AI Act per le PMI: cosa cambia, gli obblighi e le scadenze aggiornate al 2026

Un commercialista che conosco usa ChatGPT ogni giorno per redigere preventivi e rispondere alle email dei clienti. Il suo gestionale ha funzioni di categorizzazione automatica delle fatture. Sul sito ha attivato un risponditore automatico. Quando gli ho chiesto se avesse verificato come l’AI Act si applica alla sua attività, la risposta è stata immediata: «Ma io non sviluppo intelligenza artificiale, non mi riguarda».

E invece lo riguarda. Il Regolamento UE 2024/1689 sull’intelligenza artificiale, in vigore dal 1° agosto 2024, non si applica solo a chi costruisce sistemi AI ma si applica anche a chi li usa nell’esercizio di un’attività professionale o imprenditoriale. Questa è la distinzione che quasi nessuno ha chiaro, ed è il punto di partenza per capire quali obblighi si applicano davvero a una PMI o a uno studio professionale.

Le scadenze originali sono poi cambiate: un accordo politico provvisorio del maggio 2026 — il cosiddetto AI omnibus — ha posticipato alcune date significative. Il risultato è che molti credono che l’AI Act sia stato rimandato tutto, quando in realtà solo una parte è slittata ma quello che scade il 2 agosto 2026 non è stato rinviato.

Cos’è l’AI Act e chi riguarda

L’AI Act è il primo regolamento al mondo che stabilisce regole vincolanti sull’intelligenza artificiale. Non è una direttiva: è un regolamento europeo, direttamente applicabile in tutti gli Stati membri senza recepimento nazionale. L’approccio è basato sul rischio: le regole più stringenti si applicano ai sistemi AI più pericolosi, mentre chi usa strumenti di rischio basso o minimo ha obblighi molto più leggeri.

Il regolamento copre chiunque — azienda, studio professionale, ente pubblico — metta sul mercato o utilizzi sistemi AI nell’Unione Europea, indipendentemente da dove ha sede il fornitore del sistema. Se usi ChatGPT, Copilot, un CRM con scoring automatico o un chatbot sul tuo sito, sei già nel perimetro del regolamento.

Provider vs deployer

La distinzione che fa più differenza, in pratica, è quella tra provider e deployer.

Il provider è chi sviluppa un sistema AI e lo immette sul mercato: OpenAI, Microsoft, Google, ma anche il fornitore del tuo gestionale se ha integrato funzioni AI nel prodotto. Il deployer è chi usa quel sistema AI in un contesto professionale: uno studio legale che usa un AI per analizzare contratti, un commercialista che usa ChatGPT per redigere documenti fiscali.

La quasi totalità delle PMI e degli studi professionali è deployer, non provider. Gli obblighi sono meno stringenti, ma esistono e sono già parzialmente in vigore. Il malinteso più comune è credere che il regolamento riguardi solo chi costruisce l’AI — e invece riguarda anche chi la usa al lavoro.

Le scadenze aggiornate dopo l’AI omnibus

Il testo originale dell’AI Act prevedeva scadenze scaglionate nel tempo. A novembre 2025 la Commissione europea ha pubblicato una proposta di modifica — il pacchetto Digital Omnibus — per semplificare alcuni obblighi e spostarne le scadenze. Un accordo politico provvisorio è stato raggiunto tra Parlamento e Consiglio il 7 maggio 2026; il Parlamento europeo lo ha formalmente approvato il 16 giugno 2026. Manca l’adozione formale del Consiglio UE prima che le modifiche entrino in vigore.

L’AI omnibus non ha rimandato tutto. Ha posticipato specificamente le scadenze per i sistemi ad alto rischio, che non riguardano la quotidianità operativa della maggior parte delle PMI. Il resto del calendario è rimasto invariato.

Le date confermate, in vigore o imminenti:

• 2 febbraio 2025 — già in vigore: divieto delle pratiche a rischio inaccettabile (social scoring da parte di enti pubblici, manipolazione subliminale, sfruttamento di vulnerabilità, riconoscimento emotivo in luoghi di lavoro e istruzione, scraping facciale non mirato) + obbligo di alfabetizzazione AI per i dipendenti (art. 4)
• 2 agosto 2025 — già in vigore: regole sui modelli AI per uso generale (GPAI, come i grandi modelli linguistici) e strutture di governance e vigilanza
• 2 agosto 2026 — tra poche settimane: obblighi di trasparenza (art. 50) — dichiarare agli utenti quando interagiscono con un’AI, identificare i contenuti generati da AI
• 2 dicembre 2026: watermarking obbligatorio per contenuti audio, immagini, video e testi generati da AI + due nuovi divieti su deepfake non consensuali e materiale abusivo

Il rinvio delle regole sull’alto rischio (2027–2028)

I sistemi AI classificati come ad alto rischio sono quelli usati in ambiti sensibili: selezione e valutazione del personale, scoring creditizio, accesso a servizi pubblici, istruzione e formazione professionale, infrastrutture critiche, amministrazione della giustizia. Per questi sistemi l’AI Act prevede obblighi stringenti — gestione del rischio, qualità dei dati, documentazione tecnica, sorveglianza umana, registrazione nei database ufficiali.

