Guide

AI Act per le aziende, cosa fare per essere in regola

Aggiornato al 18 ottobre 2026

Per essere in regola con l'AI Act (il Regolamento UE 2024/1689) le mosse concrete sono cinque, vale a dire mappare gli strumenti di intelligenza artificiale in uso e chi li usa, formare le persone, dichiarare ai clienti quando interagiscono con un'AI o leggono contenuti generati, darsi una policy interna semplice e tenere una persona che controlla le decisioni importanti. Formazione e trasparenza nascono dal Regolamento, mappa e policy sono il modo pratico di gestirle e dimostrarle. Vale per chiunque usi l'AI al lavoro, dalla ditta individuale alla grande impresa.

A chi si applica davvero

Si parte da una domanda semplice, l'AI Act riguarda tutte le aziende? Quasi certamente sì, se nell'attività si usa uno strumento di intelligenza artificiale, e oggi è difficile non usarne almeno uno. Il Regolamento UE 2024/1689 non guarda a quanti dipendenti ha l'azienda. Guarda a cosa fa con l'AI. Chi sviluppa o mette sul mercato sistemi di AI viene chiamato "fornitore". Chi semplicemente li usa per lavoro viene chiamato "deployer", che è la parola con cui il Regolamento indica l'utilizzatore professionale.

La stragrande maggioranza delle aziende italiane rientra nella seconda categoria. Un'azienda che usa un assistente che scrive testi, uno strumento che legge i curriculum, un software che genera immagini o un chatbot sul proprio sito è un deployer. E i doveri di base del deployer sono identici per tutti, dall'impresa individuale alla multinazionale. Cambia la complessità di ciò che si usa, non l'esistenza dell'obbligo.

Quando avstudio forma un'azienda, la prima obiezione è quasi sempre la stessa: l'azienda è piccola, queste cose valgono per le big tech. Non è così. La differenza vera non è tra grande e piccolo. È tra chi usa AI a basso rischio (la quasi totalità delle attività quotidiane) e chi usa sistemi ad alto rischio, una categoria precisa descritta più avanti. Per il primo gruppo gli obblighi sono leggeri e gestibili. Ed è una buona notizia.

Cosa fare lunedì mattina

Ecco la versione pratica, quella che si può iniziare lunedì mattina senza un ufficio legale interno. Sono cinque mosse. Nessuna richiede di stravolgere l'azienda, e insieme la mettono in una posizione solida e difendibile.

La prima mossa è la mappatura. Basta un foglio su cui scrivere quali strumenti di AI girano in azienda e chi li usa. Sembra banale, ma quasi nessuno lo ha fatto, e senza questa lista tutto il resto è aria. La seconda mossa è la formazione delle persone, obbligo in vigore dal 2 febbraio 2025. La terza è la trasparenza, vale a dire dire chiaramente al cliente quando sta parlando con un'AI o quando un contenuto è generato da un'AI. La quarta è una policy interna, una paginetta che dice cosa si può e non si può fare con questi strumenti. La quinta è la sorveglianza umana, cioè tenere sempre una persona responsabile sulle decisioni che contano davvero.

Eccole una per una, con un livello di dettaglio che permette di agire.

Mappare gli strumenti di AI

Non si può mettere in regola ciò che non si sa di avere. Per questo si parte dalla mappa. L'obiettivo è un elenco onesto di tutti gli strumenti di AI usati in azienda, anche quelli che qualcuno ha attivato per conto suo senza dirlo a nessuno (capita molto più spesso di quanto si pensi).

Per ogni strumento si annotano tre cose, cioè a cosa serve, chi lo usa e su quali dati lavora. Se qualcuno in azienda incolla in un chatbot i dati di un cliente o un documento riservato, il titolare deve saperlo, perché lì c'è anche un tema di protezione dei dati che si intreccia con il GDPR. Questa mappa è la base di tutto, e va aggiornata ogni volta che entra uno strumento nuovo. Va tenuta viva, non è un documento da archiviare.

C'è anche un effetto collaterale prezioso. Mentre mappa, l'azienda capisce dove l'AI le sta già facendo risparmiare tempo e dove invece viene usata male. La mappatura non è solo un adempimento, è una fotografia utile dell'azienda.

