La sintesi in 60 secondi
Il Regolamento UE 2024/1689 (AI Act) ha quattro date che contano per la tua azienda: 2 febbraio 2025 (divieti sui rischi inaccettabili e alfabetizzazione AI del personale, art. 4), 2 agosto 2026 (applicazione generale e obblighi di trasparenza dell'art. 50), 2 dicembre 2026 (fine del transitorio per la marcatura dei contenuti sintetici e nuovo divieto nudifier/CSAM, introdotti dal Digital Omnibus) e 2 dicembre 2027 (sistemi ad alto rischio dell'allegato III, rinviato dal 2 agosto 2026). La maggior parte delle PMI italiane non "fornisce" sistemi AI: la usa. E per chi la usa, l'obbligo che conta è uno: alfabetizzazione AI del personale, in vigore dal 2 febbraio 2025.
Questo articolo spiega in ordine pratico cosa serve alla tua azienda, senza gergo giuridico.
La struttura dell'AI Act in 3 minuti
L'AI Act classifica i sistemi di AI in base al rischio che presentano, e a ogni livello corrispondono obblighi diversi.
Le sanzioni (art. 99) sono allineate alle violazioni più gravi in UE:
- violazioni di divieti: fino a 35.000.000 € o 7% del fatturato mondiale annuo;
- altre violazioni di obblighi: fino a 15.000.000 € o 3%;
- altre violazioni di obblighi (es. trasparenza, documentazione): fino a 15.000.000 € o 3%;
- informazioni inesatte o incomplete fornite alle autorità (art. 99, par. 4): fino a 7.500.000 € o 1%;
- per PMI e startup si applica l'importo più basso tra i due (art. 99, par. 6).
Il fatturato di riferimento è quello dell'impresa, non del fornitore del modello: se usi ChatGPT e violi le regole sull'uso (ad esempio, immettendo dati personali senza base giuridica), la responsabilità è della tua impresa.
Le scadenze che ti riguardano davvero
2 agosto 2026: trasparenza e obblighi dei fornitori di AI generativa
Questa scadenza riguarda chi fornisce modelli general-purpose (Google, OpenAI, Anthropic, Mistral...). Devono:
- pubblicare una sintesi sufficientemente dettagliata dei contenuti usati per il training;
- garantire che le risposte non violino il diritto d'autore;
- rendere disponibile il modello per la valutazione.
Cosa significa per la tua azienda in pratica: se usi ChatGPT, Claude o simili in ambito lavorativo, dal 2 agosto 2026 devi essere in grado di documentare quali sistemi usi e per quali finalità, e di dimostrare che l'uso non introduce violazioni (es. chiedendo risposte che riproducono testi protetti). Una semplice policy aziendale con l'elenco dei sistemi consentiti copre il 90% del problema.
2 dicembre 2026: marcatura dei contenuti sintetici e nuovo divieto
Dal 2 dicembre 2026 (Digital Omnibus, Reg. UE 2026/1744):
- Marcatura dei contenuti sintetici (art. 50, par. 2) — scade il periodo transitorio: i contenuti generati dai sistemi già sul mercato prima del 2 agosto 2026 devono essere marcati in modo leggibile dalle macchine.
- Nuovo divieto — si applica il divieto dei sistemi che generano materiale intimo non consensuale ("nudifier") o materiale di abuso sessuale su minori.
Nota bene: l'alfabetizzazione AI del personale (art. 4) è già obbligatoria dal 2 febbraio 2025 e la trasparenza verso gli utenti (art. 50, par. 1 e 4) dal 2 agosto 2026: non sono scadenze del 2 dicembre.
2 dicembre 2027: i sistemi ad alto rischio in allegato III
I sistemi stand-alone classificati ad alto rischio (ad esempio AI per il reclutamento, scoring creditizio, determinazione dei premi assicurativi) devono conformarsi entro il 2 dicembre 2027; quelli integrati come componenti di sicurezza in prodotti regolamentati (allegato I) entro il 2 agosto 2028.
Checklist operativa in 10 punti (per l'azienda che USA l'AI)
Se la tua azienda usa AI generativa in un modo o nell'altro (anche solo dipendenti che aprono ChatGPT), ecco la checklist minima:
- Inventario dei sistemi AI in uso. Elenca ogni strumento: ChatGPT, Claude, GitHub Copilot, Notion AI, risponditori automatici, chatbot. Con fornitore, versione e finalità.
- Policy aziendale sull'uso dell'AI (una pagina). Cosa si può usare, cosa non si può inserire (dati personali, segreti, contratti), chi approva gli usi nuovi.
- Formazione del personale. Una sessione pratica di 1-2 ore, documentata con firme e attestato. Da ripetere quando cambiano gli strumenti.
