La tua PMI usa già l’AI Act senza saperlo? Cosa cambia dal 2 agosto 2026

Il 2 agosto 2026 diventa pienamente applicabile l’AI Act, il regolamento europeo sull’intelligenza artificiale (Regolamento UE 2024/1689). Non è l’ennesima scadenza burocratica da PMI italiana da rimandare a settembre. È qualcosa di più vicino di quanto sembri: riguarda strumenti che probabilmente stai già usando ogni giorno, senza averli mai chiamati “sistemi di intelligenza artificiale”.

Il problema reale non è quello che immagini

Quando si parla di AI Act, la reazione tipica è pensare a scenari lontani — robot, algoritmi complessi, roba da grande industria. La realtà è diversa. Il commerciale che incolla un’offerta su ChatGPT per farsela rivedere. L’ufficio acquisti che usa Copilot per leggere velocemente i contratti dei fornitori. Un plugin di automazione che gestisce le risposte email. Un chatbot sul sito che risponde ai clienti senza dire che è un’AI.

Nessuna di queste scelte, presa singolarmente, sembra un problema. Ma sommate, raccontano un’azienda che usa l’intelligenza artificiale senza governarla e senza poterlo dimostrare se qualcuno lo chiede — un cliente enterprise, un partner, un’autorità di controllo.

L’AI Act si applica a chi sviluppa sistemi AI ma anche, semplicemente, a chi li usa nella propria attività — quello che il regolamento chiama “deployer”. La maggior parte delle PMI italiane che usa ChatGPT, Copilot, Gemini o Claude rientra in questa categoria, anche senza aver mai scritto una riga di codice.

Il calendario reale, senza tecnicismi

L’AI Act non entra in vigore tutto in un giorno. È già operativo da tempo, con scadenze scaglionate:

• 1° agosto 2024 — il regolamento entra formalmente in vigore
• 2 febbraio 2025 — diventano applicabili i divieti sulle pratiche a rischio inaccettabile (es. manipolazione subliminale, alcuni usi biometrici) e l’obbligo di alfabetizzazione AI del personale (art. 4): chi in azienda usa questi strumenti deve avere una competenza minima su come funzionano
• 2 agosto 2025 — obblighi di governance per i modelli AI general purpose (GPT, Claude, Gemini e simili) — ricadono sui fornitori dei modelli, non direttamente sulle PMI che li usano
• 2 agosto 2026 — piena applicabilità generale, inclusi gli obblighi di trasparenza dell’art. 50: chi interagisce con un chatbot aziendale deve poterlo sapere fin dal primo messaggio, e i contenuti sintetici (testi, immagini, audio generati da AI) vanno etichettati come tali

Per approfondire il quadro normativo aggiornato, la pagina ufficiale della Commissione Europea sull’AI Act riporta il calendario completo, comprese le scadenze specifiche per i sistemi ad alto rischio.

Cosa rischia davvero una PMI

Qui la parte da ridimensionare, non da ingigantire. L’articolo 99 del regolamento prevede tre fasce di sanzione: fino al 7% del fatturato globale annuo per le pratiche vietate (art. 5) — situazioni che non riguardano l’uso ordinario di un chatbot o di un assistente di scrittura; fino al 3% per le violazioni degli obblighi di trasparenza come un chatbot che non dichiara di essere AI; fino all’1% per informazioni false fornite alle autorità.

Due cose importanti da tenere a mente:

Primo, lo stesso articolo 99 prevede un criterio di proporzionalità esplicito per PMI e startup: la sostenibilità economica dell’impresa va considerata nel calcolo della sanzione. Non significa immunità, significa che la sanzione teorica e quella concretamente applicata a una piccola impresa sono cose diverse.

Secondo, per la maggior parte delle PMI il rischio più immediato non è nemmeno la sanzione AI Act, ma quella GDPR — che esiste da prima e si sovrappone: caricare un file con dati di clienti su ChatGPT o Claude attiva comunque gli obblighi del GDPR, indipendentemente da cosa dice l’AI Act. In pratica, mettere ordine sul GDPR è spesso il primo passo utile anche verso la conformità AI Act.

Il rischio pratico più frequente, per una PMI che si adegua troppo tardi, non è la multa in sé: è perdere una gara o un cliente enterprise che oggi chiede la conformità AI Act come requisito contrattuale.

I passi minimi, senza allarmismo

Non serve un ufficio legale dedicato per iniziare. Bastano alcuni passaggi, fatti con ordine:

Fai l’inventario. Elenca quali sistemi AI sono in uso in azienda — non solo i tool “AI-first” come ChatGPT, ma anche le funzioni AI integrate nel CRM, nel gestionale, nella piattaforma email o nel sito. Chi lo usa, per cosa, su quali dati.

Verifica se rientri nell’alto rischio. La maggior parte degli usi comuni in una PMI (assistenti di scrittura, analisi documenti, automazioni di back office) rientra nelle categorie a rischio limitato o minimo, con obblighi leggeri. Ma alcuni casi d’uso — selezione del personale con screening automatico, sistemi di scoring dei clienti, controllo accessi biometrico — possono rientrare nell’alto rischio anche se non sembrano “pericolosi” a prima vista. Vale la pena un controllo puntuale, non un’assunzione.

Aggiorna la trasparenza verso i clienti. Se hai un chatbot o generi contenuti con AI, dal 2 agosto serve una dichiarazione chiara — non basta il nome del bot, va detto esplicitamente fin dall’apertura della conversazione.

Metti per iscritto una policy minima interna. Anche poche righe su chi può usare cosa, con quali dati, e chi supervisiona gli output, sono già una base difendibile in caso di controllo.

Chi lavora con automazioni costruite su misura, invece che con un accumulo disordinato di tool scelti nel tempo da persone diverse, parte già avvantaggiato: un sistema pensato e documentato fin dall’inizio è più facile da inventariare e da spiegare rispetto a una somma di strumenti adottati singolarmente.

Da dove iniziare, davvero

Non ti serve un piano in venti punti prima di poter dormire tranquillo. Ti serve sapere, con chiarezza, cosa stai già usando — ed è un lavoro che puoi iniziare questa settimana, prima ancora di parlare con chiunque.

Se vuoi un confronto su come è strutturata oggi la tua azienda dal punto di vista degli strumenti AI in uso, raccontacelo: prima ancora di proporti un’automazione, ti aiutiamo a fare chiarezza su cosa hai già.

FAQ