AI Act dal 2 agosto 2026: cosa devono fare imprese, PMI e professionisti
L’intelligenza artificiale è già entrata nei processi quotidiani di molte imprese: selezione del personale, marketing, assistenza clienti, analisi dei dati, produzione di contenuti e automazione amministrativa.
Dal 2 agosto 2026 il quadro cambia ulteriormente. L’AI Act europeo entra nella sua fase applicativa principale e rende più importante sapere non soltanto quale strumento viene utilizzato, ma anche per quale finalità, con quali dati e sotto la responsabilità di chi.
Non tutte le applicazioni di intelligenza artificiale sono considerate ad alto rischio. Allo stesso tempo, utilizzare un servizio acquistato da un fornitore esterno non libera automaticamente l’impresa da ogni responsabilità.
Per PMI e professionisti la priorità non è predisporre altra burocrazia, ma costruire una mappa affidabile degli strumenti utilizzati e introdurre controlli proporzionati ai rischi reali.
Cosa cambia con l’AI Act dal 2 agosto 2026
Il Regolamento europeo 2024/1689 è entrato in vigore il 1° agosto 2024, ma ha previsto un’applicazione progressiva.
Alcune disposizioni sono già operative:
- dal 2 febbraio 2025 si applicano le regole sulle pratiche vietate e l’obbligo di garantire un adeguato livello di alfabetizzazione in materia di AI;
- dal 2 agosto 2025 sono diventate applicabili ulteriori disposizioni, comprese quelle sulla governance e sui modelli di intelligenza artificiale per finalità generali;
- dal 2 agosto 2026 diventa applicabile gran parte del restante impianto normativo, comprese importanti regole di trasparenza.
Per alcune categorie di sistemi ad alto rischio sono previste scadenze differenziate. Inoltre, il calendario europeo è stato interessato da proposte di semplificazione e adeguamento. La classificazione e la scadenza applicabile devono quindi essere verificate sul testo aggiornato, evitando di utilizzare vecchi schemi riepilogativi come unica fonte.
Chi deve occuparsi dell’AI Act in azienda
Il Regolamento distingue diversi ruoli: fornitore, utilizzatore o “deployer”, importatore e distributore.
La maggior parte delle imprese sarà un deployer
Un’impresa che utilizza un sistema di intelligenza artificiale sotto la propria autorità, ad esempio per gestire candidature, supportare il servizio clienti o analizzare dati commerciali, opera normalmente come deployer.
Anche quando il software è stato sviluppato da un fornitore esterno, l’impresa deve controllare come viene impiegato all’interno della propria organizzazione.
Quando l’impresa può diventare un fornitore
La posizione può cambiare se l’azienda:
- sviluppa direttamente un sistema di AI;
- commercializza il sistema con il proprio nome o marchio;
- modifica in modo sostanziale uno strumento esistente;
- cambia la finalità di un sistema, facendolo rientrare tra le applicazioni ad alto rischio.
Il ruolo non dipende quindi soltanto dal contratto commerciale, ma dalle attività effettivamente svolte.
Quali utilizzi richiedono maggiore attenzione
L’AI Act adotta un approccio basato sul rischio. Gli adempimenti aumentano quando il sistema può incidere in modo significativo sui diritti o sulle opportunità delle persone.
Intelligenza artificiale nella gestione del personale
Tra gli ambiti più delicati rientrano i sistemi utilizzati per:
- selezionare o filtrare candidature;
- valutare colloqui o curriculum;
- decidere promozioni, assegnazioni o cessazioni;
- monitorare prestazioni e comportamenti;
- distribuire automaticamente attività e carichi di lavoro.
Non ogni software per le risorse umane è automaticamente ad alto rischio. Occorre verificare la funzione svolta dall’AI e il peso che il suo risultato assume nella decisione finale.
Credito, assicurazioni e accesso ai servizi
Sono particolarmente sensibili anche alcuni utilizzi che valutano l’affidabilità creditizia o incidono sull’accesso a servizi essenziali.
In questi casi devono essere analizzati con attenzione la qualità dei dati, il rischio di discriminazioni, la possibilità di errore e il livello di supervisione umana.
Biometria e riconoscimento delle emozioni
I sistemi biometrici e quelli che dichiarano di riconoscere emozioni o caratteristiche personali sono sottoposti a limiti stringenti.
Alcuni impieghi sono vietati. Altri richiedono specifiche condizioni e obblighi informativi. Prima di adottarli è indispensabile effettuare una valutazione giuridica e tecnica approfondita.
I controlli da effettuare subito
Per la maggior parte delle PMI il primo passo non è produrre un lungo regolamento interno, ma sapere con precisione dove viene utilizzata l’intelligenza artificiale.
1. Creare un inventario degli strumenti AI
L’inventario dovrebbe indicare almeno:
- nome dello strumento e fornitore;
- funzione aziendale interessata;
- finalità dell’utilizzo;
- tipologia di dati inseriti;
- persone coinvolte nelle decisioni;
- eventuale impatto su dipendenti, candidati o clienti;
- presenza di controlli umani;
- documenti e condizioni contrattuali disponibili.
Vanno inclusi anche gli strumenti adottati autonomamente dai singoli reparti, come assistenti generativi, servizi di trascrizione, applicazioni di analisi e funzioni AI integrate nei software già utilizzati.
2. Classificare il livello di rischio
Ogni utilizzo dovrebbe essere ricondotto a una delle principali categorie:
- pratica vietata;
- sistema potenzialmente ad alto rischio;
- sistema soggetto a obblighi di trasparenza;
- utilizzo a rischio limitato o minimo.
