Guida

AI Act: quali sono gli obblighi per le aziende

L'AI Act (Regolamento UE 2024/1689) impone obblighi anche alle aziende che usano sistemi di intelligenza artificiale, non solo a chi li sviluppa: alfabetizzazione AI del personale (dal 2 febbraio 2025), trasparenza verso le persone, uso conforme alle istruzioni e sorveglianza umana. Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell'art. 50; per i sistemi ad alto rischio dell'Allegato III il termine è slittato al 2 dicembre 2027 (Regolamento UE 2026/1744).

Cos'è l'AI Act e a chi si applica

L'AI Act è il regolamento europeo sull'intelligenza artificiale (Regolamento UE 2024/1689), entrato in vigore il 1° agosto 2024 con applicazione progressiva. Adotta un approccio basato sul rischio: più il sistema AI può incidere su sicurezza e diritti delle persone, più stringenti sono gli obblighi. Il calendario è stato modificato dal Regolamento UE 2026/1744 (Digital Omnibus on AI), in vigore dal 27 luglio 2026, che ha rinviato gli obblighi sui sistemi ad alto rischio.

Il punto spesso sottovalutato è che il regolamento non riguarda solo chi sviluppa AI (i fornitori o provider): riguarda anche chi la usa in ambito professionale — i deployer. Un'azienda manifatturiera che usa un sistema AI per selezionare il personale, analizzare documenti o assistere i clienti ha obblighi propri, calibrati sul livello di rischio del sistema.

Le scadenze dell'AI Act dopo il Digital Omnibus

1 agosto 2024

Entrata in vigore del regolamento. Nessun obbligo operativo immediato, ma parte il calendario delle scadenze.

2 febbraio 2025

Si applicano i divieti sulle pratiche AI inaccettabili (manipolazione dannosa, social scoring, ecc.) e l'obbligo di alfabetizzazione AI (art. 4): chi fornisce o usa sistemi AI deve adottare misure proporzionate per sostenere la competenza AI del personale, calibrate sul contesto d'uso.

2 agosto 2025

Si applicano gli obblighi per i fornitori di modelli AI per finalità generali (GPAI, come i grandi modelli linguistici), le regole di governance e l'impianto sanzionatorio.

2 agosto 2026

Applicazione generale del regolamento: obblighi di trasparenza dell'art. 50 (chatbot, contenuti generati, deepfake) e piena operatività dei poteri di vigilanza e delle sanzioni sui fornitori GPAI. Gli obblighi per i sistemi ad alto rischio dell'Allegato III, originariamente previsti per questa data, sono stati differiti al 2 dicembre 2027 dal Regolamento (UE) 2026/1744.

2 agosto 2027

Sandbox normative nazionali operative in tutti gli Stati membri (art. 57) e termine di adeguamento per i modelli GPAI immessi sul mercato prima di agosto 2025.

2 dicembre 2027

Obblighi per i sistemi ad alto rischio dell'Allegato III (selezione del personale, credito, istruzione, infrastrutture critiche), rinviati dal Digital Omnibus.

2 agosto 2028

Obblighi per i sistemi ad alto rischio integrati in prodotti regolamentati (Allegato I, es. dispositivi medici, macchinari).

Gli obblighi per chi usa l'AI in azienda (deployer)

Per la maggior parte delle aziende italiane il ruolo rilevante è quello di deployer: si usa un sistema AI fornito da altri. Due obblighi valgono già oggi — l'alfabetizzazione AI (dal 2 febbraio 2025) e la trasparenza dell'art. 50 (dal 2 agosto 2026). Gli altri riguardano i soli sistemi ad alto rischio e si applicano dal 2 dicembre 2027 per l'Allegato III:

Alfabetizzazione AI (art. 4): adottare misure proporzionate perché chi usa i sistemi AI sviluppi competenze adeguate al contesto d'uso — formazione documentata, non generica.
Uso conforme: impiegare i sistemi ad alto rischio secondo le istruzioni del fornitore, con sorveglianza umana affidata a persone competenti (sistemi ad alto rischio, dal 2 dicembre 2027).
Qualità degli input: per i sistemi ad alto rischio, assicurare che i dati di input siano pertinenti e rappresentativi rispetto alla finalità (sistemi ad alto rischio, dal 2 dicembre 2027).
Monitoraggio e segnalazione: sorvegliare il funzionamento, sospendere l'uso in caso di rischi e segnalare gli incidenti gravi (sistemi ad alto rischio, dal 2 dicembre 2027).
Informazione dei lavoratori: prima di usare sistemi AI ad alto rischio sul posto di lavoro (es. nella selezione o valutazione del personale), informare i lavoratori e le loro rappresentanze (sistemi ad alto rischio, dal 2 dicembre 2027).
Trasparenza (art. 50): rendere riconoscibile l'interazione con un sistema AI (es. chatbot) e i contenuti generati o manipolati artificialmente (es. deepfake).

