AI Act: cos'è, a chi si applica e le scadenze

L'AI Act riguarda le imprese molto più di quanto pensino. Anche la tua, se in ufficio qualcuno usa ChatGPT per scrivere le email ai clienti o se il gestionale "con intelligenza artificiale" ti suggerisce chi richiamare. In questo primo capitolo della serie vediamo cos'è il regolamento, chi tocca, che cosa conta come sistema di IA e soprattutto quali scadenze valgono oggi, dopo le modifiche approvate nel 2026.

Parto da una premessa onesta: ti do una sintesi per orientarti, non un parere legale.

Vuoi tutto in un unico documento? La guida completa all'AI Act in PDF raccoglie le quattro parti, la mappa degli adempimenti, le checklist e i template da stampare. Si scarica gratis: ti basta compilare un breve modulo.

Che cos'è l'AI Act, detto semplice

È il Regolamento (UE) 2024/1689, il primo quadro di regole organico al mondo dedicato all'intelligenza artificiale. Pubblicato in Gazzetta ufficiale il 12 luglio 2024, è entrato in vigore il 1° agosto 2024. Essendo un regolamento, vale direttamente in tutti gli Stati membri. Per te significa che si applica così com'è, senza aspettare una legge italiana di recepimento.

L'idea di fondo è la proporzionalità. Non tutta l'IA viene trattata allo stesso modo: più un sistema può fare danni alle persone, più obblighi ha chi lo produce e chi lo usa. Il tuo filtro antispam non è un software che decide chi assumere. E la legge lo sa.

Due cose che ti conviene tenere a mente fin da subito:

Non sostituisce le altre norme. GDPR, diritto del lavoro, tutela dei consumatori e sicurezza dei prodotti continuano a valere anche per te, una accanto all'altra.
Ha effetto anche fuori dall'Europa. Come il GDPR, vincola anche i fornitori extra UE quando l'output del loro sistema viene usato nell'Unione.

Se vuoi controllare una data o un articolo, il testo ufficiale è su EUR-Lex. Lungo, sì. Ma è l'unica fonte che fa fede. Se ti basta una panoramica veloce su obblighi ed errori, c'è anche il mio articolo AI Act per le imprese: obblighi reali ed errori comuni; questa serie scende nei dettagli, un tema alla volta.

AI Act e imprese: tu sei fornitore o deployer?

Qui si gioca quasi tutto. Gli obblighi non pesano su un unico soggetto: si distribuiscono lungo la catena del valore, e il primo lavoro è capire in che punto sei tu.

| Ruolo | Chi è | Esempio tipico | | --- | --- | --- | | Fornitore | Sviluppa un sistema o un modello di IA, o lo fa sviluppare, e lo mette sul mercato con il proprio nome | La software house che vende un tool di screening dei CV | | Deployer | Usa un sistema di IA sotto la propria autorità, in un'attività professionale | La PMI che usa quel tool per selezionare il personale | | Importatore | Porta sul mercato UE un sistema con il marchio di un operatore extra UE | Il rivenditore italiano di una piattaforma americana | | Distributore | Mette a disposizione il sistema, senza essere fornitore né importatore | Il system integrator che lo installa |

La maggior parte delle imprese e dei professionisti è deployer. Compri o sottoscrivi strumenti fatti da altri: un assistente di scrittura, un CRM con funzioni predittive, un chatbot sul sito. I tuoi obblighi da deployer sono più leggeri di quelli del fornitore. Leggeri, però, non vuol dire inesistenti.

Attenzione a un dettaglio che sfugge spesso. Il ruolo può cambiare. Se modifichi in modo sostanziale un sistema ad alto rischio, ne cambi la finalità prevista o lo rivendi con il tuo marchio, l'articolo 25 ti sposta nella casella del fornitore. Con tutto quello che ne segue.

