) 2024/1689, la prima legge al mondo che regola l'intelligenza artificiale in modo organico. Non regola la tecnologia: regola l'uso che se ne fa, con obblighi diversi a seconda di quanto quell'uso può fare danni.

Da luglio 2026 è stato modificato dal regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus, che ha rinviato una parte degli obblighi e riscritto uno degli articoli più citati. Molto di quello che si legge in giro è fermo a prima di quella data.

Il calendario aggiornato

In Italia le autorità sono AgID, per la notifica, e ACN, per la vigilanza di mercato, designate dalla legge 132 del 2025.

Cosa deve fare un'azienda che usa l'AI e basta

Se in azienda si usa ChatGPT, Copilot, Gemini o un assistente dentro il gestionale, sei un deployer. È la posizione della grande maggioranza delle PMI italiane, ed è la più leggera. Gli obblighi sono quattro.

1. Fare formazione, e poterlo dimostrare

L'articolo 4 chiede a chi fornisce e a chi utilizza sistemi di IA di adottare misure che sostengano lo sviluppo di un adeguato livello di alfabetizzazione del proprio personale, e di chi opera per suo conto.

Qui sta la novità che quasi nessuno ha aggiornato. Fino a luglio 2026 l'articolo diceva "garantire un livello sufficiente". Adesso dice "adottare misure per sostenere lo sviluppo". È passato da obbligo di risultato a obbligo di mezzi: il regolamento chiarisce che non sei tenuto a garantire un livello specifico in capo a una singola persona.

Resta però vincolante, e resta una cosa che devi poter dimostrare. In pratica significa avere agli atti tre cose: un momento formativo davvero fatto, un registro firmato, una regola d'uso scritta. Vale per i dipendenti, ma anche per collaboratori esterni e somministrati.

Si applica dal 2 febbraio 2025, quindi il ritardo è già di diciotto mesi.

2. Non fare quello che è vietato

Le pratiche vietate dell'articolo 5 sono in vigore dal febbraio 2025. Quella che tocca più aziende di quanto si creda è il riconoscimento delle emozioni sul luogo di lavoro. Le altre (scoring sociale, manipolazione, biometria per dedurre dati sensibili) sono lontane dalla vita di una PMI.

3. Dichiarare quando è una macchina a parlare

Dal 2 agosto 2026 vale l'articolo 50. Se un chatbot risponde ai clienti, deve essere chiaro che è un sistema di IA. Se pubblichi contenuti generati o manipolati, va dichiarato. I contenuti sintetici destinati a uscire vanno marcati in un formato leggibile a macchina.

Attenzione a un punto che sfugge: l'obbligo di dichiararsi vale verso le persone fisiche, compresi i dipendenti. Un assistente interno con cui parla il personale ci rientra. Costa una riga nell'interfaccia.

4. Guardare se qualcosa è ad alto rischio

Qui si separa la maggioranza dalla minoranza. Un sistema è ad alto rischio quando finisce in una delle aree dell'Allegato III: selezione e gestione del personale, merito creditizio, istruzione, infrastrutture critiche, accesso a servizi essenziali.

Se ci finisci, gli obblighi sono un altro mondo: gestione del rischio, documentazione tecnica, log, sorveglianza umana, sistema di qualità, registrazione in una banca dati europea. Ma la data non è più il 2 agosto 2026: è il 2 dicembre 2027. Sedici mesi, che per un software già in produzione non sono tanti.

Se non ci finisci, non devi fare niente di tutto questo.

Le tre cose che ti stanno raccontando male

"Rischi 35 milioni se non fai formazione." No. Per l'articolo 4 non esiste una sanzione diretta. I 35 milioni, o il 7% del fatturato mondiale, sono il tetto delle sanzioni per le pratiche vietate, che sono un'altra cosa. La formazione mancante pesa in due modi veri: come aggravante quando succede qualcos'altro, tipicamente una contestazione sui dati personali, e come evidenza che non hai quando te la chiede un cliente, un bando, un'assicurazione o un committente in gara. Bastano, senza gonfiare i numeri.

"Serve un corso accreditato." No. L'articolo 4 non richiede un ente accreditato, a differenza della sicurezza sul lavoro. L'attestato è evidenza interna, non titolo abilitante.

"Basta che alla fine decida una persona." Questa è la più pericolosa, perché sembra ragionevole. Le linee guida della Commissione sulla classificazione dei sistemi ad alto rischio dicono l'opposto: mettere un umano nel giro non declassifica di per sé un sistema. Se l'intelligenza artificiale plasma materialmente la decisione che segue, l'esenzione non si applica anche se qualcuno clicca alla fine. Le autorità guardano come funziona davvero, non cosa c'è scritto nel contratto.

La domanda giusta, quindi, non è se c'è una persona. È se il sistema dà un verdetto o dà dei dati.

Il vero rischio non è l'AI Act

Nella pratica, per un'azienda che usa l'AI in modo ordinario, il rischio sanzionatorio concreto oggi non arriva dall'AI Act. Arriva da tre parti:

• Il GDPR, che ha sanzioni vere e attive da anni, e che entra in gioco ogni volta che qualcuno incolla dati di clienti o dipendenti in uno strumento gratuito.
• L'articolo 1-bis del decreto trasparenza, che obbliga il datore di lavoro a informare i lavoratori su finalità, logica, parametri e misure di controllo dei sistemi decisionali o di monitoraggio automatizzati.
• La shadow AI, cioè le persone che usano strumenti che nessuno ha autorizzato, spesso dal telefono, spesso con dati aziendali dentro. È la situazione più comune che troviamo, e nella quasi totalità dei casi il titolare non lo sa.

L'ultimo punto non è un problema legale, è un problema organizzativo. E si risolve in un pomeriggio: si guarda cosa usa già la squadra, si decide cosa è ammesso, si scrive una pagina di regole. Quella pagina, tra l'altro, è anche l'evidenza che l'articolo 4 ti chiede.

Da dove si comincia, concretamente

Tre cose, in quest'ordine, e nessuna richiede un avvocato per partire.

1. Fai il giro. Scopri chi usa cosa, con quale account, con quali dati. Metti nero su bianco l'elenco.
2. Scrivi una pagina di regole d'uso. Strumenti ammessi, account aziendali e mai personali, cosa non si carica mai, come si controlla l'output, a chi si chiede nel dubbio.
3. Fai la formazione e tieni la carta. Registro firmato, attestati, matrice di chi sa fare cosa. È il fascicolo che ti serve il giorno in cui qualcuno te lo chiede.

Poi, solo poi, ha senso guardare se qualcosa nei tuoi processi rientra nell'Allegato III. Nella maggior parte delle PMI la risposta è no, e la questione si chiude lì.

Noi in Apex Labs facciamo la parte tecnica: mezza giornata in azienda, e alla fine escono i quattro documenti che servono. Non facciamo valutazioni di conformità, che sono lavoro da studio legale, e lo diciamo in apertura. Se vuoi capire a che punto sei, parliamone oppure fai l'autodiagnosi: dieci minuti, e sai da dove partire.

Scritto da Erik Goi, fondatore di Apex Labs, che costruisce software su misura e sistemi AI per le PMI piemontesi.