Guide

AI Act per la tua azienda, cosa devi fare per essere in regola

Aggiornato al 31 agosto 2026

Per essere in regola con l'AI Act (il Regolamento UE 2024/1689) la tua azienda deve fare cinque cose concrete, vale a dire mappare gli strumenti di intelligenza artificiale che usate e chi li usa, formare le persone, dichiarare ai clienti quando interagiscono con un'AI, darsi una policy interna semplice e tenere una persona che controlla le decisioni importanti. L'obbligo riguarda chiunque usi l'AI al lavoro, dalla ditta individuale alla grande impresa.

A chi si applica davvero

Partiamo da una domanda semplice, l'AI Act riguarda anche te? Quasi certamente sì, se nella tua attività usate uno strumento di intelligenza artificiale, e oggi è difficile non usarne almeno uno. Il Regolamento UE 2024/1689 non guarda a quanti dipendenti hai. Guarda a cosa fai con l'AI. Chi sviluppa o mette sul mercato sistemi di AI viene chiamato "fornitore". Chi semplicemente li usa per lavoro viene chiamato "deployer", che è la parola con cui il Regolamento indica l'utilizzatore professionale.

La stragrande maggioranza delle aziende italiane rientra nella seconda categoria. Se usi un assistente che scrive testi, uno strumento che legge i curriculum, un software che genera immagini o un chatbot sul tuo sito, sei un deployer. E i doveri di base del deployer sono identici per tutti, dall'impresa individuale alla multinazionale. Cambia la complessità di ciò che usi, non l'esistenza dell'obbligo.

Quando formo un'azienda, la prima reazione è quasi sempre la stessa, "ma noi siamo piccoli, queste cose valgono per le big tech". Non è così. La differenza vera non è tra grande e piccolo. È tra chi usa AI a basso rischio (la quasi totalità delle attività quotidiane) e chi usa sistemi ad alto rischio, una categoria precisa che vedremo più avanti. Per il primo gruppo gli obblighi sono leggeri e gestibili. Ed è una buona notizia.

Cosa fare lunedi mattina

Ti do la versione pratica, quella che puoi iniziare lunedi mattina senza un ufficio legale interno. Sono cinque mosse. Nessuna richiede di stravolgere l'azienda, e insieme ti mettono in una posizione solida e difendibile.

La prima mossa è la mappatura. Prendi un foglio e scrivi quali strumenti di AI girano in azienda e chi li usa. Sembra banale, ma quasi nessuno lo ha fatto, e senza questa lista tutto il resto è aria. La seconda mossa è la formazione delle persone, che è anche l'unico obbligo già pienamente operativo. La terza è la trasparenza, vale a dire dire chiaramente al cliente quando sta parlando con un'AI o quando un contenuto è generato da un'AI. La quarta è una policy interna, una paginetta che dice cosa si può e non si può fare con questi strumenti. La quinta è la sorveglianza umana, cioè tenere sempre una persona responsabile sulle decisioni che contano davvero.

Vediamole una per una, con un livello di dettaglio che ti permette di agire.

Mappare gli strumenti di AI

Non puoi mettere in regola ciò che non sai di avere. Per questo si parte dalla mappa. L'obiettivo è un elenco onesto di tutti gli strumenti di AI usati in azienda, anche quelli che qualcuno ha attivato per conto suo senza dirlo a nessuno (capita molto più spesso di quanto pensi).

Per ogni strumento annota tre cose, cioè a cosa serve, chi lo usa e su quali dati lavora. Se un collega incolla in un chatbot i dati di un cliente o un documento riservato, devi saperlo, perché lì c'è anche un tema di protezione dei dati che si intreccia con il GDPR. Questa mappa è la base di tutto, e va aggiornata ogni volta che entra uno strumento nuovo. Tienila viva, non è un documento da archiviare.

C'è anche un effetto collaterale prezioso. Mentre mappi capisci dove l'AI ti sta già facendo risparmiare tempo e dove invece la stanno usando male. La mappatura non è solo un adempimento, è una fotografia utile dell'azienda.

Formare le persone, obbligo gia attivo

Qui c'è il punto più importante, e voglio essere chiaro perché molti se lo perdono. L'obbligo di adottare misure che sostengano l'alfabetizzazione in materia di AI del personale è previsto dall'articolo 4 del Regolamento UE 2024/1689 ed è già in vigore dal 2 febbraio 2025. Non è un obbligo futuro. È adesso. E il pacchetto di semplificazione Digital Omnibus, in vigore dal 27 luglio 2026, rinvia altre scadenze ma non rimanda questo obbligo.

Cosa vuol dire in pratica? Che le persone che usano l'AI per lavoro devono avere le competenze di base per capire cosa stanno usando, quali sono i limiti, quali errori può fare uno strumento e quando non fidarsi del risultato. Non serve trasformare i tuoi collaboratori in ingegneri. Serve una formazione proporzionata al ruolo, chi usa un chatbot per le mail ha bisogno di un livello diverso da chi configura un sistema che seleziona personale.

