AI Act: da agosto 2026 scattano i controlli reali
AI Act: da agosto 2026 scattano i controlli reali
Dal 3 agosto 2026 le autorità nazionali possono aprire ispezioni formali sull’uso dei sistemi di intelligenza artificiale in azienda. Chi non ha ancora documentato la formazione del personale non affronta più un obbligo teorico. Affronta un rischio concreto di sanzione.
In sintesi
- Dal 3 agosto 2026 le disposizioni su vigilanza e controllo del Regolamento UE 2024/1689 (AI Act) sono pienamente applicabili.
- L’obbligo di promuovere l’AI literacy (capacità del personale di comprendere e usare correttamente gli strumenti di intelligenza artificiale) esiste già dall’agosto 2025, ai sensi dell’Art. 4 del Regolamento UE 2024/1689. Il testo vigente non impone un livello specifico per nessuno: sta all’azienda dosare la formazione sul rischio.
- Le sanzioni per chi usa sistemi AI senza rispettare gli obblighi applicabili arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale annuo.
- In un’ispezione, il documento richiesto non è una dichiarazione di intenti: è evidenza tracciabile di attività formative svolte.
- Chi non ha ancora nulla da mostrare ha ancora poche settimane per costruire una documentazione minima difendibile.
L’obbligo esiste dal 2025, i controlli partono ora
L’AI Act, Regolamento UE 2024/1689, è entrato in vigore il 1° agosto 2024. Da quel momento il calendario applicativo ha seguito una logica a scaglioni: prima i divieti sulle pratiche inaccettabili, poi le regole sui sistemi ad alto rischio, infine il regime di vigilanza e controllo.
Quest’ultimo blocco diventa operativo il 3 agosto 2026. Da quella data le autorità competenti designate dagli Stati membri possono aprire procedimenti di vigilanza, richiedere documentazione, condurre ispezioni e avviare procedimenti sanzionatori strutturati. Non è un cambiamento di carta. È il momento in cui il Regolamento smette di essere un testo da leggere e diventa uno strumento con cui qualcuno può bussare alla tua porta.
L’articolo 4 del Regolamento, che impone a chi usa sistemi AI di promuovere l’AI literacy del proprio personale senza fissare un livello valido per tutti, è invece già vigente dall’agosto 2025. Non è una novità. È un obbligo che molte realtà hanno letto, archiviato e non eseguito.
Il passaggio di agosto 2026 non introduce nuovi obblighi sostanziali: rende i vecchi obblighi verificabili con strumenti formali. La differenza non è trascurabile. Pensa a uno studio commercialista che usa da mesi un chatbot (assistente conversazionale automatico) per rispondere ai clienti via email: fino ad oggi nessuno poteva contestarlo formalmente. Da agosto 2026, un ispettore può farlo.
Cosa può chiedere un’ispezione oggi
Un ispettore che arriva in uno studio professionale, in una clinica privata o in un’agenzia immobiliare che usa strumenti AI non cerca una certificazione ISO. Cerca evidenza che l’organizzazione abbia fatto qualcosa di concreto per adempiere all’Art. 4.
In termini pratici, questo significa documentazione. Non un file Word con scritto “abbiamo fatto formazione”. Serve un registro con date, partecipanti, contenuti coperti e, dove possibile, un attestato o una ricevuta di completamento. Se l’attività formativa è avvenuta tramite una piattaforma esterna, il log di accesso della piattaforma è già un documento utile. Se è avvenuta internamente, serve qualcosa di equivalente.
Il Regolamento non prescrive un formato unico. Prescrive un risultato: il personale che interagisce con sistemi AI deve avere competenze adeguate al contesto e al rischio dell’applicazione usata. La valutazione di adeguatezza spetta all’organizzazione, ma deve essere ricostruibile a posteriori.
Esempio concreto. Una clinica odontoiatrica che usa un software gestionale con moduli AI per l’agenda e il promemoria pazienti: se un ispettore chiede chi ha formato il personale di reception su quello strumento, la risposta “lo abbiamo spiegato a voce durante l’onboarding” non regge. Regge un’email con il programma della sessione, una lista di partecipanti, una data.
Per capire come strutturare questa documentazione in modo che regga a un controllo, vale la pena leggere la guida su come dimostrare la formazione AI ai sensi dell’Art. 4.
Il nodo della classificazione: non tutti i sistemi AI sono uguali
Prima di costruire qualsiasi piano di adeguamento, un’azienda deve sapere in quale categoria ricadono i sistemi AI che usa. Il Regolamento distingue quattro livelli di rischio.
Rischio inaccettabile. Sistemi vietati del tutto: manipolazione subliminale, riconoscimento delle emozioni nei luoghi di lavoro senza consenso, profilazione predittiva basata su caratteristiche personali sensibili.
Alto rischio. Qui gli obblighi sono pesanti. Rientrano in questa categoria i sistemi usati per valutare candidati in selezione del personale, per prendere decisioni che incidono sull’accesso a servizi essenziali, o per supportare diagnosi mediche. Un software che un’agenzia per il lavoro usa per filtrare i curricula, o un tool che una clinica usa per prioritizzare i pazienti: entrambi possono rientrare qui. La documentazione richiesta include registri di utilizzo e supervisione umana obbligatoria sulle decisioni critiche.
Rischio limitato. Un chatbot che risponde ai clienti su un sito di ecommerce rientra tipicamente qui. L’obbligo principale è informare l’utente che sta interagendo con un sistema automatico, non con una persona.
Rischio minimo. Strumenti di traduzione automatica, filtri antispam, sistemi di raccomandazione dei contenuti. Nessun obbligo specifico oltre all’alfabetizzazione del personale che li usa.
