AI Act: la supervisione è attiva, prepara la tua azienda ora
Dal 3 agosto 2026, l'AI Act entra nel vivo: le autorità avviano controlli. Documenta la formazione del personale o affronta un'ispezione reale.
In sintesi
- Dal 3 agosto 2026 le autorità nazionali possono aprire procedimenti formali, richiedere documenti, condurre ispezioni sull’AI Act (Regolamento UE 2024/1689).
- L’obbligo di formare il personale sull’uso responsabile dell’AI esiste dal 2 febbraio 2025 (Art. 4): agosto 2026 chiude la finestra di tolleranza pratica.
- L’Art. 99 non assegna una multa propria all’Art. 4: le fasce fino a 15 milioni o al 3%, e fino a 35 milioni o al 7% per i sistemi vietati, riguardano altre violazioni (Reg. UE 2024/1689).
- La prima cosa che un ispettore chiederà è la documentazione della formazione svolta: non basta averla fatta, bisogna poterla dimostrare con date e nomi.
- Chi è indietro deve partire dall’inventario dei sistemi AI in uso e dalla raccolta delle evidenze formative, non da un piano pluriennale.
L’Art. 4 del Regolamento UE 2024/1689 impone a chi fornisce o utilizza sistemi di intelligenza artificiale di adoperarsi perché il proprio personale comprenda gli strumenti AI in uso, i rischi che comportano e le modalità di impiego responsabile. Il testo vigente, dopo il Digital Omnibus, non fissa un livello obbligatorio per nessuna persona: l’alfabetizzazione va promossa e la calibratura resta una scelta dell’azienda. Questo obbligo è in vigore dal 2 febbraio 2025. Dal 3 agosto 2026 le disposizioni sulla supervisione e sull’applicazione concreta delle sanzioni sono pienamente operative: le autorità nazionali competenti possono aprire procedimenti, richiedere documentazione, condurre ispezioni.
Per un titolare di studio professionale o un direttore operativo di clinica privata, il passaggio dall’obbligo astratto al controllo concreto è già avvenuto. Chi lo tratta ancora come qualcosa che “arriverà” ha sbagliato il calendario.
L’obbligo esisteva già: cosa cambia adesso
La struttura di vigilanza non era completamente operativa fino ad agosto 2026, e molti operatori hanno vissuto quei diciotto mesi come una zona grigia. Non lo erano: erano un periodo di applicazione parziale, non di sospensione degli obblighi.
Qui vale la pena essere diretti su un punto scomodo: il ritardo nella designazione dell’autorità nazionale di vigilanza, con l’AGID che svolge ancora funzioni transitorie senza aver reso pubblici procedimenti formali, ha probabilmente alimentato la percezione che il Regolamento fosse negoziabile nei tempi. È una lettura comprensibile, ma sbagliata. Il quadro sanzionatorio dell’Art. 99 non dipende dall’attivismo dell’autorità nazionale: la Commissione europea e le autorità di altri Stati membri possono intervenire su operatori italiani in scenari transfrontalieri, e il silenzio dell’AGID fino ad oggi non è un segnale di clemenza strutturale. È più probabilmente il segnale di un’autorità che stava costruendo la propria capacità operativa. Dal 3 agosto 2026 quella capacità è giuridicamente completa.
La tesi che il Regolamento sia applicabile solo alle grandi organizzazioni tecnologiche non regge alla lettura del testo. L’Art. 4 non prevede soglie dimensionali. Un’attività con tre dipendenti che usa un sistema AI ha gli stessi obblighi di base di una grande organizzazione. La proporzionalità si applica al contenuto e alla profondità della formazione richiesta, non alla sua esistenza.
Cosa cercano gli ispettori: la logica del controllo
Gli ispettori seguiranno una logica documentale analoga a quella di un’ispezione sulla sicurezza sul lavoro o sulla privacy secondo il Regolamento europeo sulla protezione dei dati personali (Reg. UE 2016/679). Le prime richieste riguarderanno quattro cose: quali sistemi AI usa l’organizzazione, in quale categoria di rischio ricadono, chi li usa internamente, e quale formazione hanno ricevuto queste persone.
La prova non è la buona intenzione. È il registro, l’attestato, il verbale, il log del corso completato.
Capire da che parte ci si trova nel Regolamento, se dalla parte del fornitore o del deployer, è il primo passaggio operativo. La risposta è quasi sempre semplice: il software AI che usi lo hai sviluppato tu, o lo hai comprato o noleggiato da qualcun altro? Se la risposta è la seconda, sei quasi certamente un deployer, con gli obblighi specifici previsti dagli articoli 26 e seguenti del Regolamento.
Il nodo della formazione: non basta averla fatta
Un imprenditore che ha mandato il personale a un webinar sull’AI, o che ha distribuito un manuale interno, può credere di essere a posto. Non lo è, se non ha la documentazione che lo prova.
Il Regolamento non prescrive un formato specifico per la formazione. Richiede che sia adeguata rispetto al ruolo della persona e ai sistemi che utilizza. Un addetto al front-desk di un hotel che usa un chatbot per gestire le prenotazioni ha bisogno di una formazione diversa rispetto al responsabile IT che configura lo stesso sistema. La proporzionalità è un criterio giuridico, non una scusa per fare meno.