Guarda il caso più comune nelle agenzie e nelle software house piccole: prendi un modello generativo via API, ci costruisci sopra un assistente per i clienti e lo vendi col tuo logo. A quel punto non stai solo "usando" l'IA. La stai mettendo sul mercato.

Cosa conta come "sistema di IA"

Prima ancora del rischio, c'è una domanda preliminare: quello che usi è davvero un sistema di IA secondo il regolamento? Se no, l'AI Act non ti riguarda per quello strumento.

L'articolo 3, punto 1, ti dà la definizione. Cinque ingredienti:

Automatizzato: elabora dati senza un operatore che fa i conti a mano.
Autonomia variabile: lavora con un certo grado di indipendenza dall'intervento umano.
Adattabilità (eventuale): può imparare anche dopo essere stato messo in servizio.
Inferenza: deduce dall'input come generare un output, andando oltre l'esecuzione di regole scritte da una persona.
Influenza: le previsioni, i contenuti, le raccomandazioni o le decisioni che produce incidono su ambienti fisici o virtuali.

Il quarto punto è quello che fa la differenza. Un foglio Excel con dieci formule SE che hai scritto tu tende a restare fuori. Un modello che stima la probabilità che un cliente non paghi, imparando dallo storico, ci sta dentro in pieno. In mezzo ci sono casi grigi, e vanno valutati uno per uno: la Commissione ha pubblicato orientamenti apposta.

Le scadenze dell'AI Act: cosa vale oggi (novembre 2026)

Qui ti serve precisione, perché il quadro è cambiato. Il 24 luglio 2026 è stato pubblicato il Regolamento (UE) 2026/1744, il cosiddetto Omnibus digitale sull'IA, in vigore dal 27 luglio 2026. Ha spostato alcune date e lasciato intatte le altre.

| Data | Cosa si applica | Stato | | --- | --- | --- | | 2 febbraio 2025 | Pratiche vietate (art. 5) e alfabetizzazione in materia di IA (art. 4) | In vigore | | 2 agosto 2025 | Obblighi per i modelli per finalità generali (GPAI), governance, sanzioni | In vigore | | 2 agosto 2026 | Gran parte del regolamento, inclusi gli obblighi di trasparenza dell'art. 50 | In vigore | | 2 dicembre 2026 | Nuovi divieti sui deepfake intimi non consensuali e sul materiale di abuso su minori; marcatura dei contenuti sintetici per i sistemi già sul mercato prima del 2 agosto 2026 | Imminente | | 2 dicembre 2027 | Obblighi per i sistemi ad alto rischio dell'Allegato III (lavoro, credito, istruzione...) | Rinviato dal 2026 | | 2 agosto 2028 | Obblighi per l'alto rischio "da prodotto" dell'Allegato I (macchine, dispositivi medici...) | Rinviato dal 2027 |

Il rinvio è una buona notizia solo a metà. Divieti, alfabetizzazione e trasparenza sono già in vigore, e per un deployer come te sono proprio gli obblighi che contano di più nella vita di tutti i giorni. Chi legge "AI Act rinviato" e si rimette a dormire sta sbagliando lettura.

C'è anche un tassello italiano. La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, ha affiancato al regolamento europeo regole nazionali e ha indicato AgID e ACN come autorità nazionali per l'intelligenza artificiale. L'ACN la conosci già se hai letto la mia pagina su NIS2 e GDPR: è la stessa Agenzia per la Cybersicurezza Nazionale. Non è un caso. Sicurezza informatica e IA, da qui in avanti, viaggiano insieme.

Consigli da esperto di cybersecurity: la shadow AI

Per un motivo pratico. Nelle PMI che seguo, e forse anche nella tua, il primo problema dell'IA non è giuridico: è la shadow AI. Dipendenti che incollano contratti, buste paga o codice sorgente in un chatbot gratuito, con un account personale, senza che nessuno lo sappia.