La legge non impone un corso specifico né un attestato obbligatorio, ma chiede di poter dimostrare di aver fatto qualcosa di serio e documentato. Per questo il consiglio operativo è tenere traccia di chi è stato formato, quando e su quali contenuti. È esattamente il tipo di formazione su cui lavoriamo, perché è il modo più veloce e meno costoso di coprire un obbligo reale e già attivo.

Dichiarare quando c'è un'AI

La trasparenza è un principio cardine del Regolamento. L'idea di fondo è semplice, le persone hanno diritto di sapere quando stanno interagendo con una macchina e non con un essere umano. Se hai un chatbot che risponde ai clienti, devi rendere evidente che è un sistema automatico. Se pubblichi contenuti generati o modificati in modo significativo da un'AI, in certi casi vanno segnalati come tali.

Vale anche per immagini, audio e video creati artificialmente, i cosiddetti deepfake, che vanno dichiarati. Non è una formalità fastidiosa, è fiducia. Un cliente che scopre da solo di aver parlato con un robot mascherato da persona si sente preso in giro. Uno a cui lo dici chiaramente apprezza l'onestà. La trasparenza qui è insieme un obbligo e una scelta di reputazione che ti conviene.

Policy interna semplice

Non ti serve un regolamento di trenta pagine. Ti serve una paginetta chiara che ogni collaboratore possa leggere in cinque minuti. Cosa scrivere? Quali strumenti sono approvati e quali no, quali dati non vanno mai inseriti in strumenti esterni (dati personali dei clienti, segreti aziendali, informazioni sanitarie), l'obbligo di controllare sempre i risultati prima di usarli e a chi rivolgersi in caso di dubbio.

Questa policy fa due cose insieme. Ti protegge, perché mette nero su bianco le regole e responsabilizza le persone. E le aiuta, perché toglie l'incertezza e dice in modo netto cosa è lecito fare. Falla semplice, falla circolare, falla firmare. Una policy che nessuno legge non protegge nessuno.

Sorveglianza umana sulle decisioni che contano

L'ultimo pilastro è forse il più importante dal punto di vista del buon senso, oltre che della norma. Sulle decisioni che hanno un impatto reale sulle persone, deve restare un essere umano responsabile. Il Regolamento chiama questo principio "sorveglianza umana" (è il termine ufficiale dell'articolo 14, che a volte trovi reso anche come supervisione umana). L'AI propone, la persona decide e risponde di quella decisione.

Pensa a una selezione del personale fatta filtrando i curriculum con un software, alla valutazione del merito creditizio di un cliente, a una decisione che incide sui diritti di qualcuno. In questi casi la presenza umana non è un optional, è il cuore della tutela. Lo strumento può suggerire, ordinare, evidenziare. Ma la firma, e la responsabilità, restano a una persona che ha capito cosa l'AI ha fatto e perché. Non delegare mai del tutto alla macchina ciò che cambia la vita di qualcuno.

Sistemi ad alto rischio, quando scatta il livello superiore

C'è una categoria che merita attenzione separata, i sistemi ad alto rischio. Sono quelli che il Regolamento considera capaci di incidere in modo serio su salute, sicurezza o diritti fondamentali. Rientrano qui, per esempio, alcuni sistemi usati per selezionare il personale, per valutare l'accesso al credito, per gestire infrastrutture critiche o all'interno di dispositivi già regolati come i prodotti medici.

Se la tua azienda usa o, a maggior ragione, sviluppa uno di questi sistemi, gli obblighi sono molto più strutturati, con valutazioni del rischio, documentazione tecnica, registrazione delle attività e controlli specifici. Tra questi c'è anche, per alcuni deployer, la valutazione d'impatto sui diritti fondamentali prevista dall'articolo 27. Non è un adempimento generalizzato per tutti gli utilizzatori. Riguarda in particolare i deployer che sono organismi di diritto pubblico o soggetti privati che forniscono servizi pubblici, oltre a chi usa sistemi ad alto rischio nel merito di credito o nell'assicurazione vita e malattia. In Italia i risultati di questa valutazione vanno notificati all'autorità di vigilanza del mercato, che per i settori non finanziari è l'ACN.

La buona notizia per la maggior parte delle aziende è che gli strumenti generici di uso quotidiano non ricadono in automatico in questa categoria. La cattiva notizia è che capire se ci ricadi non sempre è ovvio, e qui il confine può essere grigio. Se hai il dubbio di trattare un sistema ad alto rischio, fermati e fatti aiutare da un professionista abilitato, perché la posta in gioco e gli obblighi cambiano parecchio.

Il calendario aggiornato e il Digital Omnibus

Il Regolamento fissa l'applicazione generale al 2 agosto 2026 e scagliona alcuni obblighi con l'articolo 113. Il pacchetto Digital Omnibus ha spostato in avanti gli obblighi più pesanti sui sistemi ad alto rischio, dando alle aziende più tempo per prepararsi. Il Digital Omnibus on AI, adottato in via definitiva dal Consiglio il 29 giugno 2026, è oggi il Regolamento (UE) 2026/1744, pubblicato in Gazzetta ufficiale e in vigore dal 27 luglio 2026: le nuove date di applicazione dell'alto rischio, 2 dicembre 2027 e 2 agosto 2028, sono quindi efficaci.

