AI Act applicabile da agosto 2026: cosa deve fare adesso una PMI italiana

Il Regolamento UE 2024/1689 (AI Act) è il primo framework giuridico al mondo per regolamentare in modo orizzontale i sistemi di intelligenza artificiale. La sua applicazione è scaglionata: i divieti sui sistemi di “rischio inaccettabile” (social scoring, riconoscimento biometrico real-time, manipolazione comportamentale) sono già in vigore da febbraio 2025. Il 2 agosto 2026 è stata la data chiave, ed è passata: da allora gli obblighi di trasparenza dell’art. 50 e il regime sanzionatorio sono applicabili. Era legata storicamente a due categorie (con un’avvertenza importante sulle scadenze, vedi il riquadro sotto). Le prossime date del calendario sono il 2 dicembre 2026 — marcatura dei contenuti sintetici per i sistemi già sul mercato prima di agosto — e il 2 dicembre 2027 per l’alto rischio dell’allegato III:

• GPAI (General-Purpose AI Models) — attenzione al calendario: le regole sui modelli per finalità generali non sono di agosto 2026, si applicano dal 2 agosto 2025. Da allora i fornitori come OpenAI, Anthropic, Google, Mistral e Microsoft devono avere documentazione tecnica, training data summary e governance copyright; chi aveva il modello sul mercato prima di quella data ha tempo fino al 2 agosto 2027 (art. 111, par. 3). Al 2 agosto 2026 sono agganciati soltanto i poteri sanzionatori della Commissione nei loro confronti (art. 101). Per una PMI la conseguenza pratica è che le verifiche contrattuali sui vendor erano dovute dall’anno scorso, non da adesso.
• Sistemi AI ad alto rischio — uso AI in ambito HR (selezione personale), credito, accesso a servizi essenziali, valutazione studenti, biometria: obblighi di valutazione di conformità + registrazione UE + sistema di gestione rischio. ⚠️ Scadenza rinviata dal Digital Omnibus (vedi nota sopra): Allegato III al 2 dicembre 2027, Allegato I al 2 agosto 2028.

Per le PMI italiane che usano Microsoft 365 Copilot, ChatGPT Enterprise, Power Platform Copilot o agenti custom in Copilot Studio: la scadenza riguarda anche te. Vediamo cosa è cambiato concretamente e quale è il piano operativo minimo per mettersi in regola ora: se non avete fatto nulla non siete in preparazione, siete in ritardo, e il recupero è comunque questione di giorni-uomo, non di mesi.

ℹ️ Aggiornato al 27 luglio 2026 — cosa è cambiato. Il pacchetto UE Digital Omnibus on AI (pubblicato in Gazzetta Ufficiale UE il 24 luglio 2026 come Regolamento (UE) 2026/1744, in vigore dal 27 luglio) ha rinviato gli obblighi sui sistemi ad alto rischio: Allegato III (HR, credito, biometria) al 2 dicembre 2027, Allegato I (prodotti regolati) al 2 agosto 2028. Il 2 agosto 2026 restano invece trasparenza (art. 50) e sanzioni. Il piano operativo qui sotto vale ancora come buona pratica — l’inventario, la policy e l’AI literacy sono comunque dovuti — ma se hai usi ad alto rischio hai più tempo. Quadro aggiornato: cosa scatta davvero il 2 agosto 2026.

Cosa cambia il 2 agosto 2026

Distinguo i due piani applicabili a una PMI:

Piano A — PMI che USA modelli GPAI (Copilot, ChatGPT, Gemini, Claude)

L’obbligo formale è del fornitore (OpenAI, Microsoft, Google), non della PMI utente finale. Microsoft e OpenAI hanno già pubblicato la documentazione AI Act richiesta (technical documentation, training data summary, copyright governance). La PMI italiana è in regola “passivamente” semplicemente usando questi strumenti come previsto dai loro Terms of Service.

Ma ci sono tre obblighi indiretti che ricadono sulla PMI:

1. Trasparenza verso clienti e dipendenti — l’obbligo di progettare il sistema in modo che le persone sappiano di interagire con un’AI (art. 50, par. 1) ricade sul fornitore del sistema, non sulla PMI che lo usa. Il dovere pratico dell’azienda è di diligenza: verificare che la dichiarazione sia attiva e visibile, non disattivarla, pretenderla per contratto. Attenzione però alla riqualificazione: se pubblichi il bot con il tuo nome — un agente Copilot Studio chiamato “Assistente Rossi Srl” — è ragionevole che il fornitore di quel sistema diventi tu, e l’obbligo diventi diretto.
2. Etichettatura dei contenuti pubblicati — l’obbligo che ricade davvero sulla PMI è quello dell’art. 50, par. 4: dichiarare i deepfake (immagini, audio o video fotorealistici) e i testi pubblicati per informare il pubblico su temi di interesse pubblico, questi ultimi salvo revisione editoriale umana con assunzione di responsabilità. La marcatura leggibile dalle macchine (watermark, metadati) è invece obbligo del fornitore del sistema generativo. Come si fa in concreto l’etichetta visibile, e perché l’icona UE non è ancora obbligatoria, sta in etichettare i contenuti generati dall’IA.
3. Documentazione interna dell’uso AI — nessun articolo dell’AI Act impone a una PMI privata un registro dei sistemi di IA: la registrazione lato utilizzatore riguarda le sole autorità pubbliche (art. 26, par. 8). Resta però la buona pratica su cui si regge tutto il resto — sapere quale AI viene usata, per quale finalità, su quali dati — e serve in tre punti diversi: davanti al Garante, dove l’accountability GDPR e il registro dei trattamenti sono obblighi veri; nel dovere di cooperazione con le autorità dell’AI Act (art. 26, par. 12), che in Italia sono AgID e ACN, non l’Antitrust; e, se hai sistemi ad alto rischio, come appoggio all’obbligo che invece esiste, cioè conservare i log generati dal sistema per almeno sei mesi nella misura in cui sono sotto il tuo controllo (art. 26, par. 6). Una sorta di “registro AI” parallelo al registro trattamenti GDPR.