L’AI omnibus ha rinviato queste scadenze. I sistemi ad alto rischio dell’Allegato III — quelli classificati per tipo di uso, come i sistemi HR o di scoring creditizio — passano ora al 2 dicembre 2027 (invece del 2 agosto 2026 originariamente previsto). I sistemi dell’Allegato I — quelli integrati in prodotti già soggetti a normative di sicurezza, come dispositivi medici, macchinari industriali e ascensori — passano al 2 agosto 2028.

Il rinvio è reale, ma non è un via libera. Chi usa AI per selezione del personale o scoring creditizio ha ancora un anno e mezzo per adeguarsi — il che significa che il momento per guardare alla propria situazione è adesso, non nel 2027.

Cosa deve fare chi usa l’IA (deployer)

Per un deployer — PMI, studio professionale, artigiano — ci sono due obblighi ora e uno in arrivo ad agosto.

Il primo è l’alfabetizzazione AI. L’articolo 4 del regolamento, in vigore dal 2 febbraio 2025, impone a provider e deployer di garantire che il personale che usa sistemi AI abbia un livello adeguato di competenza. Non serve una certificazione formale. Serve che chi usa uno strumento AI per lavoro sappia cosa può sbagliare, quando non fidarsi del risultato, e come gestire i dati in modo corretto. Un percorso formativo documentato — anche breve — è sufficiente per dimostrare di essere in regola.

Il secondo obbligo riguarda la trasparenza verso terzi, e scatta il 2 agosto 2026.

Cosa cambia dal 2 agosto 2026

L’articolo 50 introduce obblighi di trasparenza per chiunque metta un sistema AI in contatto con utenti finali. Se hai un chatbot sul sito o un risponditore automatico: da quella data devi informare l’utente che sta interagendo con un sistema AI, in modo chiaro, prima o all’inizio dell’interazione.

Non basta un disclaimer nelle note legali. L’informazione deve essere visibile nel momento in cui avviene il contatto. Lo stesso vale per i contenuti generati da AI — audio, immagini, video, testo — che potrebbero essere scambiati per materiale umano: dovranno essere marcati come AI-generated con modalità leggibili da macchina. Questo obbligo (watermarking) diventa operativo da dicembre 2026.

In pratica: fai un elenco degli strumenti AI che i tuoi clienti usano come controparte, poi chiedi ai fornitori come gestiscono la dichiarazione. Spesso è il provider a doverlo fare, non il deployer. Documenta di aver verificato. Se stai usando un chatbot di terze parti sul sito, la domanda da fare è: come dichiara all’utente che sta parlando con un’AI?

Sanzioni e proporzionalità per le PMI

Le sanzioni previste dall’AI Act sono graduate in funzione della gravità della violazione e delle dimensioni dell’organizzazione. Per le violazioni più gravi — uso di pratiche espressamente vietate — la sanzione massima è di 35 milioni di euro o il 7% del fatturato mondiale annuo, se superiore. Per violazioni sugli obblighi ad alto rischio: fino a 15 milioni o il 3%. Per informazioni false alle autorità: fino a 7,5 milioni o l’1%.

Le PMI non sono esenti. Le sanzioni vengono comunque applicate, ma con un margine di giudizio che le grandi aziende non hanno: il regolamento chiede esplicitamente di calibrare le sanzioni sulle risorse dell’organizzazione. Una PMI che usa ChatGPT senza aver formato i dipendenti non si trova nella stessa posizione di un’azienda tech che usa sistemi di riconoscimento facciale non autorizzati. La proporzionalità è uno strumento di graduazione, non un’esenzione.

Una nota necessaria: questo articolo descrive la struttura generale degli obblighi, non fornisce consulenza legale. Per valutare la propria situazione specifica, è utile un confronto con un professionista.

Conclusioni

L’AI Act riguarda chi usa l’AI, non solo chi la costruisce. Per una PMI o uno studio professionale, questo significa due cose pratiche adesso: formare chi usa strumenti AI al lavoro (già obbligatorio da febbraio 2025) e prepararsi per la trasparenza verso gli utenti che scatta il 2 agosto 2026. Le regole sugli usi ad alto rischio sono state spostate al 2027-2028 — ma se usi AI per selezione del personale o scoring creditizio, inizia a guardarci prima. I titoli dei giornali sull’AI Act esagerano quasi sempre. Il testo del regolamento, letto con calma, è molto più specifico e molto meno apocalittico.

Se vuoi capire cosa si applica alla tua attività senza navigare da solo tra regolamenti e scadenze, ho preparato una lezione gratuita in italiano, senza legalese, pensata per chi usa l’AI nel lavoro quotidiano e vuole capire dove si trova. Prenota la lezione gratuita e partiamo da dove sei.