Il regolamento chiede ai sistemi ad alto rischio un livello adeguato di cibersicurezza (articolo 15), con riferimento esplicito ad attacchi come il data poisoning e gli esempi avversari. Ma anche senza arrivare all'alto rischio, l'inventario degli strumenti che l'AI Act ti spinge a fare è lo stesso che serve per chiudere le falle. Due piccioni, una fava. Quando entreremo nel capitolo sugli obblighi lo vedrai bene.

Le esclusioni: quando l'AI Act non si applica

Esistono, ma ti avverto: sono meno di quanto si spera.

sistemi usati esclusivamente per scopi militari, di difesa o di sicurezza nazionale;
attività di ricerca e sviluppo prima dell'immissione sul mercato;
uso puramente personale da parte di persone fisiche (il tuo smartphone a casa, non quello aziendale);
software libero e open source, con esenzioni solo parziali: non valgono se il sistema è vietato, ad alto rischio o un modello GPAI.

Nota l'avverbio: esclusivamente. Basta che tu usi lo strumento per lavoro e l'esclusione salta.

Checklist: le prime cinque mosse, passo per passo

Se dovessi darti una sola lista da appendere in ufficio, sarebbe questa. Sono azioni a basso costo, quasi tutte già esigibili.

Fai l'inventario. Elenca ogni strumento con funzioni di IA: quelli comprati, quelli in abbonamento, quelli che i colleghi usano "di nascosto". Nome, fornitore, a cosa serve, che dati tratta.
Stabilisci il tuo ruolo per ciascuno. Deployer nella maggior parte dei casi. Fornitore se rivendi o personalizzi pesantemente.
Controlla i divieti. Nessun riconoscimento delle emozioni dei dipendenti, nessuna banca dati facciale costruita con lo scraping, nessun punteggio sociale. Lo vediamo bene nel prossimo capitolo.
Avvia la formazione. L'obbligo di alfabetizzazione è in vigore dal febbraio 2025. Una sessione ben fatta e documentata vale più di dieci circolari. Se ti serve una mano, c'è la mia formazione sulla sicurezza per il team.
Metti per iscritto cosa hai fatto. Data, chi ha controllato, esito. In caso di verifica è la prova della tua diligenza.

Lo so, sembra tanto. Non lo è: per una piccola impresa come la tua sono un paio di pomeriggi.

Domande frequenti

La mia azienda ha cinque dipendenti: l'AI Act vale anche per me? Sì, se tu e i tuoi collaboratori usate sistemi di IA in ambito professionale. Non esiste una soglia minima di dimensione. Esistono però misure di favore per PMI e start-up, a partire dalle sanzioni (le vediamo nell'ultimo capitolo).

Usiamo solo ChatGPT e Copilot. Siamo deployer? Sì, siete deployer anche voi. Gli obblighi principali, oggi, sono alfabetizzazione del personale e, se pubblicate deepfake o testi generati per informare il pubblico, la trasparenza su quei contenuti. Più, ovviamente, non usarli per finalità vietate.

Il rinvio al 2027 vale per tutto? No. Vale solo per gli obblighi dei sistemi ad alto rischio. Divieti, alfabetizzazione, GPAI e trasparenza seguono il loro calendario.

Cosa trovi nei prossimi capitoli

Questa serie ti accompagna lungo la struttura della guida, un pezzo alla volta:

Capitolo 2: pratiche vietate e sistemi ad alto rischio, con l'autodiagnosi in cinque domande.
Capitolo 3: gli obblighi di chi usa l'IA, dalla formazione alla trasparenza alla cybersecurity.
Capitolo 4: la roadmap di conformità in sette fasi, con registro e checklist.
Capitolo 5: sanzioni, errori comuni e FAQ.

Il consiglio pratico che ti lascio per oggi è uno: comincia dall'inventario, anche solo su un foglio condiviso. Tutto il resto parte da lì. E se preferisci avere tutto sottomano, scarica la guida completa all'AI Act oppure scrivimi per un primo confronto gratuito.