Piano B — PMI che usa AI in ambito ad alto rischio

Categorie definite dall’Annex III AI Act. Le più rilevanti per PMI italiane:

Due precisazioni sulla tabella. Lo scoring sull’affidabilità di clienti-società non ricade nella lettera b), che parla di persone fisiche; e chi fa scoring su persone fisiche è anche l’unico deployer privato tipico a cui tocca la valutazione d’impatto sui diritti fondamentali dell’art. 27, par. 1, i cui risultati vanno notificati all’autorità di vigilanza del mercato (art. 27, par. 3). L’alto rischio, in generale, dipende dall’appartenenza a un caso d’uso dell’allegato III, non dalla vincolatività della decisione.

Se una PMI rientra in uno di questi scenari gli obblighi sono molto più pesanti (con più tempo per adeguarsi dopo il rinvio: dal 2 dicembre 2027 per l’Allegato III) — ma la prima domanda è chi sei tu in quel sistema, perché i tre adempimenti che seguono sono del fornitore:

• Valutazione di conformità documentata (art. 43)
• Registrazione del sistema nella Banca dati UE AI (art. 49, par. 1)
• Sistema di gestione del rischio formalizzato (art. 9)

Se ti limiti a usare un sistema di terzi non ti competono: lato utilizzatore la registrazione riguarda le sole autorità pubbliche (art. 49, par. 3), e i tuoi obblighi sono quelli dell’art. 26 — uso secondo le istruzioni, sorveglianza umana, conservazione dei log. Attenzione al passaggio che riguarda proprio la PMI: se prendi uno strumento per finalità generali e ne cambi la finalità prevista fino a renderlo ad alto rischio — un agente Copilot Studio che filtra i CV — l’art. 25, par. 1, lett. c) ti considera fornitore, e da quel momento quei tre adempimenti diventano tuoi (art. 16).

In ogni caso resta utile l’audit del provider AI (es. OpenAI) per ottenere le garanzie contrattuali su cui si appoggia la tua conformità.

Le sanzioni — chi rischia cosa

Il sistema sanzionatorio dell’AI Act è graduato e più severo del GDPR in alcune fasce:

Per le PMI italiane, la Legge 132/2025 (in vigore dal 10 ottobre 2025) designa AgID e ACN come autorità nazionali per l’AI, mentre il Garante per la protezione dei dati personali resta competente sui profili privacy. Il 4 agosto 2026 il Consiglio dei Ministri ha approvato in esame definitivo i due decreti legislativi di adeguamento: AgID è l’autorità di notifica, ACN l’autorità di vigilanza del mercato. Tre cose che interessano una PMI. Il quadro sanzionatorio è «graduato e proporzionato», con massimali inferiori a quelli del regolamento europeo e la possibilità di misure non pecuniarie per le violazioni di scarsa offensività. Gli spazi di sperimentazione normativa prevedono un trattamento preferenziale per le piccole e medie imprese e per le imprese in fase di avvio. E le decisioni che riguardano costituzione, modifica o risoluzione del rapporto di lavoro non possono essere adottate unicamente sulla base di un trattamento automatizzato, con nullità del licenziamento adottato in violazione: è la disposizione che tocca direttamente chi valuta strumenti di AI per la selezione del personale. È stato inoltre introdotto l’art. 437-bis del codice penale, che punisce l’omessa adozione di misure di sicurezza nei sistemi di IA ad alto rischio e la loro alterazione illecita. Un segnale concreto di enforcement: con provvedimento del 14 maggio 2026 il Garante è intervenuto contro uno strumento di emotion analysis applicato ai dipendenti, richiamando il divieto dell’art. 5 dell’AI Act — un promemoria che le pratiche vietate (già in vigore dal 2025) sono la vera priorità.

