Articolo aggiornato a ottobre 2026

Se hai letto qualcosa sull’AI Act prima dell’estate, probabilmente ricordi il 2 agosto 2026 come la data in cui “scattava tutto”. Nel frattempo il quadro è cambiato: a luglio l’Unione Europea ha approvato il Digital Omnibus, una modifica mirata del regolamento che ha spostato in avanti gli obblighi più pesanti. Non li ha cancellati, e una parte delle regole è già in vigore.

Qui mettiamo in ordine le date che contano davvero per una PMI italiana: cosa vale già oggi, cosa è stato rinviato e cosa conviene fare adesso, senza allarmismi e senza dare per scontato che “tanto c’è tempo”.

Prima di tutto: l’AI Act riguarda anche te

L’AI Act (Regolamento UE 2024/1689) non si applica solo a chi sviluppa intelligenza artificiale, ma anche a chi la usa nella propria attività, quello che il regolamento chiama “deployer”. In pratica rientra nel perimetro quasi ogni azienda che oggi:

• usa ChatGPT, Copilot, Gemini o Claude per scrivere, riassumere o analizzare documenti;
• ha un chatbot sul sito o un assistente automatico su WhatsApp;
• usa funzioni AI integrate nel CRM, nel gestionale o nella piattaforma email.

Il Digital Omnibus non ha cambiato questo principio. Ha cambiato i tempi.

Il calendario aggiornato, in ordine

Già in vigore

• 2 febbraio 2025: divieto delle pratiche a rischio inaccettabile (per esempio manipolazione subliminale o alcuni usi biometrici) e obbligo di alfabetizzazione AI del personale (art. 4). L’Omnibus ha riformulato quest’ultimo: oggi chiede alle aziende di promuovere una competenza adeguata in chi usa l’AI, non di garantire un livello minimo per ogni singola persona.
• 2 agosto 2025: obblighi per i modelli AI di uso generale (GPT, Claude, Gemini e simili). Ricadono sui fornitori dei modelli, non sulle PMI che li usano.
• 2 agosto 2026: si applicano gli obblighi di trasparenza dell’art. 50 e diventa pienamente operativo il sistema di vigilanza e sanzioni. Per una PMI il punto più concreto è questo: se un cliente parla con un chatbot, deve saperlo fin dal primo messaggio.

Prossime scadenze

• 2 dicembre 2026: per i sistemi generativi già sul mercato prima di agosto scatta la marcatura dei contenuti generati dall’AI, leggibile dalle macchine (un obbligo dei fornitori dei sistemi). Dalla stessa data entrano in vigore due nuovi divieti: le app che generano immagini intime non consensuali e i sistemi che producono materiale pedopornografico.
• 2 dicembre 2027: obblighi per i sistemi ad alto rischio “autonomi”, cioè quelli elencati nell’allegato III. Prima dell’Omnibus la data era il 2 agosto 2026.
• 2 agosto 2028: obblighi per i sistemi ad alto rischio integrati in prodotti già regolati da altre norme europee, come macchinari o dispositivi medici.

Cosa vuol dire “alto rischio” per una PMI

La maggior parte degli usi comuni in una piccola azienda (assistenti di scrittura, analisi di documenti, automazioni di back office) rientra nel rischio limitato o minimo, con obblighi leggeri. Alcuni casi d’uso, però, possono rientrare nell’alto rischio anche se non sembrano “pericolosi”:

• selezione del personale con screening automatico dei CV;
• valutazione dell’affidabilità creditizia dei clienti;
• sistemi che decidono l’accesso a servizi essenziali.

Il rinvio al 2027 dà più tempo a chi è in questa situazione, ma non è un motivo per rimandare l’analisi: capire oggi se un sistema rientra in queste categorie costa poco, scoprirlo nel 2027 può costare molto.

La novità per le aziende un po’ più grandi

L’Omnibus introduce una nuova categoria, le small mid-cap: aziende con meno di 750 dipendenti e fatturato fino a 150 milioni di euro. Alle agevolazioni già previste per PMI e startup si aggiungono documentazione semplificata, sistemi di qualità proporzionati e massimali di sanzione adattati.

In Italia c’è anche la legge 132/2025

Dal 10 ottobre 2025 è in vigore la legge italiana sull’intelligenza artificiale (L. 132/2025), che si somma all’AI Act. Per chi esercita una professione intellettuale (commercialisti, avvocati, consulenti, ingegneri) prevede due obblighi:

• l’AI deve restare uno strumento di supporto, con il lavoro intellettuale umano sempre prevalente;
• il cliente va informato in modo chiaro sui sistemi di AI utilizzati, di solito nella lettera d’incarico.

Se lavori in uno studio professionale, ne parliamo più nel dettaglio negli articoli su cosa si automatizza davvero in uno studio commercialista e su come automatizzare uno studio legale.

Cosa rischia davvero una PMI

L’articolo 99 dell’AI Act prevede tre fasce di sanzione:

• fino al 7% del fatturato globale (o 35 milioni di euro) per le pratiche vietate, situazioni che non riguardano l’uso ordinario di un chatbot o di un assistente di scrittura;
• fino al 3% (o 15 milioni) per la violazione degli altri obblighi, compresa la trasparenza, come un chatbot che non dichiara di essere un’AI;
• fino all’1% (o 7,5 milioni) per informazioni false fornite alle autorità.

Per PMI e startup si applica sempre l’importo più basso tra la percentuale e la cifra fissa, e la sostenibilità economica dell’impresa entra nel calcolo.

Per molte PMI, però, il rischio più immediato resta il GDPR: caricare su un assistente AI un file con dati di clienti attiva comunque gli obblighi sulla privacy, a prescindere dall’AI Act. Mettere ordine sul GDPR è spesso il primo passo utile anche verso la conformità all’AI Act.

C’è poi un rischio pratico che arriva prima delle sanzioni: clienti strutturati e gare che chiedono la conformità all’AI Act come requisito contrattuale.

I passi minimi da fare adesso

1. Fai l’inventario. Elenca i sistemi AI in uso, non solo gli strumenti “AI” dichiarati ma anche le funzioni integrate nei software che usi già. Per ognuno annota chi lo usa, per cosa e su quali dati.

2. Sistema la trasparenza. Se hai un chatbot o un assistente automatico, l’obbligo è già in vigore: deve dichiarare di essere un’AI fin dall’apertura della conversazione.

3. Verifica i casi ad alto rischio. Selezione del personale, scoring dei clienti, controllo accessi: se usi l’AI in uno di questi ambiti, approfondisci adesso, non nel 2027.

4. Scrivi una policy interna minima. Poche righe su chi può usare cosa, con quali dati e chi controlla i risultati. Insieme a una formazione di base del personale, sono già una base difendibile.

Chi lavora con automazioni costruite su misura parte avvantaggiato: un sistema progettato e documentato fin dall’inizio è più facile da inventariare e da spiegare rispetto a una somma di strumenti adottati nel tempo da persone diverse.

Per il quadro normativo completo e aggiornato, la pagina della Commissione Europea sull’AI Act riporta il calendario ufficiale.

Da dove iniziare

Il rinvio dell’Omnibus non cambia la sostanza: chi sa già quali strumenti AI usa, e come, parte in vantaggio. Se vuoi fare chiarezza su come è organizzata la tua azienda dal punto di vista degli strumenti AI, raccontacelo: prima ancora di proporti un’automazione, ti aiutiamo a capire cosa hai già.

FAQ

Questo articolo ha scopo informativo e non costituisce consulenza legale.