AI Act e PMI: cosa devi fare davvero, e cosa no
L'AI Act non è quello che leggi in giro. Ecco cosa cambia davvero per una PMI italiana dal 2 agosto 2026, senza allarmismo e senza sconti sulla verità.
Se hai letto in giro di sanzioni da 35 milioni e conformità da 150.000 euro, respira. Quella descrizione riguarda un'azienda che sviluppa sistemi di riconoscimento biometrico o software per selezionare il personale. Se la tua azienda usa un chatbot, un gestionale con funzioni predittive, o strumenti generativi per scrivere testi, la tua lista di cose da fare è molto più corta, e in gran parte è già scaduta un anno e mezzo fa senza che nessuno se ne accorgesse.
Ecco cosa cambia davvero, punto per punto, con le date verificate.
Quello che è già obbligo da un anno e mezzo
Dal 2 febbraio 2025 vale l'articolo 4, l'alfabetizzazione AI. Chi mette strumenti di Intelligenza Artificiale nelle mani dei propri collaboratori deve assicurarsi che sappiano usarli con criterio, e poterlo dimostrare. Non significa trasformare tutti in tecnici. Significa che chi usa quegli strumenti ne conosce i limiti, e che da qualche parte è scritto chi è stato formato, su cosa, e quando. Molte aziende lo stanno ancora scoprendo oggi. Academy copre esattamente questo obbligo, se ti manca.
Sempre dal 2 febbraio 2025 sono vietate le pratiche considerate inaccettabili: manipolazione subliminale, sfruttamento delle vulnerabilità di persone specifiche, social scoring. Sono i casi dove le sanzioni salgono fino a 35 milioni di euro o il 7% del fatturato mondiale, ma riguardano un perimetro molto lontano da un gestionale o un assistente clienti.
Quello che scatta il 2 agosto 2026
Qui arriva la scadenza vera, ma non è quella che pensi. Il Digital Omnibus, il regolamento di semplificazione approvato dal Consiglio dell'Unione europea il 29 giugno 2026, ha rinviato gli obblighi più pesanti, quelli sui sistemi ad alto rischio dell'Allegato III (biometria, infrastrutture critiche, selezione del personale, credit scoring), al 2 dicembre 2027, e al 2 agosto 2028 per i sistemi integrati in prodotti già regolati da altre norme europee.
Quello che resta fissato al 2 agosto 2026, senza rinvii, è l'articolo 50, la trasparenza. In pratica: se un chatbot parla con le persone, deve dirsi. Se un sistema genera contenuti sintetici destinati al pubblico, deve essere marcato come tale, ma questo obbligo di marcatura tecnica è a carico di chi sviluppa il modello, non di chi lo usa, ed è comunque stato spostato al 2 dicembre 2026.
Per la maggior parte delle PMI italiane, il 2 agosto 2026 si riduce quindi a: verificare che i propri sistemi che parlano con clienti o pubblico si dichiarino come Intelligenza Artificiale, e avere la formazione dell'articolo 4 già in ordine da tempo.
Le sanzioni vere, non quelle da titolo
Per le pratiche vietate, fino a 35 milioni di euro o il 7% del fatturato mondiale. Per la violazione degli obblighi di trasparenza dell'articolo 50, fino a 15 milioni o il 3%. E le autorità devono applicare criteri di proporzionalità, tenendo conto delle dimensioni dell'impresa. Un'officina con un chatbot che non si presenta non riceve una sanzione pensata per una big tech.
Cosa fare davvero, in ordine
Uno. Controlla se hai un chatbot o assistente virtuale a contatto col pubblico, e se dice di essere Intelligenza Artificiale al primo messaggio. Se non lo dice, aggiungilo, richiede un pomeriggio.
Due. Verifica chi in azienda usa strumenti di Intelligenza Artificiale nel lavoro quotidiano, anche solo un assistente generativo per scrivere email. Documenta che sanno come usarlo, cosa possono farci fare e cosa no. Non serve un corso lungo, serve che sia scritto da qualche parte.
Tre. Se non rientri in nessuna delle categorie ad alto rischio dell'Allegato III, e la stragrande maggioranza delle PMI non ci rientra, non hai altro da fare per ora. Il resto arriva nel 2027 e nel 2028, e nel frattempo la normativa potrebbe cambiare ancora.
Perché conviene farlo bene, non solo farlo
Quando in Acume.AI costruiamo un assistente per un cliente, la dichiarazione "sono un sistema di Intelligenza Artificiale" non la aggiungiamo perché lo chiede la legge. La mettiamo da prima che fosse un obbligo, perché una persona che sa con chi sta parlando si fida di più, non di meno. L'AI Act in questo caso non chiede di fare qualcosa di strano: chiede di fare quello che già conviene fare.
Se qualcuno ti propone un pacchetto di conformità da migliaia di euro per un chatbot sul sito, prima chiedi cosa contiene davvero. Buona parte è già coperta da una frase scritta bene.
Questo articolo ha finalità informative e non sostituisce un parere legale. Per la tua situazione specifica, verifica con un consulente.
Fonti: Regolamento (UE) 2024/1689, artt. 4, 5, 50, Digital Omnibus, Consiglio dell'Unione europea, 29 giugno 2026, AI Act Service Desk, Commissione europea