AI Act: che cosa vale oggi per un’azienda normale
Dal 2 agosto 2026 devi rendere chiaro quando un cliente parla con un’IA o guarda immagini generate. Gli obblighi pesanti per i sistemi ad alto rischio sono rinviati a dicembre 2027. Ecco che cosa significa per un’azienda che usa l’IA ma non la costruisce.
Che cosa vale già oggi
Il regolamento è arrivato a pezzi, ed è proprio per questo che genera tanta confusione. Ecco che cosa è davvero sul tavolo per un’azienda normale.
- Pratiche vietate, dal 2 febbraio 2025.Il punteggio sociale e la deduzione delle emozioni dei lavoratori sul posto di lavoro o degli studenti in classe. Il Digital Omnibus ha aggiunto nuovi divieti, con un periodo transitorio fino al 2 dicembre 2026.
- Alfabetizzazione in materia di IA, dal 2 febbraio 2025.Chi impiega l’IA deve fare in modo che le persone che la usano capiscano abbastanza quello che stanno facendo. La legge non prescrive nessun corso e nessun attestato, ma devi poter dimostrare di aver fatto qualcosa.
- Trasparenza, dal 2 agosto 2026.È la parte che tocca più in fretta un’azienda normale, ed è spiegata a parte più avanti.
- Modelli di IA per finalità generali, dal 2 agosto 2025.Quegli obblighi ricadono su chi costruisce il modello. Se usi Claude, ChatGPT o Gemini, quella parte la porta il produttore, non tu.
Che cosa è stato rinviato, e che cosa non vuol dire
Il regolamento (UE) 2026/1744, il Digital Omnibus per l’IA, è stato pubblicato in Gazzetta ufficiale il 24 luglio 2026 ed è entrato in vigore tre giorni dopo. Sposta in avanti gli obblighi più pesanti.
- I sistemi ad alto rischio dell’allegato IIIpassano dal 2 agosto 2026 al 2 dicembre 2027. È la categoria dell’IA per le assunzioni, la valutazione del credito o l’accesso ai servizi.
- L’IA ad alto rischio dentro prodotti regolamentati, allegato I,passa dal 2 agosto 2027 al 2 agosto 2028.
Rinviato non vuol dire cancellato. Chi compra o fa costruire oggi un sistema simile compra qualcosa che tra un anno e mezzo dovrà soddisfare quei requisiti, e di solito è esattamente la durata di un progetto del genere. E attenzione: le regole di trasparenza non si sono mosse.
I quattro casi in cui l’articolo 50 ti riguarda
L’articolo 50 non vieta nulla. Chiede che le persone sappiano che c’è una macchina di mezzo. Questi sono i quattro casi in cui una PMI si imbatte davvero.
- Un chatbot o una voce IA che parla con i tuoi clienti.Deve rendere chiaro che dall’altra parte non c’è una persona, a meno che sia evidente per chiunque. Verifica che il tuo fornitore preveda quell’avviso e che non sia sparito quando il bot è stato vestito con la tua immagine.
- Immagini, audio e video generati con l’IA.Vanno marcati in modo leggibile da una macchina. L’obbligo ricade su chi produce lo strumento, ma tocca a te verificare che il tuo strumento lo faccia e che la marcatura sopravviva all’esportazione o alla compressione.
- Materiale che imita persone, luoghi o fatti reali.Se lo pubblichi devi dichiarare tu stesso che è stato generato. Quell’obbligo è interamente tuo come editore.
- Testi su questioni di interesse pubblico.Quello che pubblichi per informare il pubblico deve essere riconoscibile come testo generato, a meno che una persona lo abbia rivisto sul piano editoriale e se ne assuma la responsabilità. Per la maggior parte dei team marketing basta mettere per iscritto quel processo una volta.
L’articolo 50 copre inoltre i sistemi che riconoscono le emozioni o classificano le persone con la biometria. Se li usi, devi informarne la persona interessata.
Che cosa puoi sistemare questo mese
Nessuno di questi cinque punti richiede un legale o un progetto. Insieme coprono gran parte di quello che oggi un’azienda utilizzatrice deve poter mostrare.
- Fai l’elenco di dove l’IA viene già usata.Compresi gli strumenti gratuiti che le persone si sono installate da sole. Non puoi governare quello che non sai che gira.
- Metti per iscritto una regola per il contatto con i clienti.Che cosa dici quando l’IA scrive o parla, e chi lo decide.
- Segnala immagini e video IA nella tua comunicazione.Basta una formula fissa, purché ci sia sempre.
- Chiedi al tuo fornitore di software che cosa c’è sotto il cofano.Quale modello, quale ruolo assume nel regolamento e che cosa marca.
- Assicurati che chi lavora con l’IA sappia che cosa il modello sa fare e che cosa no.È l’articolo 4, ed è anche la differenza tra tempo guadagnato e un errore costoso.
Quanto costa non fare nulla
Le violazioni dell’articolo 50 stanno nella fascia intermedia: fino a 15 milioni di euro o il 3 per cento del fatturato annuo mondiale, il più alto dei due. I 35 milioni o il 7 per cento che tutti citano sono riservati alle pratiche vietate dell’articolo 5. Per le piccole e medie imprese vale il minore dei due importi, non il maggiore.
È comunque l’argomento che ci interessa meno. La prima volta che fa male davvero è di solito un cliente che scopre di aver parlato con una macchina senza saperlo.
La cronologia in breve
| Data | Che cosa si applica da allora |
|---|---|
| 2 febbraio 2025 | Le pratiche vietate dell’articolo 5 e l’alfabetizzazione in materia di IA dell’articolo 4. |
| 2 agosto 2025 | Le regole per i modelli di IA per finalità generali e la struttura di vigilanza. |
| 2 agosto 2026 | L’obbligo di trasparenza dell’articolo 50. Non rinviato. |
| 2 dicembre 2026 | Fine del periodo transitorio per i divieti aggiunti dal Digital Omnibus. |
| 2 dicembre 2027 | I sistemi ad alto rischio dell’allegato III, spostati dal 2 agosto 2026. |
| 2 agosto 2028 | L’IA ad alto rischio nei prodotti regolamentati, allegato I, spostata dal 2 agosto 2027. |
Questa non è consulenza legale
Non siamo uno studio legale. Questa pagina riassume che cosa dice il regolamento e da quando si applica, così sai quali domande porre al tuo legale. Per un caso concreto rivolgiti a chi è assicurato per farlo.
Domande frequenti
Sì. Gli obblighi seguono quello che fai con l’IA, non quante persone impieghi. I requisiti di documentazione sono però più leggeri per le piccole imprese e per le sanzioni vale il tetto più basso.
No, non se ti limiti a usare l’IA. La registrazione nella banca dati europea riguarda chi immette sul mercato un sistema ad alto rischio.
Sì, dal 2 febbraio 2025, con l’articolo 4. La legge non prescrive un corso o un attestato preciso. Devi poter dimostrare che chi lavora con l’IA sa quello che fa.
Lui porta gli obblighi del fornitore, tu quelli del deployer. In pratica: usarlo come previsto, persone che lo capiscono e trasparenza verso i clienti.
No. Solo gli obblighi ad alto rischio. I divieti, l’alfabetizzazione, le regole per i modelli generali e la trasparenza dell’articolo 50 restano in piedi.
L’obbligo di trasparenza riguarda le persone che si trovano davanti al risultato. Se tutto resta in casa non c’è nessuno da informare, ma divieti e alfabetizzazione valgono comunque. Dedurre le emozioni dei propri dipendenti è proprio ciò che è vietato.