Formare le persone, obbligo già attivo

Qui c'è il punto più importante, quello che molti si perdono. L'obbligo di adottare misure che sostengano l'alfabetizzazione in materia di AI del personale è previsto dall'articolo 4 del Regolamento UE 2024/1689 ed è già in vigore dal 2 febbraio 2025. Non è un obbligo futuro. È adesso. E il pacchetto di semplificazione Digital Omnibus, in vigore dal 27 luglio 2026, rinvia altre scadenze ma non rimanda questo obbligo: lo riscrive precisando che non serve garantire un livello specifico di alfabetizzazione, serve adottare misure.

Cosa vuol dire in pratica? Che le persone che usano l'AI per lavoro devono avere le competenze di base per capire cosa stanno usando, quali sono i limiti, quali errori può fare uno strumento e quando non fidarsi del risultato. Non serve trasformare i collaboratori in ingegneri. Serve una formazione proporzionata al ruolo, chi usa un chatbot per le mail ha bisogno di un livello diverso da chi configura un sistema che seleziona personale.

La legge non impone un corso specifico né un attestato obbligatorio, e la Commissione europea precisa che basta un registro interno delle formazioni. Per questo il consiglio operativo è tenere traccia di chi è stato formato, quando e su quali contenuti. È il tipo di formazione su cui lavora avstudio: un corso in aula che lascia registro e attestati, la misura più diretta per un obbligo già attivo.

Dichiarare quando c'è un'AI

La trasparenza è un principio cardine del Regolamento. L'idea di fondo è semplice, le persone hanno diritto di sapere quando stanno interagendo con una macchina e non con un essere umano. Un'azienda con un chatbot che risponde ai clienti deve rendere evidente che è un sistema automatico. Se pubblica contenuti generati o modificati in modo significativo da un'AI, in certi casi vanno segnalati come tali.

Vale anche per immagini, audio e video creati artificialmente, i cosiddetti deepfake, che vanno dichiarati. Non è una formalità fastidiosa, è fiducia. Un cliente che scopre da solo di aver parlato con un robot mascherato da persona si sente preso in giro. Uno a cui lo si dice chiaramente apprezza l'onestà. La trasparenza qui è insieme un obbligo e una scelta di reputazione che conviene. Questi obblighi, all'articolo 50 del Regolamento, si applicano dal 2 agosto 2026.

Policy interna semplice

Non serve un regolamento di trenta pagine. Serve una paginetta chiara che ogni collaboratore possa leggere in cinque minuti. Cosa scrivere? Quali strumenti sono approvati e quali no, quali dati non vanno mai inseriti in strumenti esterni (dati personali dei clienti, segreti aziendali, informazioni sanitarie), l'obbligo di controllare sempre i risultati prima di usarli e a chi rivolgersi in caso di dubbio.

Questa policy fa due cose insieme. Protegge l'azienda, perché mette nero su bianco le regole e responsabilizza le persone. E aiuta le persone, perché toglie l'incertezza e dice in modo netto cosa è lecito fare. Va fatta semplice, fatta circolare, fatta firmare. Una policy che nessuno legge non protegge nessuno.

Sorveglianza umana sulle decisioni che contano

L'ultimo pilastro è forse il più importante dal punto di vista del buon senso, oltre che della norma. Sulle decisioni che hanno un impatto reale sulle persone, deve restare un essere umano responsabile. Il Regolamento chiama questo principio "sorveglianza umana" (è il termine ufficiale dell'articolo 14, che a volte si trova reso anche come supervisione umana). L'AI propone, la persona decide e risponde di quella decisione.

Si pensi a una selezione del personale fatta filtrando i curriculum con un software, alla valutazione del merito creditizio di un cliente, a una decisione che incide sui diritti di qualcuno. In questi casi la presenza umana non è un optional, è il cuore della tutela. Lo strumento può suggerire, ordinare, evidenziare. Ma la firma, e la responsabilità, restano a una persona che ha capito cosa l'AI ha fatto e perché. Non va mai delegato del tutto alla macchina ciò che cambia la vita di qualcuno.

Sistemi ad alto rischio, quando scatta il livello superiore

C'è una categoria che merita attenzione separata, i sistemi ad alto rischio. Sono quelli che il Regolamento considera capaci di incidere in modo serio su salute, sicurezza o diritti fondamentali. Rientrano qui, per esempio, alcuni sistemi usati per selezionare il personale, per valutare l'accesso al credito, per gestire infrastrutture critiche o all'interno di dispositivi già regolati come i prodotti medici.

