# AI Act: quali sono gli obblighi per le aziende

> Seika Innovation Srl — versione markdown per la lettura automatica.
> Pagina canonica: https://www.seikainnovation.com/risorse/ai-act-obblighi-aziende

L'AI Act (Regolamento UE 2024/1689) impone obblighi anche alle aziende che usano sistemi di intelligenza artificiale, non solo a chi li sviluppa: alfabetizzazione AI del personale (dal 2 febbraio 2025), trasparenza verso le persone, uso conforme alle istruzioni e sorveglianza umana. Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell'art. 50; per i sistemi ad alto rischio dell'Allegato III il termine è slittato al 2 dicembre 2027 (Regolamento UE 2026/1744).

Pubblicato: 2026-08-24 · Aggiornato: 2026-08-24

## Cos'è l'AI Act e a chi si applica

L'AI Act è il regolamento europeo sull'intelligenza artificiale (Regolamento UE 2024/1689), entrato in vigore il 1° agosto 2024 con applicazione progressiva. Adotta un approccio basato sul rischio: più il sistema AI può incidere su sicurezza e diritti delle persone, più stringenti sono gli obblighi. Il calendario è stato modificato dal Regolamento UE 2026/1744 (Digital Omnibus on AI), in vigore dal 27 luglio 2026, che ha rinviato gli obblighi sui sistemi ad alto rischio.

Il punto spesso sottovalutato è che il regolamento non riguarda solo chi sviluppa AI (i fornitori o provider): riguarda anche chi la usa in ambito professionale — i deployer. Un'azienda manifatturiera che usa un sistema AI per selezionare il personale, analizzare documenti o assistere i clienti ha obblighi propri, calibrati sul livello di rischio del sistema.

## Le scadenze dell'AI Act dopo il Digital Omnibus

1. **1 agosto 2024** — Entrata in vigore del regolamento. Nessun obbligo operativo immediato, ma parte il calendario delle scadenze.
2. **2 febbraio 2025** — Si applicano i divieti sulle pratiche AI inaccettabili (manipolazione dannosa, social scoring, ecc.) e l'obbligo di alfabetizzazione AI (art. 4): chi fornisce o usa sistemi AI deve adottare misure proporzionate per sostenere la competenza AI del personale, calibrate sul contesto d'uso.
3. **2 agosto 2025** — Si applicano gli obblighi per i fornitori di modelli AI per finalità generali (GPAI, come i grandi modelli linguistici), le regole di governance e l'impianto sanzionatorio.
4. **2 agosto 2026** — Applicazione generale del regolamento: obblighi di trasparenza dell'art. 50 (chatbot, contenuti generati, deepfake) e piena operatività dei poteri di vigilanza e delle sanzioni sui fornitori GPAI. Gli obblighi per i sistemi ad alto rischio dell'Allegato III, originariamente previsti per questa data, sono stati differiti al 2 dicembre 2027 dal Regolamento (UE) 2026/1744.
5. **2 agosto 2027** — Sandbox normative nazionali operative in tutti gli Stati membri (art. 57) e termine di adeguamento per i modelli GPAI immessi sul mercato prima di agosto 2025.
6. **2 dicembre 2027** — Obblighi per i sistemi ad alto rischio dell'Allegato III (selezione del personale, credito, istruzione, infrastrutture critiche), rinviati dal Digital Omnibus.
7. **2 agosto 2028** — Obblighi per i sistemi ad alto rischio integrati in prodotti regolamentati (Allegato I, es. dispositivi medici, macchinari).

## Gli obblighi per chi usa l'AI in azienda (deployer)

Per la maggior parte delle aziende italiane il ruolo rilevante è quello di deployer: si usa un sistema AI fornito da altri. Due obblighi valgono già oggi — l'alfabetizzazione AI (dal 2 febbraio 2025) e la trasparenza dell'art. 50 (dal 2 agosto 2026). Gli altri riguardano i soli sistemi ad alto rischio e si applicano dal 2 dicembre 2027 per l'Allegato III:

- Alfabetizzazione AI (art. 4): adottare misure proporzionate perché chi usa i sistemi AI sviluppi competenze adeguate al contesto d'uso — formazione documentata, non generica.
- Uso conforme: impiegare i sistemi ad alto rischio secondo le istruzioni del fornitore, con sorveglianza umana affidata a persone competenti (sistemi ad alto rischio, dal 2 dicembre 2027).
- Qualità degli input: per i sistemi ad alto rischio, assicurare che i dati di input siano pertinenti e rappresentativi rispetto alla finalità (sistemi ad alto rischio, dal 2 dicembre 2027).
- Monitoraggio e segnalazione: sorvegliare il funzionamento, sospendere l'uso in caso di rischi e segnalare gli incidenti gravi (sistemi ad alto rischio, dal 2 dicembre 2027).
- Informazione dei lavoratori: prima di usare sistemi AI ad alto rischio sul posto di lavoro (es. nella selezione o valutazione del personale), informare i lavoratori e le loro rappresentanze (sistemi ad alto rischio, dal 2 dicembre 2027).
- Trasparenza (art. 50): rendere riconoscibile l'interazione con un sistema AI (es. chatbot) e i contenuti generati o manipolati artificialmente (es. deepfake).

