Il commerciale scrive le email con ChatGPT, la segreteria si fa riassumere i documenti, il titolare chiede all’AI una bozza di preventivo e sul sito da qualche mese c’è un assistente virtuale che risponde ai clienti. Poi, un giorno, arriva la domanda: “Ma con l’AI Act siamo a posto?”
In rete si trova di tutto: chi sostiene che per le piccole imprese non cambi nulla e chi parla di multe milionarie. Non a caso, secondo l’Istat, tra le imprese che hanno valutato l’intelligenza artificiale senza adottarla il 47,3% indica tra gli ostacoli proprio la mancanza di chiarezza sulle regole.
In questo articolo metto in ordine le cose: cosa vale già oggi per una PMI, cosa è cambiato dal 2 agosto 2026, cosa è stato rinviato e cosa puoi fare subito. Ho verificato ogni punto sul testo ufficiale delle norme, che trovi linkato.
Una premessa importante: questo articolo è una guida pratica, non una consulenza legale. Per valutare casi specifici rivolgiti a un legale esperto di diritto digitale.
In breve
- Se la tua azienda usa sistemi di intelligenza artificiale per lavoro, per l’AI Act è un “deployer”, cioè un utilizzatore professionale.
- Dal 2 febbraio 2025 valgono i divieti sulle pratiche di AI vietate e l’obbligo di sostenere la formazione sull’AI del personale.
- Dal 2 agosto 2026 si applicano gli obblighi di trasparenza: chatbot, deepfake e alcuni testi generati con l’AI.
- Le regole sui sistemi ad alto rischio sono state rinviate a dicembre 2027 e agosto 2028. Il resto no.
- In Italia la legge 132/2025 aggiunge obblighi di informazione verso lavoratori, clienti dei professionisti e pazienti.
L’AI Act riguarda anche la mia azienda se uso solo ChatGPT?
Sì. Il Regolamento (UE) 2024/1689, l’AI Act, definisce “deployer” chi utilizza un sistema di AI sotto la propria autorità. È escluso solo l’uso personale e non professionale. Se in azienda qualcuno usa ChatGPT, Copilot, Gemini o un altro strumento per lavorare, l’azienda è un deployer.
Il regolamento distingue due ruoli principali:
- Fornitore: chi sviluppa un sistema di AI o lo mette sul mercato a proprio nome, per esempio OpenAI per ChatGPT.
- Deployer: chi lo usa nella propria attività, per esempio la tua azienda.
C’è un caso limite da tenere presente: se fai sviluppare un assistente virtuale su misura e lo metti in servizio con il nome della tua azienda, potresti avere anche alcune responsabilità da fornitore. In questo caso conviene chiarirlo con chi lo sviluppa.
Non esiste un’esenzione generale per le PMI: le regole sono le stesse per tutti. Cambia il tetto delle sanzioni, come vedremo più avanti.
Cosa è già obbligatorio oggi?
Le pratiche di AI vietate
Dal 2 febbraio 2025 sono vietati alcuni usi dell’intelligenza artificiale considerati inaccettabili. Tra questi ci sono i sistemi che usano tecniche subliminali, manipolative o ingannevoli per distorcere in modo significativo il comportamento delle persone causando un danno, e quelli che sfruttano le vulnerabilità legate all’età, alla disabilità o a una situazione sociale o economica.
Nessuna PMI lo fa di proposito. Vale però la pena fare attenzione a strumenti di marketing particolarmente aggressivi, soprattutto se rivolti a persone fragili. Dal 2 dicembre 2026, inoltre, si aggiungono nuovi divieti sui sistemi che generano contenuti sessuali di persone reali senza consenso.
La formazione sull’AI del personale
L’articolo 4 dell’AI Act riguarda la cosiddetta “alfabetizzazione in materia di IA”. Il testo è stato riscritto dal Regolamento (UE) 2026/1744, pubblicato il 24 luglio 2026. Oggi prevede che fornitori e deployer adottino misure per sostenere lo sviluppo delle competenze sull’AI del personale e di chi usa questi strumenti per loro conto. Il nuovo testo precisa anche che non è richiesto di garantire un livello specifico di competenza per ogni persona.