Un attestato generico senza riferimento ai sistemi aziendali è debole in sede di ispezione. Servono evidenze datate, nominative, collegate ai sistemi effettivamente in uso. La mancanza di documentazione non è di per sé la violazione più grave, ma aggrava la posizione in caso di ispezione e riduce le possibilità di difesa.
Il settore sanitario come caso di esposizione immediata
Una clinica privata che impiega software di supporto alla diagnosi per immagini ricade quasi certamente nell’Allegato III del Regolamento, che elenca i sistemi ad alto rischio. Per questi sistemi gli obblighi di documentazione, supervisione umana e formazione sono più stringenti di quelli previsti per le categorie a rischio minore, e le sanzioni in caso di violazione sono proporzionalmente più severe.
Il punto critico non è il software in sé, che spesso viene acquistato da un fornitore certificato: è la catena di responsabilità interna. Il Regolamento richiede che il deployer, cioè la clinica, possa dimostrare che il personale che interagisce con il sistema ne comprende i limiti, sa quando intervenire con giudizio umano, e ha ricevuto formazione documentata in questo senso.
Questo vale anche quando il sistema funziona bene. Un’ispezione non si attiva solo dopo un danno: si attiva su segnalazione, su campione, o su iniziativa dell’autorità. La logica è la stessa del controllo HACCP in una cucina professionale: l’assenza di intossicazioni non sostituisce il registro delle temperature.
Cosa fare questa settimana, non questo trimestre
Il punto di partenza non è un piano pluriennale: è un inventario. Quali sistemi AI usa l’organizzazione? Non solo quelli sviluppati internamente, ma tutti: il CRM con funzioni predittive, il chatbot del sito, il software gestionale con analisi automatica dei dati. Molti operatori usano AI senza saperlo, perché è integrata in software che conoscono con un altro nome.
Il Regolamento adotta una definizione tecnica precisa all’Art. 3: un sistema AI è un sistema automatizzato progettato per operare con vari livelli di autonomia e produrre output come previsioni, raccomandazioni o decisioni. Se il software fa previsioni o prende decisioni automatiche, è probabile che rientri nella definizione.
Una volta completato l’inventario, la classificazione per livello di rischio determina quali obblighi si applicano con quale urgenza. Poi viene la raccolta della documentazione formativa esistente: se la formazione è già stata fatta, va datata, nominata e collegata ai sistemi. Se non è stata fatta, va pianificata con priorità per chi usa i sistemi a rischio più elevato. I contratti con i fornitori AI meritano un passaggio separato: il Regolamento prevede che i fornitori consegnino informazioni specifiche ai deployer, e se queste informazioni mancano è un problema contrattuale da affrontare ora, non dopo un’ispezione.
Partire dall’inventario interno questa settimana è l’unica azione che riduce concretamente il rischio prima che qualcuno bussi alla porta.
Domande correlate
L’obbligo di formazione AI vale anche per le piccole attività?
Sì. Il Regolamento UE 2024/1689 non prevede soglie dimensionali per l’obbligo di alfabetizzazione AI stabilito dall’Art. 4. Un’attività con tre dipendenti che usa un sistema AI ha gli stessi obblighi di base di una grande organizzazione, anche se la proporzionalità si applica al contenuto e alla profondità della formazione richiesta.
Cosa rischio se non ho documentazione della formazione?
Le sanzioni per violazione degli obblighi applicabili ai deployer arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale annuo (Art. 99 Reg. UE 2024/1689). La mancanza di documentazione non è di per sé la violazione più grave, ma aggrava la posizione in caso di ispezione e riduce le possibilità di difesa.
Come faccio a sapere se il software che uso è considerato AI dall’AI Act?
Il Regolamento adotta una definizione tecnica precisa all’Art. 3: un sistema AI è un sistema automatizzato progettato per operare con vari livelli di autonomia e produrre output come previsioni, raccomandazioni o decisioni. Se il tuo software fa previsioni, suggerisce azioni o prende decisioni automatiche, è probabile che rientri nella definizione. La verifica va fatta caso per caso.
Le autorità italiane hanno già avviato controlli?
L’AGID svolge funzioni transitorie in attesa della designazione definitiva dell’autorità nazionale di vigilanza AI. Non ha ancora reso pubblici procedimenti formali aperti. Dal 3 agosto 2026 il quadro giuridico per farlo è completo.
La formazione fatta prima del 2025 conta?
Dipende dal contenuto. Se copriva i temi rilevanti per i sistemi AI attualmente in uso, può essere valorizzata come evidenza, purché documentata. Formazione generica su informatica o digitale non equivale all’alfabetizzazione AI richiesta dall’Art. 4.
Fonti:
- Regolamento UE 2024/1689 (AI Act), testo ufficiale: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689 (accesso agosto 2026)
- sistema-impresa.org, analisi enforcement AI Act: https://www.sistema-impresa.org/leggiArticolo.php?articolo=1829 (accesso agosto 2026)
- WSTLegal, obblighi di alfabetizzazione e chiarimenti attuativi Commissione UE: https://www.wstlegal.eu/it/ia-e-obblighi-di-alfabetizzazione-per-le-imprese-i-recenti-chiarimenti-attuativi-della-commissione-ue/ (accesso agosto 2026)
Non costituisce parere legale.