Il piano 90 giorni per una PMI italiana

Per chi non ha ancora fatto nulla, la lista operativa minima da chiudere subito, dato che gli obblighi sono già applicabili:

Settimane 1-2 — Audit dell’uso AI in azienda

Mappare tutti gli usi AI in essere:

• Microsoft 365 Copilot (utenti licenziati)
• ChatGPT Enterprise / Plus su account aziendali
• Power Platform Copilot (Power Apps, Power Automate, Power BI)
• Copilot Studio agents
• Tool AI integrati in software gestionali (es. Dynamics 365 Sales Copilot, ERP italiani con AI features recenti)
• ChatGPT / Claude / Gemini su account personali dei dipendenti (shadow AI)

Output: una tabella inventario con colonne tool, numero_utenti, casi_uso, dati_processati, rischio_AI_Act.

Settimane 3-4 — Classificazione del rischio

Per ogni use case dell’inventario, classificarlo nei 4 livelli AI Act:

• Inaccettabile → da eliminare immediatamente.
• Alto rischio → applicazione completa obblighi Annex III (rari in PMI, ma se ci sei: HR screening, credit scoring).
• Limitato (la maggior parte degli usi Copilot in PMI) → obblighi trasparenza art. 50.
• Minimo → nessun obbligo di trasparenza né di conformità. Resta comunque l’alfabetizzazione in materia di IA dell’art. 4, che non conosce soglie di rischio né dimensionali e copre anche chi opera per il tuo conto.

Output: classification matrix firmata dal management.

Settimane 5-8 — Implementazione misure

A seconda della classificazione:

Per “limitato” (caso PMI tipo):

• Aggiornare informativa privacy per dichiarare uso di AI.
• Etichettare solo i contenuti che rientrano davvero nell’art. 50, par. 4: immagini e video fotorealistici generati con AI, e testi pubblicati su temi di interesse pubblico privi di revisione editoriale. Non serve un footer “generato con l’assistenza di AI” su ogni email o documento scritto con Copilot: se una persona rilegge, approva e invia, il mittente è umano e l’obbligo non scatta. Casi e confini in art. 50 in pratica.
• Bot website con disclaimer iniziale: “sto parlando con un assistente automatizzato”.
• Training di 60 minuti per tutti i dipendenti utenti AI: cosa si può fare, cosa no. Vale per tutte le classi di rischio, non solo per gli usi a rischio limitato: l’art. 4 non distingue.

Per “alto rischio”:

• Ottenere documentazione AI Act dal fornitore (Microsoft pubblica già le sue su microsoft.com/legal/responsible-ai-act).
• Compilare DPIA (Data Protection Impact Assessment) AI-specific.
• Registrazione nella banca dati EU AI.
• Designazione di un AI compliance officer (può essere la stessa persona del DPO).

Settimane 9-12 — Documentazione e formalizzazione

• Creare il Registro AI (modello: registro trattamenti GDPR esteso ad AI).
• Verbale di adozione delibera CdA / consiglio direttivo sull’AI governance.
• Procedure interne scritte: chi può autorizzare nuovi tool AI, chi monitora il rispetto.
• Audit log abilitati nei tenant Microsoft 365 / OpenAI (Purview Audit per Copilot).

A fine dei 90 giorni la PMI ha un kit di compliance completo da presentare in caso di ispezione.

Cosa fare se sei in ritardo

Se non hai ancora cominciato, l’ordine conta più della completezza:

1. Settimana 1: fai SOLO l’inventario. Anche su Excel base, anche approssimativo — il template Excel del registro dei sistemi AI è già impostato per questo, con la classificazione di rischio precompilata. È il documento che fa più differenza in caso di ispezione: una PMI con inventario incompleto ma DOCUMENTATO subisce sanzioni minori di una senza nulla.
2. Settimane 2-4: classificazione + comunicazione interna. Mandare una policy AI anche basica a tutti i dipendenti: cosa si può usare, cosa è proibito, come segnalare uso AI improprio.
3. Settimane 5-12: focus sulle 1-2 implementazioni critiche (se hai use case high-risk) o sulla trasparenza esterna (etichettatura contenuti). Su quest’ultima si parte dai testi pronti delle informative di trasparenza AI: è la parte che si applica dal 2 agosto 2026 e quella che richiede meno lavoro tecnico e più decisioni di contenuto.

In sede di vigilanza, la buona fede conta: un’azienda che ha avviato il percorso di compliance — anche imperfettamente — è in una posizione ben diversa da una che non ha documentato nulla. Un inventario e una policy, anche minimi, sono il primo elemento che fa la differenza in caso di controllo.

La parte buona della notizia

L’AI Act non chiede di rinunciare all’AI: chiede di usarla con consapevolezza e governance. Per una PMI italiana che ha adottato Copilot in modo serio (con Copilot Readiness pre-rollout e governance dati strutturata), la maggior parte degli obblighi AI Act sono già implicitamente coperti: hai inventario, hai policy, hai trasparenza utenti.

Se hai bisogno di un supporto strutturato per il piano 90 giorni — audit, classificazione rischio, registro AI, training dipendenti — parla con un nostro consulente: supportiamo le PMI italiane Microsoft-centric su compliance AI Act + GDPR coordinato, anche con CTA ?motivo=nis2-compliance se vuoi un check parallelo NIS2 + AI Act in un unico progetto.