In pratica non serve un “patentino” e non è obbligatorio nominare un “responsabile AI”. Servono misure proporzionate e documentate, per esempio:
- una formazione di base su cosa sono questi strumenti, cosa sanno fare e dove sbagliano;
- regole interne su cosa si può fare e cosa non va inserito negli strumenti di AI;
- indicazioni specifiche per chi usa l’AI in attività delicate, come rapporti con i clienti, dati personali o contenuti pubblicati.
Lo stesso articolo prevede che la Commissione europea e gli Stati membri sostengano in particolare le PMI, anche pubblicando esempi pratici.
Cosa cambia dal 2 agosto 2026?
Dal 2 agosto 2026 si applica gran parte dell’AI Act, compreso l’articolo 50 sulla trasparenza. È la parte che riguarda più da vicino le aziende che usano l’AI per comunicare con i clienti.
Ho un chatbot sul sito: cosa devo fare?
L’articolo 50 stabilisce che i sistemi di AI che interagiscono direttamente con le persone devono essere progettati in modo che le persone sappiano di parlare con un’intelligenza artificiale, a meno che non sia evidente dal contesto. La Commissione europea precisa che questa eccezione va interpretata in modo restrittivo.
L’obbligo è scritto per il fornitore, cioè per chi sviluppa il chatbot. Per una PMI che usa un assistente virtuale realizzato da altri, il consiglio pratico è comunque di verificare che lo dichiari in modo chiaro. Se il chatbot è personalizzato e messo in servizio a nome della tua azienda, l’obbligo può riguardarti direttamente.
Le informazioni vanno date in modo chiaro e distinguibile, al più tardi al momento della prima interazione, e devono rispettare i requisiti di accessibilità. Nella pratica bastano poche attenzioni:
- un messaggio di benvenuto come “Ciao, sono l’assistente virtuale di [nome azienda]”;
- un’etichetta visibile nella finestra della chat;
- la possibilità di passare facilmente a una persona.
Sono anche buone regole di web design: un cliente che sa con chi sta parlando si fida di più e abbandona meno.
Devo dichiarare i testi e le immagini creati con l’AI?
Dipende dal tipo di contenuto.
Immagini, audio e video realistici (“deepfake”). Se usi l’AI per creare o modificare contenuti che mostrano persone, luoghi o eventi in modo realistico e possono essere scambiati per veri, devi dichiararlo, ad esempio con un’etichetta visibile. Per le opere chiaramente artistiche, satiriche o di finzione basta un’indicazione che non rovini l’opera.
Testi. L’obbligo riguarda i testi pubblicati per informare il pubblico su questioni di interesse pubblico. Non si applica se il testo è stato sottoposto a revisione umana o controllo editoriale e qualcuno ne ha la responsabilità editoriale. Secondo le indicazioni della Commissione europea, però, un controllo solo formale come la correzione di ortografia e grammatica non conta come revisione.
In pratica: un articolo del blog aziendale scritto con l’aiuto dell’AI, ma letto, verificato e firmato da una persona dell’azienda, non richiede un’etichetta. Una foto realistica di una persona generata con l’AI per una campagna, invece, va dichiarata.
La marcatura tecnica dei contenuti, cioè i segnali leggibili dalle macchine che permettono di riconoscerli come generati dall’AI, spetta invece ai fornitori degli strumenti. Per i sistemi già sul mercato il termine è il 2 dicembre 2026.
Cosa è stato rinviato (e cosa no)?
Il Regolamento (UE) 2026/1744, chiamato anche “Digital Omnibus sull’IA”, ha spostato in avanti le regole sui sistemi ad alto rischio:
- 2 dicembre 2027 per i sistemi elencati nell’allegato III, che comprende per esempio alcuni usi legati alla selezione del personale, alla gestione dei lavoratori e all’accesso al credito;
- 2 agosto 2028 per i sistemi integrati in prodotti già regolamentati, come macchinari e dispositivi medici.
Il punto da non fraintendere è che il rinvio non riguarda trasparenza, formazione e divieti, che restano in vigore. Molte aziende hanno letto “AI Act rinviato” e hanno smesso di occuparsene: è l’errore più comune di questi mesi.
