AI Act: le date già scattate e quelle che restano

AI Act: le date già scattate e quelle che restano

L’obbligo di formare il personale sull’uso dell’intelligenza artificiale è scattato il 2 febbraio 2025. Chi non ha ancora agito è inadempiente oggi, non tra un anno.

In sintesi

• L’articolo 4 del Regolamento UE 2024/1689 (AI Act) impone l’obbligo di alfabetizzazione AI dal 2 febbraio 2025: non è una scadenza futura.
• Il 2 agosto 2026, ormai alle spalle, ha attivato i Capi III-VIII del Regolamento: trasparenza, governance e sanzioni sono pienamente operativi, mentre i sistemi ad alto rischio hanno date proprie.
• Le sanzioni dell’AI Act arrivano fino a 15 milioni di euro o al 3% del fatturato per gli obblighi elencati dall’articolo 99, paragrafo 4, e fino a 35 milioni per le pratiche vietate.
• L’obbligo riguarda qualsiasi azienda che usa strumenti AI, non solo chi li sviluppa.
• Documentare quanto già fatto è parte della conformità: costa meno di un audit legale postumo.

Febbraio 2025: la data che molti hanno perso

Il Regolamento UE 2024/1689, noto come AI Act, è entrato in vigore il 1° agosto 2024. Da quella data era legge europea a tutti gli effetti. Le scadenze operative, però, si sono distribuite nel tempo, proprio per dare alle imprese modo di organizzarsi.

La prima ha colpito il 2 febbraio 2025. Da quel giorno sono entrati in vigore i divieti dell’articolo 5, sulle pratiche AI vietate, e soprattutto l’articolo 4, che impone a qualsiasi operatore di provvedere all’AI literacy di chi usa questi strumenti (alfabetizzazione sull’intelligenza artificiale, ovvero la capacità concreta del proprio personale di capire cosa fa uno strumento AI, quali rischi comporta e come usarlo in modo responsabile).

Non è un obbligo teorico. Un hotel che usa un chatbot (assistente conversazionale automatico) per rispondere alle richieste degli ospiti, uno studio commercialista che adotta un software per l’analisi dei documenti fiscali, un ecommerce che filtra i reclami dei clienti con un sistema automatico: tutti sono già tenuti ad aver formato il proprio personale. Chi non lo ha fatto è inadempiente adesso, non in futuro.

L’azione concreta è questa: verificare quali strumenti AI sono in uso nella propria struttura e documentare se e come il personale è stato informato sul loro funzionamento e sui rischi connessi. Per capire da dove partire c’è la guida alla formazione obbligatoria prevista dall’articolo 4 dell’AI Act.

Agosto 2026: cosa cambia davvero

Il 2 agosto 2026 è la data che ha concentrato la maggior parte degli obblighi operativi per chi usa o distribuisce sistemi AI. È passata. Chi ci è arrivato senza mappatura, contratti e formazione documentata non ha più mesi davanti: ha un ritardo da recuperare.

Da quella scadenza sono applicabili i Capi III-VIII del Regolamento. In pratica:

• Le regole sui sistemi ad alto rischio (Capo III): software usati in ambito medico, nella valutazione del credito, nella selezione del personale. Una clinica che adotta un sistema di supporto alla diagnosi rientra qui. Il calendario dell’alto rischio ha date proprie, fissate dal Digital Omnibus, il Regolamento (UE) 2026/1744 in vigore dal 27 luglio 2026: 2 dicembre 2027 per i sistemi autonomi dell’Allegato III, 2 agosto 2028 per i prodotti dell’Allegato I.
• Gli obblighi di trasparenza (Capo IV): i chatbot devono dichiarare esplicitamente di essere sistemi automatici, non persone.
• Le norme sui modelli GPAI, sigla inglese per General Purpose AI (intelligenza artificiale ad uso generale), cioè i modelli addestrati su grandi quantità di dati e usati per scopi multipli, come GPT-4 o Claude (Capo V).
• Il sistema di governance e sorveglianza del mercato (Capi VI-VII).
• Il regime sanzionatorio (Capo VIII).

Uno studio legale che usa un software AI per l’analisi dei contratti rientra potenzialmente tra i sistemi ad alto rischio. Quello che gli è richiesto vale da agosto 2026: non è più una cosa da scoprire, è una cosa da avere già pronta.

L’impatto operativo è preciso: serve una mappatura degli strumenti AI in uso, una classificazione del livello di rischio di ciascuno, una revisione dei contratti con i fornitori tecnologici e un percorso formativo documentato per il personale coinvolto. Niente di tutto questo si fa in una settimana.

Le sanzioni: numeri reali, non teorici

L’articolo 99 del Regolamento UE 2024/1689 fissa le sanzioni per fasce. Per la violazione degli obblighi elencati dal paragrafo 4, come quelli di fornitori e deployer, si arriva fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, applicando il valore più alto tra i due; per le imprese più piccole e le start-up vale invece l’importo più basso (paragrafo 6). L’obbligo di formazione dell’articolo 4 non compare in quell’elenco con una multa propria: a farlo rispettare sono le autorità nazionali, e l’assenza di formazione documentata pesa nella valutazione di ogni altra violazione.