- Verifica degli accordi con i fornitori. Controlla che il contratto con OpenAI/Anthropic/etc. escluda il training sui tuoi dati (Data Protection addendum). Se non c'è, non inserire dati sensibili.
- Registro dei processi automatizzati. Per ogni automazione AI in produzione: processo, dati coinvolti, modello usato, responsabile, log. È la base per dimostrare la conformità.
- Meccanismo di supervisione umana. Ogni output AI che produce effetti (offerte, risposte a clienti, classificazioni) deve avere un punto di controllo umano.
- Trasparenza verso i clienti. Se un cliente parla con un chatbot o riceve un riassunto generato dall'AI, va informato in modo chiaro.
- Trattamento dei dati personali. Verifica base giuridica e informativa per i dati immessi nei sistemi AI. Il GDPR continua ad applicarsi: il Titolare resta la tua azienda.
- Documenta la valutazione del rischio. Anche se il tuo uso è a rischio minimo, una valutazione scritta (anche 2 pagine) dimostra diligenza e riduce la sanzione in caso di dubbio.
- Nomina un responsabile AI (o affida l'incarico). Può essere interno o esterno (il fractional AI ops di eTuka include la compliance AI Act). Qualcuno deve possedere l'elenco dei punti 1-9.
Il caso tipico: la PMI che "non fa AI"
È la situazione più comune: "Noi l'AI non la usiamo, quindi non ci riguarda". Ma quasi sempre:
- qualche dipendente usa ChatGPT per email e riassunti;
- il commerciale usa strumenti con funzionalità AI incorporate (CRM, fotoritocco, dettatura);
- qualcuno ha sperimentato un risponditore automatico o un'estrazione dati da PDF.
Tutti questi sono "sistemi di AI" ai sensi del Regolamento: l'alfabetizzazione (punto 3) è obbligatoria dal 2 febbraio 2025, la policy e l'inventario sono dovuti dal 2 agosto 2026. La buona notizia: la conformità per chi usa, non sviluppa, è poco costosa. Una giornata di lavoro, non un progetto di mesi.
Il caso tipico: la PMI che automatizza con l'AI
Se invece hai (o stai progettando) workflow di automazione — report automatici, triage email, knowledge base, qualificazione lead — la compliance si progetta insieme all'automazione. I principi:
- Trasparenza: gli utenti del tuo sistema (clienti, dipendenti) sanno quando l'AI genera contenuti o decisioni.
- Supervisione umana: i punti di decisione automatica hanno un controllo umano documentato.
- Qualità dei dati: i dati di training/contesto sono documentati e verificati (obbligo per gli alto rischio, buona pratica per tutti).
- Registro: ogni workflow ha scheda tecnica (processo, modello, dati, responsabile, log).
- Sicurezza: i dati non escono dall'infrastruttura aziendale; API con clausole di non-training.
La knowledge base della piattaforma legal-tech è un esempio di come si fa: risposte solo con fonte citata, soglie di similarità, supervisione sulle risposte "non trovate", ciclo di feedback. È esattamente l'architettura che il Regolamento si aspetta da un uso responsabile.
Errori da non fare
- Aspettare. L'alfabetizzazione è obbligatoria dal 2 febbraio 2025. Non aver ancora formato il personale è già un'esposizione: più si aspetta, più si resta scoperti.
- Comprare formazione generica. L'art. 4 richiede formazione adeguata ai sistemi che la tua azienda usa davvero. La formazione va costruita sui tuoi processi.
- Ignorare i fornitori. Chi usa API di modelli deve verificare gli accordi contrattuali (punto 4). Un fornitore che non offre garanzie sul training è un rischio per te.
- Considerare la compliance un progetto IT. È un progetto organizzativo: coinvolge HR (formazione), legale (policy), IT (registro e sicurezza) e direzione (decisioni).
- Panico. L'alfabetizzazione (art. 4) non ha una sanzione diretta: il rischio concreto per chi usa AI in modo ragionevole è basso e si gestisce con una giornata di lavoro ben fatta, non con consulenze da 50.000 €.
Cosa fare se non hai ancora iniziato
- Questa settimana: fai l'inventario (punto 1) con chi usa cosa.
- Questa settimana: scrivi la policy di una pagina (punto 2).
- Entro 30 giorni: organizza la formazione (punto 3), interna o con supporto esterno.
- Entro 60 giorni: verifica i contratti dei fornitori (punto 4) e aggiorna l'informativa se usi dati personali (punto 8).
- Se automatizzi con l'AI: chiedi all'architettura di nascere compliant (supervisione, registro, trasparenza).
Se vuoi, l'articolo AI Act per le PMI italiane: la guida operativa completa approfondisce ogni punto con modelli di policy e registro pronti all'uso.