Se usi o stai valutando strumenti di AI per selezionare candidati o valutare i dipendenti, sei in un’area ad alto rischio. Il rinvio è un tempo utile per prepararsi, non un motivo per ignorare il tema.
E in Italia? Cosa aggiunge la legge 132/2025
Dal 10 ottobre 2025 è in vigore anche la legge 23 settembre 2025, n. 132, la legge italiana sull’intelligenza artificiale. Per un’impresa i punti più rilevanti sono tre.
- Lavoratori (art. 11): il datore di lavoro deve informare i lavoratori dell’uso dell’intelligenza artificiale, nei casi e con le modalità previste dalla normativa sulle informazioni da fornire ai dipendenti.
- Professionisti (art. 13): nelle professioni intellettuali l’AI può essere usata solo come supporto. Il professionista deve comunicare al cliente quali sistemi di AI utilizza, con un linguaggio chiaro, semplice ed esaustivo. Riguarda consulenti, commercialisti, avvocati, ingegneri, architetti e molti altri.
- Sanità (art. 7): il paziente ha diritto di essere informato sull’uso dell’intelligenza artificiale e la decisione clinica resta sempre al medico. Se hai uno studio medico o un poliambulatorio, è un tema da affrontare anche nella comunicazione con i pazienti.
La legge individua inoltre in AgID e nell’Agenzia per la cybersicurezza nazionale le autorità nazionali per l’intelligenza artificiale.
Cosa si rischia?
L’AI Act prevede sanzioni fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per le pratiche vietate, e fino a 15 milioni di euro o il 3% per la violazione di altri obblighi, tra cui quelli di trasparenza dell’articolo 50.
Per le PMI, comprese le startup, vale l’importo più basso tra la percentuale e la cifra fissa. Le autorità devono inoltre tenere conto delle circostanze del caso e delle dimensioni dell’impresa.
Le cifre servono a capire che il tema è serio, ma per una PMI il rischio più concreto oggi è un altro: dati di clienti, pazienti o dipendenti inseriti in strumenti non adatti, contenuti pubblicati senza controllo, clienti che scoprono di aver parlato con una macchina senza saperlo. Sono problemi di privacy e di reputazione prima ancora che di AI Act.
Checklist: 5 cose da fare subito
- Fai l’inventario. Elenca gli strumenti di AI usati in azienda, chi li usa e per cosa, compresi quelli usati in modo informale con account personali.
- Scrivi una regola d’uso di una pagina. Cosa si può fare, cosa non inserire (dati di clienti e pazienti, documenti riservati, informazioni sui dipendenti) e quali account usare.
- Organizza una formazione di base e conservane traccia: data, partecipanti, argomenti trattati.
- Controlla il chatbot del sito. Dichiara di essere un assistente virtuale? Si può passare facilmente a una persona? Chi l’ha sviluppato e a nome di chi è in servizio?
- Decidi come gestire i contenuti. Chi rivede i testi scritti con l’aiuto dell’AI prima della pubblicazione e come segnalate immagini e video realistici generati artificialmente.
Se sei un professionista o hai dipendenti, aggiungi un sesto punto: prepara una breve informativa per clienti e lavoratori sugli strumenti di AI che usi.
Da dove partire?
L’AI Act può sembrare l’ennesimo adempimento, ma per una piccola impresa è soprattutto un’occasione per mettere ordine: sapere quali strumenti si usano, chi li usa e con quali regole. È lo stesso lavoro che serve per ottenere risultati concreti dall’intelligenza artificiale, come ho raccontato in perché l’intelligenza artificiale non sta portando risultati nella tua azienda e in quando adotti una nuova tecnologia il collo di bottiglia si sposta.
Se vuoi impostare la formazione sull’AI e le regole d’uso nella tua azienda, oppure verificare il chatbot del tuo sito, scopri come lavoro sull’intelligenza artificiale per il business e scrivimi.
Fonti: Regolamento (UE) 2024/1689 (artt. 2, 3, 4, 5, 50, 99, 113); Regolamento (UE) 2026/1744; Legge 23 settembre 2025, n. 132 (artt. 7, 11, 13, 20); Commissione europea, domande e risposte sugli obblighi di trasparenza dell’articolo 50; Istat, Imprese e ICT – anno 2025. Testi verificati a ottobre 2026.