Per chi usa sistemi AI vietati dall’articolo 5, la soglia sale fino a 35 milioni di euro o il 7% del fatturato globale.

Questi non sono massimali riservati ai grandi operatori tecnologici. Il Regolamento si applica a qualsiasi operatore stabilito nell’Unione Europea, o che mette a disposizione sistemi AI nel mercato europeo, indipendentemente dalle dimensioni. Un hotel che usa un sistema AI per la gestione delle prenotazioni, una clinica che adotta un software di supporto diagnostico, un’agenzia immobiliare che usa strumenti di valutazione automatica degli immobili: tutti rientrano nell’ambito di applicazione.

Resto su questo punto un momento, perché è quello che vedo fraintendere più spesso. La proporzionalità delle sanzioni terrà conto delle dimensioni dell’impresa, certo. Ma l’assenza totale di documentazione e formazione non è una circostanza neutrale: è un fattore aggravante. Dimostrare di non aver fatto nulla peggiora la posizione, non la alleggerisce.

Cosa significa “alfabetizzazione AI” in pratica

L’articolo 4 non prescrive un numero minimo di ore né un programma didattico specifico. Dopo la riscrittura del Digital Omnibus, il Regolamento (UE) 2026/1744 in vigore dal 27 luglio 2026, il testo dice espressamente che l’obbligo «non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona»: calibrare gli interventi sul proprio contesto resta responsabilità degli operatori. Non è un vuoto normativo. È una scelta deliberata che sposta la responsabilità sull’imprenditore.

In concreto, AI literacy significa che il personale che interagisce con strumenti AI deve essere in grado di:

• riconoscere quando sta usando un sistema AI e non uno strumento tradizionale;
• capire i limiti e i possibili errori di quello strumento specifico;
• sapere quando una decisione non può essere delegata alla macchina.

Il livello richiesto varia per settore. Per una clinica, significa che il medico che usa un software di supporto alla diagnosi deve sapere che quel sistema non è infallibile e che la responsabilità clinica resta sua, senza eccezioni. Per un ristorante che usa AI per gestire le recensioni online o ottimizzare gli ordini, il livello di consapevolezza richiesto è diverso, ma l’obbligo esiste ugualmente. Per un ecommerce che usa algoritmi automatici per il pricing o per filtrare i resi, il personale commerciale deve sapere come funziona lo strumento che usa ogni giorno.

La documentazione di questi percorsi formativi, anche minimi, è già parte della conformità. Dimostra che l’operatore ha preso sul serio l’obbligo. Un registro interno degli interventi formativi, anche semplice, vale più di mille dichiarazioni di buona volontà in sede di ispezione.

Domande correlate

L’obbligo di formazione AI vale anche per chi usa solo strumenti di terzi?

Sì. L’articolo 4 del Regolamento UE 2024/1689 si applica agli operatori, categoria che include anche chi usa sistemi AI sviluppati da altri. Usare un software AI di un fornitore esterno non esonera dall’obbligo di formare il proprio personale sul suo utilizzo consapevole.

Cosa rischio se non ho documentazione della formazione fatta?

L’assenza di documentazione rende difficile dimostrare la conformità in caso di ispezione. Le autorità di vigilanza possono considerarla come inadempimento, anche se la formazione è avvenuta informalmente. Avere traccia scritta degli interventi formativi è parte integrante dell’adeguamento.

I sistemi AI a basso rischio sono esclusi dagli obblighi?

No, non completamente. La classificazione del rischio incide sugli obblighi specifici, come registrazione e documentazione tecnica, ma l’obbligo di alfabetizzazione dell’articolo 4 si applica indipendentemente dal livello di rischio del sistema usato.

Agosto 2026 riguarda anche le aziende che non sviluppano AI?

Sì. Le scadenze di agosto 2026 riguardano anche chi usa sistemi AI già sviluppati da altri, in particolare per i sistemi classificati ad alto rischio. Un’azienda che adotta un software di selezione del personale basato su AI dovrà rispettare obblighi precisi come deployer (soggetto che mette in uso il sistema nella propria organizzazione).

Quanto tempo serve per adeguarsi all’articolo 4?

Dipende dalla complessità degli strumenti in uso e dal numero di persone coinvolte. Per una realtà con pochi strumenti AI e un team ristretto, un percorso documentato può essere completato in poche settimane. L’importante è iniziare ora: agosto 2026 è alle spalle.

---

Questo articolo ha finalità informative e non costituisce parere legale. Per valutazioni specifiche sulla propria situazione, consultare un professionista qualificato.

Fonti:

• Regolamento UE 2024/1689 (AI Act), testo ufficiale EUR-Lex — (accesso luglio 2026)
• Certifico.com — AI Act: obblighi per le imprese dal 2 agosto 2026 — (accesso luglio 2026)
• StartBrain.ai — AI Act articolo 4: formazione e sanzioni — (accesso luglio 2026)