AI Act: cosa cambia per le piccole aziende (e cosa fare)

L'AI Act, il Regolamento UE 2024/1689, è la prima legge al mondo che regola l'intelligenza artificiale, e nel 2026 è entrato nel vivo. Attorno alle scadenze e alle sanzioni si è creato molto allarme, e nel frattempo il calendario è stato ridisegnato dal Regolamento UE 2026/1744, il cosiddetto Digital Omnibus, in vigore dal 27 luglio 2026. A questo si aggiunge la legge italiana sull'intelligenza artificiale, con i suoi decreti attuativi. Per la grande maggioranza delle piccole aziende, però, il quadro è più semplice di quanto sembri: chi usa l'AI per scrivere, rispondere ai clienti o automatizzare documenti ha pochi obblighi, chiari e alla portata. Questa guida è aggiornata a ottobre 2026.

Le date che contano, aggiornate

Il regolamento si applica per fasi, e dopo il Digital Omnibus il calendario è questo:

• 2 febbraio 2025: vietate le pratiche a rischio inaccettabile, come il social scoring, e dovere delle aziende di curare l'alfabetizzazione del personale sull'AI;
• 2 agosto 2025: obblighi per i modelli di AI generica, a carico di chi li sviluppa, non di chi li usa;
• 2 agosto 2026: operativi gli obblighi di trasparenza dell'articolo 50, la data che riguarda più da vicino chi usa l'AI in azienda;
• 2 dicembre 2026: marcatura tecnica obbligatoria anche per i sistemi di generazione di contenuti già sul mercato prima di agosto, e nuovi divieti sulle immagini intime generate senza consenso;
• 2 dicembre 2027: obblighi per i sistemi ad alto rischio dell'Allegato III, come quelli usati per selezionare il personale o valutare il credito;
• 2 agosto 2028: obblighi per i sistemi di AI integrati in prodotti regolati da altre norme europee, come macchinari e dispositivi medici.

Cosa chiede davvero l'articolo 50

Il principio è uno: chi ha davanti un'interazione o un contenuto prodotto dall'AI deve poterlo sapere. Chi mette a disposizione un sistema che dialoga con le persone, come un chatbot sul sito, deve far capire che dall'altra parte non c'è un essere umano. Le linee guida della Commissione europea, il cui testo è stato approvato a luglio 2026, sono esplicite: l'avviso va dato alla prima interazione, non basta inserirlo nelle condizioni d'uso o chiamare il bot genericamente "assistente", e un servizio clienti non è uno di quei casi in cui la natura artificiale si considera ovvia. Chi costruisce un chatbot e lo offre con il proprio nome è considerato fornitore, non semplice utilizzatore.

Per i contenuti, i testi, le immagini, gli audio e i video generati dall'AI devono essere marcati tecnicamente da chi produce i sistemi, e chi pubblica deepfake o testi generati dall'AI su temi di interesse pubblico deve dichiararlo in modo visibile. Le sanzioni per chi viola gli obblighi di trasparenza arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale, ma per le PMI si applica il valore più basso dei due. Le cifre che circolano di più, fino a 35 milioni o al 7%, riguardano le pratiche vietate, che sono un'altra cosa.

Alfabetizzazione: cosa è cambiato

Fino a luglio 2026 il regolamento chiedeva di garantire un livello sufficiente di alfabetizzazione del personale. Il Digital Omnibus ha ammorbidito la formula: oggi le aziende devono adottare misure per sostenere lo sviluppo delle competenze di chi usa l'AI, senza un livello specifico da certificare, e la Commissione e gli Stati devono aiutare le PMI con esempi pratici. Resta quindi un dovere, ma ragionevole: spiegare a chi usa questi strumenti cosa fanno, dove sbagliano e quali dati non vanno inseriti, cosa che conviene fare comunque.

La legge italiana e il decreto del 23 ottobre

In Italia dal 10 ottobre 2025 è in vigore la legge 132/2025 sull'intelligenza artificiale. Per le aziende contano soprattutto due punti: il datore di lavoro deve informare i dipendenti quando usa sistemi di AI nei casi previsti dalla normativa sul lavoro, e i professionisti intellettuali possono usare l'AI solo come supporto alla propria attività, informando i clienti in modo chiaro. La stessa legge ha introdotto il reato di diffusione illecita di deepfake dannosi.

Il 23 ottobre 2026 entra in vigore il decreto legislativo 179/2026, che attua l'AI Act in Italia. Stabilisce le sanzioni, allineate ai massimi europei e con il valore più basso per PMI e startup innovative, e prevede che per le violazioni minori l'autorità possa ordinare di mettersi in regola invece di multare. Soprattutto, fissa un principio che riguarda ogni azienda con dipendenti: le decisioni su assunzioni, cambi di mansione, licenziamenti, provvedimenti disciplinari e valutazioni delle prestazioni non possono basarsi solo su un trattamento automatizzato, l'ultima parola deve essere di una persona, e un licenziamento deciso in violazione di questa regola è nullo.

La buona notizia per le PMI

La legge distingue tra chi sviluppa i sistemi di AI, i fornitori, e chi li usa, gli utilizzatori. Una piccola azienda che usa un assistente, un chatbot di un servizio esterno o uno strumento di AI generativa rientra quasi sempre nella seconda categoria, con obblighi molto più leggeri. Gli usi più comuni, come scrivere bozze di documenti, riassumere email, rispondere a domande frequenti o leggere ordini e DDT, sono a rischio minimo o limitato, non alto. E il Digital Omnibus ha introdotto per PMI e piccole mid-cap documentazione semplificata e sanzioni proporzionate alla loro dimensione.

In pratica, per una piccola azienda che usa l'AI oggi la sostanza si riduce a pochi punti: non usarla per pratiche vietate, dichiarare l'AI ai clienti quando parlano con un sistema automatico e quando si pubblicano contenuti sintetici dove previsto, curare la formazione di base di chi la usa, informare i dipendenti nei casi previsti e lasciare sempre a una persona le decisioni che li riguardano.

Casi pratici

Se metti un assistente virtuale sul sito, scrivi in modo visibile fin dal primo messaggio che è un sistema automatico, come facciamo noi nell'intervista con cui accogliamo le nuove richieste. Se pubblichi immagini o video generati dall'AI nella comunicazione, verifica che siano marcati e, se rappresentano persone o fatti reali, dichiaralo. Se usi l'AI per filtrare candidature o valutare i dipendenti, fermati e fatti consigliare: è proprio l'area dove arrivano gli obblighi più pesanti, e dove il decreto italiano richiede già oggi una decisione umana. E se l'AI tratta dati dei clienti, l'AI Act si intreccia con il GDPR: ne parliamo nella guida su AI e dati dei clienti, mentre per le regole interne c'è la guida sulla policy AI aziendale. Se il tuo caso è un assistente per i clienti, la guida sui chatbot AI entra nel dettaglio di costi e trasparenza.

Il nostro approccio

Progettiamo le integrazioni di intelligenza artificiale in modo che siano conformi fin dall'inizio: trasparenza verso chi le usa, controllo sui dati, tracciabilità di quello che fanno e una persona che decide dove serve. E affianchiamo la parte organizzativa, dalla formazione del team alle regole interne scritte in italiano comprensibile. È il modo in cui lavoriamo nei progetti di integrazione dell'AI per le aziende di Padova e provincia.

Nota: questa guida ha scopo informativo e non sostituisce una consulenza legale; per i casi specifici della tua attività conviene un parere professionale.