Ecco il quadro delle scadenze principali. La colonna finale dice da quale testo viene ciascuna data.

La lettura giusta di questa tabella è una sola, il rinvio riguarda i sistemi ad alto rischio, non la formazione delle persone. L'articolo 4 è già attivo da febbraio 2025 e il Digital Omnibus lo ha riscritto senza rinviarlo. Chi pensa di avere tempo perché "tanto è tutto rinviato al 2027" sta facendo un errore, e non solo sulla formazione: l'applicazione generale del Regolamento è scattata il 2 agosto 2026, il rinvio riguarda solo l'alto rischio. Inizia dalla formazione e dalla mappa, quelle non aspettano.

Cosa rischi davvero, le sanzioni

Parliamo di numeri, perché aiutano a capire la serietà della cosa. L'articolo 99 del Regolamento UE 2024/1689 prevede tre fasce di sanzione, e in tutte e tre vale la stessa regola generale, cioè si applica l'importo più alto tra la cifra fissa e la percentuale del fatturato. Per l'uso di pratiche vietate dall'articolo 5 si arriva fino a 35 milioni di euro o, se superiore, il 7% del fatturato mondiale totale annuo dell'esercizio precedente. Per la violazione della maggior parte degli altri obblighi (tra cui quelli di fornitori, importatori, distributori, deployer e trasparenza) si arriva fino a 15 milioni di euro o, se superiore, il 3% del fatturato mondiale annuo. Per chi fornisce informazioni inesatte, incomplete o fuorvianti agli organismi notificati o alle autorità nazionali competenti la sanzione è fino a 7,5 milioni di euro o, se superiore, l'1% del fatturato mondiale annuo.

Numeri da far tremare i polsi, ma leggi bene la parte che ti riguarda. Per le piccole e medie imprese e per le start-up il Regolamento prevede, all'articolo 99, paragrafo 6, che la sanzione sia pari al massimo alla percentuale o all'importo delle tre fasce, applicando l'importo inferiore e non quello superiore. In altre parole, mentre per le grandi imprese si prende il valore più alto tra cifra fissa e percentuale, per le piccole realtà si prende il più basso. È un principio di proporzionalità pensato proprio per non schiacciare chi è piccolo. Una micro-impresa non rischia 35 milioni di euro, rischia una sanzione calibrata sulle sue dimensioni reali. L'obbligo resta identico per tutti, ma la sanzione è proporzionata. Questo non è un invito a rilassarsi, è un invito a fare le cose con calma e nel modo giusto, sapendo che il sistema è costruito per essere sostenibile.

Chi vigila in Italia

In Italia il quadro è stato completato dalla Legge 132/2025, in vigore dal 10 ottobre 2025, che ha designato le autorità nazionali per l'intelligenza artificiale. La legge designa sia l'ACN (Agenzia per la Cybersicurezza Nazionale) sia l'AgID (Agenzia per l'Italia digitale). All'ACN spettano la vigilanza sul mercato, comprese le attività ispettive e sanzionatorie, e il ruolo di punto di contatto unico con le istituzioni UE. All'AgID spettano la promozione dell'innovazione e le funzioni di notifica, valutazione, accreditamento e monitoraggio degli organismi che verificano la conformità dei sistemi. Sui profili che riguardano i dati personali restano ferme le competenze del Garante per la protezione dei dati personali, che quindi non è designato Autorità nazionale per l'IA ma conserva integralmente i suoi poteri. Nel settore finanziario, inoltre, restano autorità di vigilanza del mercato Banca d'Italia, CONSOB e IVASS.

Tradotto per te, l'interlocutore italiano su vigilanza e sanzioni in materia di AI è di norma l'ACN, mentre per notifica e accreditamento il riferimento è l'AgID e per i temi privacy resta il Garante. Sapere a chi rispondi è parte dell'essere in regola, e ti evita di rincorrere l'ufficio sbagliato il giorno in cui serve.

Il vantaggio nascosto

Chiudo con la parte che mi sta più a cuore. Mettersi in regola con l'AI Act viene vissuto come un peso, e all'inizio sembra solo un altro adempimento. Ma se lo guardi bene, è anche un vantaggio competitivo concreto. Un'azienda che sa quali strumenti usa, forma le sue persone, è trasparente con i clienti e tiene il controllo sulle decisioni importanti, è semplicemente un'azienda che lavora meglio. Usa l'AI con più efficacia, fa meno errori, ispira più fiducia.

I tuoi clienti e i tuoi partner inizieranno a chiederti come gestisci l'AI, sta già succedendo nelle gare e nelle trattative. Arrivarci preparato non è difesa, è attacco. Ed è gestibile, davvero. Cinque mosse, partendo da una mappa e da un po' di formazione. Il resto si costruisce un passo alla volta.

Aggiornato al 31 agosto 2026 · Quadro post-Digital-Omnibus · Contenuto informativo, non parere legale