AI Act europeo: la mappa per non perdersi nelle scadenze

Molti imprenditori hanno sentito parlare dell'AI Act come di una minaccia astratta, qualcosa che riguarda le grandi aziende tech e non la propria realtà. È un errore che si paga caro: il regolamento riguarda chiunque, in Europa, usi un sistema di intelligenza artificiale nella propria attività professionale, comprese le PMI che hanno solo un chatbot sul sito.

Vediamo cosa dice davvero l'AI Act (Regolamento UE 2024/1689), cosa fa scattare gli obblighi e su quale calendario muoversi.

L'AI Act non regola la tecnologia, regola l'uso che ne fai

Il primo equivoco da chiarire: l'AI Act non giudica il modello che usi, giudica cosa ci fai. Lo stesso modello linguistico può essere a rischio minimo se genera bozze di email, o ad alto rischio se decide chi assumere. È la logica su cui si fonda tutto il regolamento: quattro categorie di rischio, con obblighi che crescono man mano che cresce l'impatto potenziale sulle persone.

Alla base ci sono i filtri antispam, i suggerimenti di prodotto, gli strumenti di produttività: rischio minimo, nessun obbligo aggiuntivo. Salendo si trovano i chatbot, i voice agent e i generatori di contenuti, che devono solo dichiarare di essere AI. Più in alto ancora, i sistemi che decidono su lavoro, credito, istruzione, sanità e giustizia, che devono dimostrare di funzionare bene, con documentazione e controllo umano. In cima, poche pratiche vietate senza eccezioni, come il punteggio sociale delle persone.

Cosa cambia per chi usa l'AI, non per chi la costruisce

La stragrande maggioranza delle aziende italiane non sviluppa modelli di intelligenza artificiale: li usa. In termini del regolamento, sono utilizzatori (deployer), non fornitori (provider), e questo cambia molto il peso degli obblighi.

Un utilizzatore deve verificare che il sistema che ha scelto sia conforme, soprattutto se è ad alto rischio; deve garantire una supervisione umana proporzionata; deve informare le persone quando interagiscono con un'AI; deve tenere traccia di come il sistema viene usato. Non deve, invece, occuparsi della documentazione tecnica del modello o delle prove di robustezza: quello resta compito di chi il sistema lo ha costruito.

Il calendario, aggiornato dopo il Digital Omnibus

Qui sta l'errore più comune: pensare che, siccome molte scadenze sono state rinviate, ci sia tempo per tutto. Non è così. Il Digital Omnibus, in vigore dal 27 luglio 2026, ha allentato il calendario sui sistemi ad alto rischio, ma non ha toccato divieti, alfabetizzazione e trasparenza, che restano gli obblighi che riguardano più aziende in assoluto.

Il regolamento è entrato in vigore il 1° agosto 2024. Dal 2 febbraio 2025 sono vietate le pratiche a rischio inaccettabile e vale l'obbligo di alfabetizzazione del personale che usa l'AI. Dal 2 agosto 2025 si applicano le regole per i modelli di AI per finalità generali. Dal 2 agosto 2026 diventa obbligatorio dichiarare l'uso dell'AI nei chatbot e nei contenuti generati. Solo dopo, dal 2 dicembre 2027, arrivano gli obblighi sui sistemi ad alto rischio dell'allegato III, come selezione del personale e merito creditizio, che in origine erano previsti per agosto 2026. L'ultimo tassello, per i sistemi integrati in prodotti regolamentati come i dispositivi medici, è fissato al 2 agosto 2028.

Chi controlla, e cosa rischi se non ti muovi

In Italia il compito di vigilare è stato affidato dalla legge nazionale sull'AI del 2025 ad AgID e ACN, mentre resta al Garante per la protezione dei dati personali il presidio sugli aspetti legati alla privacy. Le sanzioni previste vanno da 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate, a 15 milioni o il 3% per le altre violazioni, fino a 7,5 milioni o l'1% per le informazioni sbagliate fornite alle autorità, con l'importo più basso riservato a PMI e startup.

Da dove partire davvero

Il primo passo non è leggere il regolamento articolo per articolo, ma fare l'inventario di ogni sistema di AI usato in azienda, compresi quelli nascosti dentro un CRM o un gestionale HR. Per ciascuno vanno annotati la funzione, il fornitore, la categoria di rischio e i dati personali coinvolti. Poi si verifica la conformità: per i sistemi ad alto rischio si chiede la documentazione al fornitore e si attivano registri e supervisione; per chatbot e voice agent si aggiunge l'avviso all'utente e si aggiorna l'informativa privacy. A quel punto serve organizzare la governance interna, con un responsabile individuato e una procedura per valutare ogni nuovo sistema prima di adottarlo, e infine formare le persone che useranno questi strumenti, un obbligo già attivo dal febbraio 2025.

Il regolamento prevede anche misure pensate apposta per le PMI, come documentazione tecnica semplificata e accesso agevolato agli spazi di sperimentazione normativa: la conformità resta obbligatoria, ma le procedure sono più leggere, e in molti casi bastano modelli e checklist già pronti invece di un lavoro costruito da zero.

Un ultimo punto che vale la pena chiarire: l'AI Act non chiede di smettere di innovare, chiede di poter dimostrare come funziona ciò che si usa. Per una PMI questo significa quasi sempre poche cose concrete, non un cambio radicale di rotta: un avviso in più nel chatbot, un contratto rivisto con un fornitore, una persona che sa a chi rivolgersi in caso di dubbi. Guardato con la giusta prospettiva, non è solo un vincolo: chi lo affronta per tempo costruisce sistemi di cui i clienti si fidano, e questo diventa un vantaggio competitivo rispetto a chi rimanda. Se vuoi capire come applicarlo alla tua azienda, parliamone.