## Sistemi ad alto rischio: quando riguardano anche una PMI

L'Allegato III elenca gli ambiti in cui un sistema AI è considerato ad alto rischio. Alcuni toccano da vicino anche le PMI: selezione e valutazione del personale (screening dei CV, valutazione dei candidati o dei dipendenti), accesso al credito, istruzione e formazione, gestione di infrastrutture critiche.

L'esempio più concreto: un'azienda che usa un software AI per filtrare i CV è deployer di un sistema ad alto rischio, con gli obblighi visti sopra — dalla sorveglianza umana all'informazione dei lavoratori. Questi obblighi diventano applicabili dal 2 dicembre 2027, termine differito dal Regolamento (UE) 2026/1744: il rinvio è un'occasione per censire e classificare i sistemi ora, non un motivo per rimandare.

## Le sanzioni previste dall'AI Act

Il regime sanzionatorio è proporzionato alla gravità: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate; fino a 15 milioni o al 3% per la violazione degli altri obblighi; fino a 7,5 milioni o all'1% per informazioni scorrette alle autorità. Per le PMI si applica, in ciascuna fascia, l'importo più basso tra i due.

## Cosa fare adesso: la checklist per l'azienda

- Censire i sistemi AI già in uso, inclusi quelli "entrati dal basso" (assistenti AI usati dai singoli, funzioni AI dentro software esistenti).
- Classificare ogni sistema per livello di rischio, con attenzione agli usi in ambito HR e credito.
- Formare il personale: l'alfabetizzazione AI dell'art. 4 è già applicabile — e una formazione pratica per ruolo la soddisfa producendo anche produttività.
- Adottare una policy d'uso interna: quali strumenti sono ammessi, per quali dati, con quali controlli.
- Verificare i fornitori: contratti e documentazione dei sistemi AI acquistati (istruzioni d'uso, conformità dichiarata).
- Rendere trasparenti chatbot e contenuti generati verso clienti e dipendenti.

## Domande frequenti

### L'AI Act si applica anche alle PMI?

Sì. Gli obblighi valgono per chiunque fornisca o usi sistemi AI in ambito professionale, incluse le PMI. Il regolamento prevede alcune semplificazioni e sanzioni ridotte per le piccole imprese, ma non un'esenzione: alfabetizzazione del personale e trasparenza valgono per tutti.

### Usiamo solo ChatGPT o Copilot: abbiamo comunque obblighi?

Sì, ma proporzionati: l'obbligo di alfabetizzazione AI del personale (art. 4), la trasparenza quando un contenuto generato viene pubblicato come autentico e una policy d'uso interna per proteggere dati e riservatezza. Gli obblighi pesanti dei modelli GPAI ricadono sui fornitori, non su chi li usa.

### Cosa rischia un'azienda che non si adegua all'AI Act?

Sanzioni fino a 35 milioni di euro o al 7% del fatturato per le pratiche vietate, fino a 15 milioni o al 3% per gli altri obblighi (per le PMI si applica l'importo più basso). Oltre alle sanzioni, contano i rischi operativi: contestazioni dei lavoratori, contenziosi con clienti, danno reputazionale.

### La formazione AI del personale è obbligatoria?

L'art. 4 dell'AI Act, applicabile dal 2 febbraio 2025, chiede di adottare misure proporzionate per l'alfabetizzazione AI del personale; il testo, come modificato nel 2026, non impone di garantire un livello specifico per ciascuna persona. Non prescrive un corso: chiede misure concrete e documentabili — una formazione pratica è il modo più diretto per dimostrarle.

### Da quando si applicano gli obblighi per i sistemi ad alto rischio?

Dal 2 dicembre 2027 per i sistemi ad alto rischio dell'Allegato III (selezione del personale, credito, istruzione, infrastrutture critiche) e dal 2 agosto 2028 per quelli integrati in prodotti regolamentati dell'Allegato I (es. dispositivi medici, macchinari). Le date originarie — 2 agosto 2026 e 2 agosto 2027 — sono state differite dal Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026. Restano applicabili da subito i divieti sulle pratiche vietate, l'alfabetizzazione AI e, dal 2 agosto 2026, gli obblighi di trasparenza dell'art. 50.

*Questa guida ha finalità informative e riflette il quadro normativo al 24 agosto 2026, inclusa la modifica introdotta dal Regolamento (UE) 2026/1744 (Digital Omnibus on AI): non sostituisce una consulenza legale. Riferimenti: Regolamento UE 2024/1689, come modificato dal Regolamento UE 2026/1744, artt. 4, 26, 50, 99 e 113. Per l'applicazione al caso specifico è consigliabile coinvolgere un legale specializzato.*

## Per approfondire

- [Digital Omnibus: cosa cambia nell'AI Act per le aziende](https://www.seikainnovation.com/risorse/digital-omnibus-ai-act-cosa-cambia)
- [Formazione AI per aziende: l'alfabetizzazione dell'art. 4](https://www.seikainnovation.com/servizi/formazione-ai)
- [Come implementare l'AI in azienda: la guida in 7 fasi](https://www.seikainnovation.com/risorse/implementare-ai-azienda)
- [AI Assessment: censire processi e casi d'uso AI](https://www.seikainnovation.com/servizi/ai-assessment)