La classificazione deve considerare la finalità concreta. Lo stesso strumento può presentare rischi differenti se utilizzato per scrivere una bozza commerciale oppure per valutare automaticamente un candidato.
3. Verificare gli obblighi di trasparenza
Dal 2 agosto 2026 assumono particolare rilievo le regole di trasparenza previste dall’articolo 50 dell’AI Act.
A seconda del caso, può essere necessario:
- informare la persona che sta interagendo con un sistema di AI;
- rendere riconoscibili determinati contenuti generati o manipolati artificialmente;
- segnalare l’utilizzo di sistemi di riconoscimento delle emozioni o categorizzazione biometrica;
- dichiarare la natura artificiale di immagini, audio o video assimilabili a deepfake;
- informare lavoratori e rappresentanze quando viene introdotto un sistema ad alto rischio sul luogo di lavoro.
Sono previste eccezioni e modalità differenti. L’informativa deve quindi essere costruita in relazione allo strumento e al suo effettivo utilizzo.
4. Formare le persone che utilizzano l’AI
L’obbligo di alfabetizzazione in materia di intelligenza artificiale è già applicabile dal 2 febbraio 2025.
La formazione dovrebbe essere proporzionata alle responsabilità. Chi utilizza un assistente generativo per predisporre una bozza non ha le stesse esigenze di chi configura un sistema per la selezione del personale.
Un percorso aziendale efficace dovrebbe affrontare almeno:
- limiti e possibili errori dei sistemi;
- protezione dei dati personali e delle informazioni riservate;
- verifica umana dei risultati;
- rischi di discriminazione;
- regole sull’utilizzo dei contenuti generati;
- procedure interne per segnalare problemi e incidenti.
La Commissione europea ha pubblicato specifici chiarimenti sull’alfabetizzazione in materia di AI.
5. Controllare fornitori e contratti
Prima di acquistare o rinnovare un servizio AI è utile chiedere al fornitore:
- quale ruolo assume ai sensi dell’AI Act;
- come è classificato il sistema;
- quali istruzioni e documenti mette a disposizione;
- dove vengono trattati e conservati i dati;
- se i dati del cliente vengono utilizzati per addestrare il modello;
- quali misure di sicurezza sono previste;
- come vengono comunicati incidenti, modifiche e aggiornamenti;
- quali garanzie offre in caso di non conformità.
Le dichiarazioni commerciali del fornitore non sostituiscono la verifica interna dell’impresa.
AI Act, privacy e sicurezza informatica
La conformità all’AI Act non sostituisce gli obblighi previsti dal GDPR, dalle norme sul lavoro o dalle regole di cybersecurity.
Se uno strumento tratta dati personali, l’impresa deve comunque verificare:
- base giuridica e finalità del trattamento;
- minimizzazione dei dati;
- tempi di conservazione;
- ruoli privacy di cliente e fornitore;
- eventuali trasferimenti fuori dallo Spazio economico europeo;
- necessità di una valutazione d’impatto sulla protezione dei dati;
- misure tecniche e organizzative di sicurezza.
Un sistema può essere a basso rischio secondo l’AI Act e presentare comunque criticità rilevanti sotto il profilo della privacy, della riservatezza aziendale o della proprietà intellettuale.
Quali sono le possibili sanzioni
Il Regolamento prevede massimali differenti in base alla violazione.
Per le infrazioni più gravi, come l’uso di pratiche vietate, il limite può arrivare a 35 milioni di euro o al 7% del fatturato mondiale annuo. Per altre violazioni sono previsti massimali inferiori.
Per le PMI il Regolamento introduce criteri specifici e proporzionati. La sanzione concreta deve inoltre considerare natura, gravità, durata della violazione e comportamento dell’organizzazione.
I massimali non devono essere letti come una sanzione automatica. Rappresentano però un segnale chiaro: l’utilizzo dell’AI deve essere governato come un processo aziendale, non lasciato alle iniziative dei singoli utenti.
Una checklist operativa per PMI e professionisti
Alla luce della fase applicativa avviata il 2 agosto 2026, imprese e studi professionali dovrebbero verificare di avere:
- un inventario aggiornato degli strumenti AI;
- una classificazione preliminare degli utilizzi;
- regole interne per dipendenti e collaboratori;
- un programma di alfabetizzazione e formazione;
- controlli sulla qualità dei risultati;
- procedure per la supervisione umana;
- informative trasparenti, quando necessarie;
- verifiche privacy e cybersecurity;
- contratti coerenti con i ruoli delle parti;
- una procedura per gestire errori, incidenti e contestazioni.
Da dove iniziare
L’AI Act non richiede a tutte le imprese lo stesso livello di organizzazione. Una PMI che usa un assistente generativo per attività interne non si trova nella stessa posizione di un’azienda che utilizza algoritmi per assumere, valutare o monitorare i lavoratori.
Il percorso corretto parte da tre domande:
- Dove utilizziamo concretamente l’intelligenza artificiale?
- Quali decisioni o persone possono essere influenzate?
- Quali controlli possiamo dimostrare di avere adottato?
Rispondere in modo documentato consente di individuare le priorità, ridurre i rischi e continuare a utilizzare l’AI senza bloccare l’innovazione.
Conclusioni
Dal 2 agosto 2026 l’AI Act diventa un tema operativo anche per le imprese che non sviluppano direttamente tecnologie di intelligenza artificiale.
L’obiettivo non è eliminare questi strumenti, ma utilizzarli con maggiore consapevolezza: ruoli chiari, persone formate, fornitori verificati e controllo umano sulle decisioni più delicate.
Poiché classificazione e obblighi dipendono dalla finalità concreta del sistema, è opportuno verificare ogni caso alla luce del testo europeo aggiornato, della normativa italiana e delle altre discipline applicabili.