Sistemi ad alto rischio: quando riguardano anche una PMI

L'Allegato III elenca gli ambiti in cui un sistema AI è considerato ad alto rischio. Alcuni toccano da vicino anche le PMI: selezione e valutazione del personale (screening dei CV, valutazione dei candidati o dei dipendenti), accesso al credito, istruzione e formazione, gestione di infrastrutture critiche.

L'esempio più concreto: un'azienda che usa un software AI per filtrare i CV è deployer di un sistema ad alto rischio, con gli obblighi visti sopra — dalla sorveglianza umana all'informazione dei lavoratori. Questi obblighi diventano applicabili dal 2 dicembre 2027, termine differito dal Regolamento (UE) 2026/1744: il rinvio è un'occasione per censire e classificare i sistemi ora, non un motivo per rimandare.

Cosa fare adesso: la checklist per l'azienda

Censire i sistemi AI già in uso, inclusi quelli "entrati dal basso" (assistenti AI usati dai singoli, funzioni AI dentro software esistenti).
Classificare ogni sistema per livello di rischio, con attenzione agli usi in ambito HR e credito.
Formare il personale: l'alfabetizzazione AI dell'art. 4 è già applicabile — e una formazione pratica per ruolo la soddisfa producendo anche produttività.
Adottare una policy d'uso interna: quali strumenti sono ammessi, per quali dati, con quali controlli.
Verificare i fornitori: contratti e documentazione dei sistemi AI acquistati (istruzioni d'uso, conformità dichiarata).
Rendere trasparenti chatbot e contenuti generati verso clienti e dipendenti.

FAQ

AI Act: obblighi per le aziende — domande frequenti

L'AI Act si applica anche alle PMI?

Sì. Gli obblighi valgono per chiunque fornisca o usi sistemi AI in ambito professionale, incluse le PMI. Il regolamento prevede alcune semplificazioni e sanzioni ridotte per le piccole imprese, ma non un'esenzione: alfabetizzazione del personale e trasparenza valgono per tutti.

Usiamo solo ChatGPT o Copilot: abbiamo comunque obblighi?

Sì, ma proporzionati: l'obbligo di alfabetizzazione AI del personale (art. 4), la trasparenza quando un contenuto generato viene pubblicato come autentico e una policy d'uso interna per proteggere dati e riservatezza. Gli obblighi pesanti dei modelli GPAI ricadono sui fornitori, non su chi li usa.

Cosa rischia un'azienda che non si adegua all'AI Act?

Sanzioni fino a 35 milioni di euro o al 7% del fatturato per le pratiche vietate, fino a 15 milioni o al 3% per gli altri obblighi (per le PMI si applica l'importo più basso). Oltre alle sanzioni, contano i rischi operativi: contestazioni dei lavoratori, contenziosi con clienti, danno reputazionale.

La formazione AI del personale è obbligatoria?

L'art. 4 dell'AI Act, applicabile dal 2 febbraio 2025, chiede di adottare misure proporzionate per l'alfabetizzazione AI del personale; il testo, come modificato nel 2026, non impone di garantire un livello specifico per ciascuna persona. Non prescrive un corso: chiede misure concrete e documentabili — una formazione pratica è il modo più diretto per dimostrarle.

Da quando si applicano gli obblighi per i sistemi ad alto rischio?

Dal 2 dicembre 2027 per i sistemi ad alto rischio dell'Allegato III (selezione del personale, credito, istruzione, infrastrutture critiche) e dal 2 agosto 2028 per quelli integrati in prodotti regolamentati dell'Allegato I (es. dispositivi medici, macchinari). Le date originarie — 2 agosto 2026 e 2 agosto 2027 — sono state differite dal Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026. Restano applicabili da subito i divieti sulle pratiche vietate, l'alfabetizzazione AI e, dal 2 agosto 2026, gli obblighi di trasparenza dell'art. 50.