AI Act: cosa cambia per le piccole aziende (e cosa fare)

L'AI Act (Regolamento UE 2024/1689) è la prima legge al mondo che regola l'intelligenza artificiale, ed è entrata nel vivo proprio nel 2026. Attorno alle scadenze e alle sanzioni si è creato molto allarme, e nel frattempo il calendario è stato pure rimaneggiato in corsa. Per la stragrande maggioranza delle piccole aziende, però, la situazione è più semplice di quanto sembri. Vediamo cosa è cambiato davvero.

Le date che contano, aggiornate

Il regolamento si applica per fasi, e nel 2026 il pacchetto europeo di semplificazione chiamato Digital Omnibus ne ha ridisegnato una parte:

• Febbraio 2025: vietate alcune pratiche a "rischio inaccettabile" (per esempio il social scoring) e scatta l'obbligo di alfabetizzazione, cioè personale formato sull'uso dell'AI.
• Agosto 2025: obblighi per i modelli di AI generica (i grandi modelli tipo GPT, Claude, Gemini), a carico di chi li produce, non di chi li usa.
• 2 agosto 2026: sono operativi gli obblighi di trasparenza dell'articolo 50. È la data che riguarda più da vicino chi usa l'AI in azienda.
• 2 dicembre 2026: termine entro cui adeguare alla marcatura tecnica anche i sistemi di generazione di contenuti già sul mercato prima di agosto 2026.
• 2 dicembre 2027: obblighi per i sistemi ad "alto rischio" dell'Allegato III, quelli classificati per tipo di utilizzo. Erano previsti per agosto 2026 e sono stati posticipati.
• 2 agosto 2028: obblighi per i sistemi di AI integrati in prodotti fisici regolati da altre normative europee.

Cosa chiede davvero l'articolo 50

È la parte diventata concreta questo mese, e si riassume in un principio: chi ha davanti un contenuto o un'interazione prodotta dall'AI deve poterlo sapere.

Tradotto in pratica, chi mette a disposizione un sistema che dialoga con le persone deve fare in modo che sia chiaro che dall'altra parte non c'è un essere umano. I contenuti sintetici, cioè testi, immagini, audio e video generati o manipolati dall'AI, devono essere marcati tecnicamente in modo che siano riconoscibili come tali. Chi diffonde deepfake, o contenuti destinati al pubblico su temi di interesse generale realizzati con l'AI, deve dichiararlo in modo esplicito e visibile, e l'avviso deve arrivare al momento della prima esposizione al contenuto, non nascosto in fondo alla pagina. Chi usa sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone coinvolte.

Le sanzioni per la violazione degli obblighi di trasparenza arrivano fino a 15 milioni di euro o al 3% del fatturato globale annuo, a seconda di quale valore sia più alto. Le cifre più spaventose che circolano, fino a 35 milioni o al 7%, riguardano le pratiche vietate, che sono un'altra cosa.

La buona notizia per le PMI

La legge distingue tra chi sviluppa i sistemi AI ("fornitori") e chi semplicemente li usa ("utilizzatori" o deployer). Una piccola azienda che usa un chatbot, un assistente o uno strumento AI generativo rientra quasi sempre nella seconda categoria, con obblighi molto più leggeri.

Inoltre gli usi più comuni in azienda, come automatizzare email, generare bozze di documenti o assistere i clienti, sono classificati a rischio minimo o limitato, non "alto rischio". Il rinvio al dicembre 2027 delle regole sull'alto rischio riguarda soprattutto chi fa selezione del personale, valutazione del credito e casi analoghi.

I 3 obblighi concreti, oggi

Per una piccola azienda che usa l'AI, la sostanza si riduce a tre punti:

• Niente usi vietati: la lista dei divieti riguarda casi estremi (manipolazione, riconoscimento delle emozioni sul posto di lavoro e altri), ma è bene conoscerla.
• Trasparenza: se un cliente parla con un chatbot deve poterlo capire, e i contenuti generati o modificati dall'AI vanno segnalati dove previsto. Da agosto 2026 questo è un obbligo con una sanzione dietro, non una cortesia.
• Alfabetizzazione: chi in azienda usa questi strumenti deve avere una formazione di base su cosa fanno, i limiti e i rischi.

Casi pratici per la tua azienda

In concreto: se metti un assistente virtuale sul sito, indica che è automatico, con una frase visibile fin dal primo messaggio. Se pubblichi contenuti generati dall'AI, verificali sempre prima e segnalali quando serve. Se usi immagini o video sintetici nella comunicazione, tienine conto. E se l'AI tratta dati dei clienti, assicurati che ci siano una base giuridica e misure di sicurezza adeguate, perché qui l'AI Act si intreccia con il GDPR.

Come ci muoviamo noi

Progettiamo le integrazioni AI "conformi per costruzione": trasparenza verso l'utente, controllo sui dati e tracciabilità, e formiamo il tuo team all'uso corretto degli strumenti. Così sfrutti i vantaggi dell'AI restando tranquillo sul fronte regole.

Nota: questa guida ha scopo informativo e non sostituisce una consulenza legale; per i casi specifici della tua attività conviene un parere professionale.