La classificazione non è un esercizio accademico. Determina quali obblighi si applicano e, di conseguenza, cosa un ispettore si aspetta di trovare. Una guida operativa sulla classificazione del rischio AI Act può aiutare a fare questa valutazione in modo strutturato.
Le sanzioni: cifre concrete, non scenari astratti
L’Art. 99 del Regolamento UE 2024/1689 fissa le soglie sanzionatorie. Per le violazioni degli obblighi applicabili ai cosiddetti deployer, termine inglese che indica chi mette in uso un sistema AI sviluppato da altri nell’ambito della propria attività, la sanzione massima è 15 milioni di euro o il 3% del fatturato mondiale annuo. Si applica il valore più alto tra i due.
Per le violazioni relative a sistemi vietati la soglia sale a 35 milioni di euro o il 7% del fatturato.
Le sanzioni massime sono riservate alle violazioni più gravi. Per le realtà di dimensioni contenute il rischio più immediato non è la multa record. È l’ordine di sospensione dell’uso del sistema AI fino alla regolarizzazione.
Resta il fatto che quella sospensione può fare danni seri. Un hotel che usa un sistema AI per la gestione delle prenotazioni e dei prezzi dinamici, e che riceve un ordine di sospensione durante l’alta stagione, ha un problema operativo concreto prima ancora di quello economico. Prezzi fermi, prenotazioni gestite a mano, personale sovraccarico. Non è uno scenario teorico.
Cosa fare nelle prossime settimane
L’adeguamento non richiede necessariamente consulenze costose o progetti lunghi mesi. Richiede metodo.
Primo passo: inventario. Quali strumenti usa il personale, per quali attività, con quale frequenza. Non solo i software acquistati come “AI”: anche i moduli di automazione integrati in CRM, in piattaforme di ecommerce, in gestionali medici o legali. Un ristorante che usa una piattaforma di prenotazione con ottimizzazione automatica dei tavoli ha già un sistema AI in uso, anche se non lo chiama così.
Secondo passo: classificazione. Per ciascuno strumento, verificare in quale fascia di rischio ricade e quali obblighi si applicano. L’esercizio richiede un’ora, non una settimana.
Terzo passo: documentazione formativa. Chi ha fatto cosa, quando, su quali contenuti. Se non esiste nulla, partire adesso con un percorso tracciabile è comunque meglio che arrivare a un’ispezione a mani vuote. Un corso online con attestato di completamento, per i sistemi a rischio minimo, è già un punto di partenza difendibile.
La decisione su cosa documentare, come strutturare la valutazione del rischio e come impostare la supervisione umana sui sistemi critici resta in capo all’organizzazione e, dove necessario, ai suoi consulenti legali. L’AI Act non automatizza la compliance: la richiede.
Domande correlate
L’obbligo di formazione AI vale anche per le piccole attività?
Sì. L’Art. 4 del Regolamento UE 2024/1689 si applica a qualsiasi soggetto che usa sistemi AI nell’ambito della propria attività professionale, indipendentemente dalle dimensioni. Sono previste alcune esenzioni per i sistemi a uso puramente personale, ma non per quelli integrati nei processi di lavoro.
Cosa rischio se non ho documentazione formativa al momento di un’ispezione?
L’autorità competente può contestare la violazione dell’Art. 4 e chiedere conto di come è stata affrontata. L’Art. 99 però non assegna all’Art. 4 una multa propria: per la sola alfabetizzazione non esiste un importo dedicato, e quello che pesa è l’effetto sulle altre contestazioni. Per le realtà più piccole il rischio più immediato è un ordine di regolarizzazione con scadenza ravvicinata.
Chi è il deployer di cui parla l’AI Act?
Il deployer, che in italiano possiamo chiamare utilizzatore professionale, è chi usa un sistema AI sviluppato da altri nell’ambito della propria attività. Un ristorante che usa un software di prenotazione con AI, uno studio legale che usa un tool di analisi documentale: entrambi sono deployer e ricadono sotto gli obblighi del Regolamento.
Basta un corso online per dimostrare la formazione AI?
Dipende dal sistema AI usato e dal livello di rischio. Per sistemi a rischio minimo, un corso online con attestato di completamento è generalmente sufficiente come evidenza. Per sistemi ad alto rischio, la documentazione deve essere più articolata e dimostrare che il personale comprende i limiti del sistema e mantiene la supervisione sulle decisioni critiche.
Da quando posso ricevere un’ispezione reale sull’AI Act?
Le disposizioni su vigilanza e controllo sono applicabili dal 3 agosto 2026. Da quella data le autorità nazionali designate possono avviare procedimenti formali. L’obbligo sostanziale di alfabetizzazione AI, ai sensi dell’Art. 4, è però vigente dall’agosto 2025.
Questo contenuto ha finalità informativa e non costituisce parere legale. Per valutazioni specifiche sulla situazione della tua organizzazione, rivolgiti a un professionista abilitato.
Fonti:
- Regolamento UE 2024/1689 (AI Act), testo integrale: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689 (accesso agosto 2026)
- Sistema Impresa, analisi enforcement AI Act: https://www.sistema-impresa.org/leggiArticolo.php?articolo=1829 (accesso agosto 2026)
- WST Legal, obblighi di alfabetizzazione e chiarimenti attuativi Commissione UE: https://www.wstlegal.eu/it/ia-e-obblighi-di-alfabetizzazione-per-le-imprese-i-recenti-chiarimenti-attuativi-della-commissione-ue/ (accesso agosto 2026)