AI Act per le PMI: cosa è scattato il 2 agosto 2026 e cosa devi fare

Sì, ma con obblighi molto contenuti. Usando un sistema di IA nell'ambito della tua attività professionale sei un «deployer»: dal febbraio 2025 devi garantire che chi lo usa in azienda abbia una competenza adeguata a farlo, e dal 2 agosto 2026, se quello strumento parla direttamente con clienti o candidati o produce contenuti che pubblichi, devi dichiararlo. Non devi documentazione tecnica, valutazioni di conformità o sistemi di gestione dei rischi: quelli riguardano i fornitori e i sistemi ad alto rischio.

Sono diventati applicabili gli obblighi di trasparenza dell'articolo 50 — dichiarare che un sistema è un'IA quando interagisce con le persone, marcare i contenuti sintetici, dichiarare i deepfake, informare chi è esposto a riconoscimento delle emozioni — e la vigilanza delle autorità nazionali con il relativo regime sanzionatorio è diventata pienamente operativa. Non è entrato in vigore l'impianto sull'alto rischio, che era la parte più attesa: il Digital Omnibus l'ha rinviata undici giorni prima.

È il Regolamento (UE) 2026/1744, pubblicato in Gazzetta Ufficiale dell'Unione europea il 24 luglio 2026 ed entrato in vigore il 27 luglio. Modifica l'AI Act senza cambiarne l'impianto: rinvia gli obblighi sui sistemi ad alto rischio autonomi al 2 dicembre 2027 e quelli sui sistemi incorporati in prodotti regolati al 2 agosto 2028, sposta al 2 dicembre 2026 la marcatura dei contenuti per i sistemi generativi già sul mercato, alleggerisce alcuni adempimenti e introduce nuovi divieti. Il rinvio è motivato dal fatto che le norme tecniche armonizzate necessarie per applicare l'alto rischio non erano pronte.

Sì, ed è l'adempimento più immediato di tutti. Un sistema destinato a interagire direttamente con le persone deve essere costruito in modo che l'utente lo sappia al primo contatto. L'eccezione per i casi in cui sia evidente dal contesto è più stretta di quanto sembri: la dichiarazione va messa dove la persona la legge prima di scrivere, cioè nel messaggio di apertura o accanto al nome dell'assistente, non nelle note legali in fondo alla pagina.

Dipende da cosa sono quei testi. L'obbligo riguarda i testi generati o manipolati con l'IA pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico, e non si applica quando il contenuto è stato sottoposto a revisione editoriale con una responsabilità umana sulla pubblicazione. La descrizione di un prodotto scritta con l'aiuto di un assistente e poi riletta e approvata da una persona è un caso diverso da un flusso automatico che pubblica notizie senza che nessuno le guardi. Per i contenuti audio, video e immagine gli obblighi di marcatura sono più stringenti e ricadono in primo luogo sul fornitore del sistema.

Con ogni probabilità sì. L'allegato III include i sistemi usati per filtrare le candidature e valutare i candidati, indipendentemente dalle dimensioni dell'azienda e dal prezzo dello strumento. Gli obblighi corrispondenti sono però rinviati al 2 dicembre 2027. Nel frattempo continuano ad applicarsi il GDPR — che sulle decisioni automatizzate relative alle persone ha già regole precise — e il diritto del lavoro. La cosa utile da fare adesso è annotare quel sistema come tale e chiedere al fornitore che documentazione fornirà.

Le fasce sono tre: fino a 35 milioni o il 7% del fatturato mondiale per le pratiche vietate, fino a 15 milioni o il 3% per la generalità degli obblighi — compresa la trasparenza — e fino a 7,5 milioni o l'1% per le informazioni inesatte fornite alle autorità. Per le PMI, comprese le start-up, si applica l'importo inferiore fra la cifra e la percentuale, non il superiore: è una regola specifica del regolamento, e viene quasi sempre omessa da chi cita solo il numero grosso. Restano sanzioni significative, e nella valutazione contano gravità, durata e cooperazione.

La legge 23 settembre 2025 n. 132 ha individuato AgID e ACN come autorità nazionali: AgID per le procedure di notifica, valutazione e accreditamento dei soggetti che verificano la conformità, ACN per la vigilanza sul mercato, comprese le attività ispettive e sanzionatorie. È una legge quadro: diversi decreti attuativi definiranno il dettaglio delle procedure, ed è la parte del quadro destinata a cambiare di più nei prossimi mesi.

Dall'elenco dei sistemi di IA effettivamente in uso in azienda, compresi quelli che qualcuno ha attivato senza dirlo. Per ognuno servono quattro informazioni: fornitore, finalità, chi lo usa e quali dati ci finiscono dentro. È mezza giornata di lavoro e rende banale tutto il resto — la classificazione per ruolo, le etichette da mettere, le domande da fare ai fornitori. Comprare uno strumento di compliance prima di avere quell'elenco significa automatizzare una cosa che non si sa ancora cosa sia.

Significa che hai sedici mesi invece di zero, e che nel frattempo non devi spendere. Non significa che l'obbligo sia stato tolto: è stato rinviato perché mancavano le norme tecniche armonizzate necessarie ad applicarlo. La cosa sensata da fare in questi mesi non costa nulla — sapere quali sistemi hai e in che categoria stanno — e mette al riparo dal caso in cui, come è già successo con il calendario precedente, le condizioni cambino con poco preavviso.