Se l'azienda usa o, a maggior ragione, sviluppa uno di questi sistemi, gli obblighi sono molto più strutturati, con valutazioni del rischio, documentazione tecnica, registrazione delle attività e controlli specifici. Tra questi c'è anche, per alcuni deployer, la valutazione d'impatto sui diritti fondamentali prevista dall'articolo 27. Non è un adempimento generalizzato per tutti gli utilizzatori. Riguarda in particolare i deployer che sono organismi di diritto pubblico o soggetti privati che forniscono servizi pubblici, oltre a chi usa sistemi ad alto rischio nel merito di credito o nell'assicurazione vita e malattia. In Italia i risultati di questa valutazione vanno notificati all'autorità di vigilanza del mercato, che per i settori non finanziari è l'ACN.

La buona notizia per la maggior parte delle aziende è che gli strumenti generici di uso quotidiano non ricadono in automatico in questa categoria. La cattiva notizia è che capire se ci si ricade non sempre è ovvio, e qui il confine può essere grigio. Chi ha il dubbio di trattare un sistema ad alto rischio dovrebbe fermarsi e farsi aiutare da un professionista abilitato, perché la posta in gioco e gli obblighi cambiano parecchio.

Il calendario aggiornato e il Digital Omnibus

Il Regolamento fissa l'applicazione generale al 2 agosto 2026 e scagliona alcuni obblighi con l'articolo 113. Il pacchetto Digital Omnibus ha spostato in avanti gli obblighi più pesanti sui sistemi ad alto rischio, dando alle aziende più tempo per prepararsi. Il Digital Omnibus on AI, adottato in via definitiva dal Consiglio il 29 giugno 2026, è oggi il Regolamento (UE) 2026/1744, pubblicato in Gazzetta ufficiale e in vigore dal 27 luglio 2026: le nuove date di applicazione dell'alto rischio, 2 dicembre 2027 e 2 agosto 2028, sono quindi efficaci.

Ecco il quadro delle scadenze principali. La colonna finale dice da quale testo viene ciascuna data.

La lettura giusta di questa tabella è una sola, il rinvio riguarda i sistemi ad alto rischio, non la formazione delle persone. L'articolo 4 è già attivo da febbraio 2025 e il Digital Omnibus lo ha riscritto senza rinviarlo. Chi pensa di avere tempo perché "tanto è tutto rinviato al 2027" sta facendo un errore, e non solo sulla formazione: l'applicazione generale del Regolamento è scattata il 2 agosto 2026, il rinvio riguarda solo l'alto rischio. Si inizia dalla formazione e dalla mappa, quelle non aspettano.

Cosa si rischia davvero, le sanzioni

Le multe dell'articolo 99 arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate, e scendono per gli altri obblighi. Per le piccole e medie imprese e per le start-up si applica l'importo più basso tra cifra fissa e percentuale, non il più alto: una micro-impresa rischia una sanzione calibrata sulle sue dimensioni reali. Fasce ed esempi sono nella guida sulle sanzioni dell'AI Act.

Chi vigila in Italia

In Italia vigila l'ACN, l'Agenzia per la Cybersicurezza Nazionale, designata dalla Legge 132/2025, con poteri e sanzioni fissati dal D.Lgs. 7 ottobre 2026, n. 179, in vigore dal 23 ottobre 2026. L'AgID cura notifica e accreditamento, il Garante resta competente sui dati personali, e nel settore finanziario vigilano Banca d'Italia, CONSOB e IVASS. Il dettaglio è nella guida sulle sanzioni dell'AI Act.

Il vantaggio nascosto

Infine, la parte che conta di più. Mettersi in regola con l'AI Act viene vissuto come un peso, e all'inizio sembra solo un altro adempimento. Ma a guardarlo bene, è anche un vantaggio competitivo concreto. Un'azienda che sa quali strumenti usa, forma le sue persone, è trasparente con i clienti e tiene il controllo sulle decisioni importanti, è semplicemente un'azienda che lavora meglio. Usa l'AI con più efficacia, fa meno errori, ispira più fiducia.

Clienti e partner inizieranno a chiedere all'azienda come gestisce l'AI, sta già succedendo nelle gare e nelle trattative. Arrivarci preparati non è difesa, è attacco. Ed è gestibile, davvero. Cinque mosse, partendo da una mappa e da un po' di formazione. Il resto si costruisce un passo alla volta.

Aggiornato al 18 ottobre 2026 · Quadro post-Digital-Omnibus · Contenuto informativo, non parere legale