Sull’AI Act 2026 fra le aziende italiane circola molta confusione: c’è chi lo ignora del tutto, chi pensa che riguardi solo i grandi gruppi e chi ha letto qualcosa ma non sa cosa fare in pratica. Qui metto in fila cosa prevede il regolamento, a chi si applica e cosa conviene fare adesso se usi strumenti di intelligenza artificiale nel tuo lavoro.
Cos’è l’AI Act e da quando è in vigore
L’AI Act è il regolamento europeo sull’intelligenza artificiale: il primo al mondo a disciplinare in modo organico come si può sviluppare e usare l’AI. È entrato in vigore nell’agosto 2024, ma le scadenze operative sono scaglionate nel tempo. Le prime norme già attive riguardano i sistemi considerati a rischio inaccettabile (vietati dal febbraio 2025). Le regole per i sistemi ad alto rischio, quelle più stringenti, diventano pienamente operative tra il 2025 e il 2026 a seconda della categoria.
Se hai un’attività italiana di piccole o medie dimensioni, ti riguarda anche se non sviluppi niente: il regolamento si applica pure a chi l’AI la usa in contesti professionali.
A chi si applicano gli obblighi: fornitori, distributori e utilizzatori
Il regolamento distingue tre figure principali.
Il fornitore è chi sviluppa e mette sul mercato un sistema AI: OpenAI, Google, i produttori di software con funzioni AI integrate. Gli obblighi più pesanti ricadono su di loro.
Il distributore è chi rivende o integra quei sistemi senza modificarli in modo sostanziale.
L’utilizzatore (nella terminologia del regolamento: «deployer») è chi usa un sistema AI in un contesto professionale. Questa è la categoria in cui rientrano quasi tutte le aziende italiane. Gli obblighi per gli utilizzatori sono più leggeri rispetto ai fornitori, ma esistono e non sono facoltativi.
In pratica: se usi ChatGPT per scrivere testi per i clienti, se hai un chatbot sul sito, se usi strumenti AI per analizzare dati o automatizzare processi, sei un utilizzatore e il regolamento ti riguarda.
I quattro livelli di rischio: dove si colloca la tua attività
L’AI Act classifica i sistemi AI in quattro livelli di rischio. Capire dove si colloca quello che usi è il primo passo concreto.
Rischio inaccettabile: sistemi vietati. Rientrano qui, per esempio, i sistemi di riconoscimento biometrico di massa in spazi pubblici o i sistemi di social scoring. Se non sei un ente pubblico o un’azienda di sicurezza, quasi certamente non ti riguarda.
Alto rischio: sistemi usati in ambiti sensibili come selezione del personale, accesso al credito, istruzione, infrastrutture critiche, giustizia. Se usi un software AI per filtrare i CV dei candidati o per valutare l’affidabilità creditizia dei clienti, sei in questa categoria. Gli obblighi includono documentazione tecnica, supervisione umana obbligatoria, registrazione nei database europei. Un caso limite da tenere presente: un gestionale con funzioni AI che suggerisce automaticamente condizioni commerciali diverse per clienti diversi potrebbe rientrare nell’area ad alto rischio, perché influenza l’accesso a servizi. Se hai dubbi su uno strumento specifico, è il caso di verificarlo.
Rischio limitato: sistemi come i chatbot, dove l’obbligo principale è la trasparenza. Chi interagisce con un sistema AI deve sapere che sta parlando con una macchina. Se hai un chatbot sul sito, devi dichiararlo.
Rischio minimo: la maggior parte degli strumenti AI usati per marketing, contenuti, analisi dati generica, automazioni di processo. Nessun obbligo specifico, ma le buone pratiche restano valide.
Se sei un artigiano, un professionista o un’azienda che usa AI per scrivere testi, gestire email, analizzare dati di vendita o automatizzare attività ripetitive, con ogni probabilità sei nel livello a rischio minimo o limitato. Resta una probabilità, però: dipende da cosa fa esattamente lo strumento che usi e in quale contesto.
Cosa ho dovuto sistemare nei miei automatismi
Quando ho fatto il punto su quello che gira nel mio studio, ho guardato due cose: nessuna violazione grave, ma una non era documentata in modo chiaro.
La prima era la trasparenza verso i clienti. Uso n8n per automatizzare parti del flusso di lavoro e Google Sheets per tenere traccia dei dati. Le bozze di comunicazione che il sistema prepara per me partono solo dopo che le ho lette e approvate, e le mando io: il sistema non invia nulla in autonomia.
