L’AI Act è il regolamento UE sull’intelligenza artificiale (Regolamento 2024/1689). Dal 2 agosto 2026 è operativo su trasparenza, vigilanza e sanzioni. Per una PMI che usa ChatGPT, Copilot o un chatbot di terzi il ruolo è quasi sempre deployer (utilizzatore), non fornitore: non scattano marcatura CE né valutazione di conformità da “prodotto AI”. Scattano inventario, riconoscibilità delle interazioni con le persone, alfabetizzazione del personale (già dal 2025) e regole sui dati.
L’alto rischio dell’Allegato III è stato spostato al 2 dicembre 2027 (sistemi indipendenti) e al 2 agosto 2028 (sistemi in prodotti armonizzati), secondo il pacchetto di semplificazione descritto dalla Commissione. Agosto 2026 non è “tutto subito”; è il momento in cui si può essere controllati su ciò che è già in vigore.
Questa è informazione generale, non consulenza legale. Date e obblighi vanno verificati sul caso concreto con un professionista abilitato.
Cos’è l’AI Act, in una frase utile
L’AI Act è il Regolamento (UE) 2024/1689: regole armonizzate sull’intelligenza artificiale nell’Unione Europea. Classifica gli usi per livello di rischio e collega obblighi a quel rischio.
La Commissione Europea lo riassume così: approccio basato sul rischio, con divieti per pratiche inaccettabili, obblighi più stretti per i sistemi ad alto rischio, obblighi di trasparenza per certi usi (es. chatbot e contenuti sintetici) e poche regole aggiuntive per il rischio minimo. Il quadro ufficiale è sulla pagina Regulatory framework for AI.
Quali scadenze contano adesso (agosto 2026)
Le scadenze non sono tutte uguali. Secondo la Commissione:
- dal 2 febbraio 2025 si applicano i divieti sulle pratiche vietate e gli obblighi di AI literacy (art. 4);
- dal 2 agosto 2025 si applicano regole di governance e obblighi sui modelli GPAI (general-purpose AI);
- dal 2 agosto 2026 partono l’enforcement e gli obblighi di trasparenza rilevanti per chatbots e contenuti generati o alterati da AI (comunicato Commissione, 31 luglio 2026);
- gli obblighi sui sistemi ad alto rischio dell’Allegato III sono stati spostati al 2 dicembre 2027, e quelli sui sistemi integrati in prodotti regolamentati (Allegato I) al 2 agosto 2028, a seguito del pacchetto di semplificazione (“AI Omnibus”) descritto dalla stessa Commissione.
| Data | Cosa è in vigore |
|---|---|
| 2 febbraio 2025 | Pratiche vietate e AI literacy (art. 4) |
| 2 agosto 2025 | Governance e obblighi sui modelli GPAI (fornitori di modelli) |
| 2 agosto 2026 | Art. 50 (trasparenza), market surveillance, regime sanzionatorio |
| 2 dicembre 2027 | Sistemi ad alto rischio Allegato III (dopo Omnibus) |
| 2 agosto 2028 | Sistemi ad alto rischio in prodotti armonizzati (Allegato I) |
Cosa fare concretamente (ordine operativo)
Lista da lavoro, non certificazione. Dettaglio normativo: articolo 50 e checklist deployer vs fornitore.
- Inventario AI (1–2 giorni). Foglio con: sistema, fornitore, chi lo usa, per cosa, dati trattati, vostro ruolo, rischio grezzo. Includete l’AI nascosta in gestionale, CRM e tool di marketing.
- Chatbot sul sito → disclosure visibile. Chi fornisce un sistema che dialoga con persone deve renderlo riconoscibile, salvo che sia già manifesto. L’obbligo di progettazione è del fornitore; se lo avete brandizzato o personalizzato in modo sostanziale, il confine si sposta. Mettete comunque una riga all’apertura: «Stai parlando con un assistente virtuale basato su intelligenza artificiale».
- ChatGPT / Copilot per email interne → di solito nessuna etichetta AI Act. Restano fuori gli usi assistivi che non alterano in modo rilevante un contenuto pubblicato. Se usate immagini generate, video, voci clonate o testi pubblici di interesse generale: lì la disclosure c’è. Il rischio più concreto sull’account consumer è spesso il GDPR (dati di clienti senza DPA): passate a un piano business con contratto di trattamento.
- Formazione (art. 4), già dovuta. Traccia documentale: sessioni corte sull’uso reale, presenze, materiale conservato. Vedi formazione obbligatoria AI Act.
- Policy interna breve. Cosa non caricare (dati personali, CAD, listini, capitolati), revisione umana, chi autorizza nuovi tool.
- Informativa ai dipendenti se l’IA entra nella gestione del personale. La legge 132/2025 lo rafforza. Screening CV, valutazione o monitoraggio produttività possono avvicinarsi all’Allegato III (orizzonte 2027): non ignoratelo “perché è lontano”.
Sanzioni per violazioni di trasparenza: fino al 3% del fatturato (o 15 milioni), con proporzionalità per le PMI. In Italia: ACN (vigilanza di mercato) e AgID (notifica / promozione), ferme le vigilanza di settore.