La seconda era la documentazione degli strumenti, ed è lì che ho messo mano. Usare ChatGPT o altri modelli in un contesto professionale significa che dovresti sapere, almeno a grandi linee, cosa fa quello strumento con i dati che gli passi. Ho riletto le condizioni di servizio degli strumenti che uso più spesso e ho aggiornato la mia informativa privacy di conseguenza, indicando quali categorie di dati vengono elaborate con il supporto di strumenti AI.
Non è stato un lavoro enorme, ma bisogna sedersi e farlo, senza rimandare.
Sanzioni: a chi si applicano
Le sanzioni previste dall’AI Act sono significative: fino a 35 milioni di euro o una quota del fatturato globale annuo per le violazioni più gravi (sistemi vietati), fino a 15 milioni o una quota minore per le violazioni degli obblighi sui sistemi ad alto rischio, fino a 7,5 milioni per informazioni false fornite alle autorità. Le percentuali esatte variano in base alla dimensione dell’azienda e alla categoria di violazione: per i dettagli precisi ti rimando al testo ufficiale del regolamento.
Questi numeri si riferiscono principalmente ai fornitori, cioè a chi sviluppa e distribuisce sistemi AI. Per gli utilizzatori (la categoria in cui rientra la tua azienda), le sanzioni sono proporzionate e tengono conto delle dimensioni dell’azienda. Il regolamento prevede esplicitamente un trattamento differenziato per le microimprese e le piccole e medie imprese, sia in termini di obblighi che di sanzioni applicabili.
Detto questo, «sanzioni ridotte» non significa «nessuna sanzione». Se usi un sistema ad alto rischio senza le misure di supervisione richieste, o se hai un chatbot senza dichiarare che è un chatbot, sei in violazione. In Italia le autorità le ha già indicate la legge 132/2025, in vigore dal 10 ottobre 2025: l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN), che ha anche i poteri di controllo e sanzione. Il regolamento lo applicano anche verso gli utilizzatori.
Le cinque cose da sistemare in azienda
Prima cosa: fai l’inventario degli strumenti AI che usi. Oltre a quelli ovvi come ChatGPT, contano i software gestionali, i CRM, i plugin del sito che hanno funzioni AI integrate. Per ognuno, chiediti: in quale categoria di rischio rientra? Tratta dati personali?
Seconda cosa: controlla le condizioni di servizio degli strumenti che usi. Devi sapere se i dati che inserisci vengono usati per addestrare i modelli, dove vengono conservati, come vengono protetti. Se non lo sai, non puoi aggiornare la tua informativa privacy in modo corretto.
Terza cosa: aggiorna l’informativa privacy indicando quali processi coinvolgono strumenti AI e in che modo. Non serve una riscrittura completa: spesso basta aggiungere un paragrafo specifico.
Quarta cosa: se hai un chatbot o qualsiasi interfaccia conversazionale sul sito, dichiara che è automatizzata. È un obbligo già in vigore per i sistemi a rischio limitato.
Quinta cosa: documenta i processi decisionali in cui l’AI ha un ruolo. Non serve un documento tecnico complesso. Basta una descrizione chiara di cosa fa il sistema, chi lo supervisiona e come vengono prese le decisioni finali. Questo vale soprattutto se usi AI in processi che riguardano persone (clienti, dipendenti, fornitori).
Se ti chiedi cosa ha senso affidare all’AI senza crearti problemi di conformità, ne ho parlato in cosa conviene automatizzare con l’AI, e cosa no.
Se hai dubbi sulla tua situazione
Per capire dove si colloca la tua situazione bisogna guardare da vicino gli strumenti che usi. In una sessione di consulenza AI di solito emerge subito cosa è a posto, cosa va documentato meglio e cosa invece conviene rivedere. Il costo è 120 euro/ora, IVA esclusa (sono in regime forfettario). E se quello che stai valutando è un impianto che lavora ogni giorno sui tuoi processi, la forma conta anche per il regolamento: nel sistema operativo AI che costruisco ogni agente ha un gradino di autonomia dichiarato, e quello che vede un cliente passa sempre dalla tua approvazione. Alla fine hai un quadro della tua situazione con i punti precisi da sistemare. Un esempio di quello che può saltare fuori: un plugin di WooCommerce che consiglia i prodotti con l’AI e che nessuno ha mai dichiarato nell’informativa. Si sistema in poco tempo, ma bisogna sapere dove guardare.