Supporto gratuito per orientarsi: AI Act Service Desk della Commissione (anche in italiano) e sportelli PID / EDIH delle Camere di commercio. Sui contratti con i fornitori fate validare i testi da un professionista.
Chi è il deployer AI Act (e cosa deve fare)
Nell’AI Act, il provider è chi sviluppa e immette sul mercato un sistema (o lo mette in servizio a proprio nome). Il deployer è chi usa un sistema AI sotto la propria autorità in ambito professionale (art. 3, punti 3 e 4).
Se la vostra PMI usa ChatGPT, Copilot, un assistente documentale interno o un agente su ticket, nella maggior parte dei casi siete deployer. Non “fuori dalle regole”: siete dentro con obblighi proporzionati.
Passi pratici che raccomandiamo operativamente (non come lista legale esaustiva):
- Inventario: quali tool AI usate, per quali processi, con quali dati.
- Classificazione grezza del rischio: uso generico di supporto vs decisioni su persone (HR, credito, accesso a servizi).
- Trasparenza: se un chatbot parla con clienti o utenti, deve essere chiaro che interagiscono con un sistema AI, non con una persona (art. 50 / enforcement agosto 2026).
- Literacy: formare chi usa l’AI sul lavoro (obbligo già attivo dal febbraio 2025).
- Ownership: chi risponde della qualità dell’output e delle escalation.
- Dati: allineamento con GDPR su cosa si può caricare e dove.
Qui Zendata interviene sul pezzo operativo: sistemi usabili, tracciabili e governati, non sul parere legale sostitutivo.
Sistemi ad alto rischio: quando preoccuparsi davvero
L’alto rischio non è “qualsiasi AI in azienda”. La Commissione elenca casi d’uso sensibili, tra cui (esempi): componenti di sicurezza in infrastrutture critiche, istruzione e scoring di esami, selezione e gestione del personale, credit scoring e accesso a servizi essenziali, biometria in certi contesti, justice e migrazione. Dettagli e elenco aggiornato: pagina ufficiale AI Act.
Se usate l’AI solo per bozze email, ricerca interna o sintesi documentale con supervisione umana, siete in uno scenario diverso da un ranking automatico dei candidati. La distinzione conta: evita panico inutile e ritardi dove invece serve preparazione.
FAQ
Cos’è l’AI Act?
Il Regolamento (UE) 2024/1689: regole UE sull’intelligenza artificiale, per livello di rischio. Una PMI che usa ChatGPT o Copilot è di solito deployer, non fornitore. Dal 2 agosto 2026: trasparenza, vigilanza, sanzioni. Alto rischio Allegato III: 2027–2028.
L’AI Act vieta ChatGPT in azienda?
No. Non introduce un divieto generale. Introduce obblighi differenziati e, per certi usi, trasparenza e responsabilità.
Una PMI è esentata?
No in modo automatico. Ci sono misure di supporto e semplificazioni per PMI/start-up nel regolamento, ma l’uso professionale rientra nel perimetro. Va valutato il caso concreto.
Cosa è cambiato il 2 agosto 2026?
Secondo la Commissione, partono enforcement e obblighi di trasparenza su interazione con AI e su certi contenuti generati/alterati. Gli obblighi alto rischio Allegato III restano con orizzonte successivo (dicembre 2027, salvo ulteriori aggiornamenti).
Cosa devono fare le imprese dal 2 agosto 2026?
Inventario, ruolo, disclosure sul chatbot, literacy, regole dati e policy. Non la documentazione da fornitore di sistema ad alto rischio.
Devo etichettare le email scritte con ChatGPT?
Di solito no, se restano uso interno o commerciale rivisto da una persona. Sì in scenari di deepfake o testi pubblici di interesse generale senza controllo editoriale sostanziale.
Serve un avvocato o basta un vendor AI?
Serve chiarezza operativa e, sui punti giuridici rilevanti, un parere professionale. Un fornitore tecnico non sostituisce la valutazione legale.
Fonti
- EUR-Lex: Regolamento (UE) 2024/1689 – AI Act
- Commissione Europea: Regulatory framework for AI
- Commissione Europea: enforcement e trasparenza dal 2 agosto 2026
- AI Act Explorer: articolo 3 (definizioni provider/deployer)
- AI Act Explorer: articolo 4 (AI literacy)
- Commissione Europea: AI Act Service Desk
Approfondisci nella serie
- AI Act articolo 50: chatbot e contenuti AI
- Legge 132/2025: AgID e ACN
- AI Act: sei deployer o fornitore?
- Formazione obbligatoria AI Act (art. 4)
- Shadow AI: perché vietare ChatGPT non basta
- Chi è responsabile se l’AI sbaglia
Non sostituiamo l’avvocato. Se ci scrivete quali tool usate (ChatGPT, Copilot, chatbot sul sito) e su quali dati, in una call vi diciamo cosa è inventario / literacy / disclosure — e cosa invece è un processo da mettere in produzione con evidenze. Scrivici a info@zendata.it.
Pietro Ciattaglia, CEO di Zendata AI, Roma