AI Act 2026: cosa deve fare la tua azienda entro il 2 agosto (e il 2 dicembre)

La sintesi in 60 secondi

Il Regolamento UE 2024/1689 (AI Act) ha tre date che contano per la tua azienda: 2 febbraio 2025 (già passata, divieti sui rischi inaccettabili), 2 agosto 2026 (obblighi di trasparenza e sintesi dei contenuti di training per chi fornisce AI generativa) e 2 dicembre 2026 (regime generale: formazione obbligatoria del personale, trasparenza verso gli utenti, requisiti per i sistemi a rischio limitato). La maggior parte delle PMI italiane non "fornisce" sistemi AI: la usa. E per chi la usa, l'obbligo che conta è uno: alfabetizzazione AI del personale, dal 2 dicembre 2026.

Questo articolo spiega in ordine pratico cosa serve alla tua azienda, senza gergo giuridico.

La struttura dell'AI Act in 3 minuti

L'AI Act classifica i sistemi di AI in base al rischio che presentano, e a ogni livello corrispondono obblighi diversi.

Le sanzioni (art. 99) sono allineate alle violazioni più gravi in UE:

• violazioni di divieti: fino a 35.000.000 € o 7% del fatturato mondiale annuo;
• altre violazioni di obblighi: fino a 15.000.000 € o 3%;
• mancata alfabetizzazione del personale (art. 4): fino a 7.500.000 € o 1,5%.

Il fatturato di riferimento è quello dell'impresa, non del fornitore del modello: se usi ChatGPT e violi le regole sull'uso (ad esempio, immettendo dati personali senza base giuridica), la responsabilità è della tua impresa.

Le scadenze che ti riguardano davvero

2 agosto 2026: trasparenza e obblighi dei fornitori di AI generativa

Questa scadenza riguarda chi fornisce modelli general-purpose (Google, OpenAI, Anthropic, Mistral...). Devono:

• pubblicare una sintesi sufficientemente dettagliata dei contenuti usati per il training;
• garantire che le risposte non violino il diritto d'autore;
• rendere disponibile il modello per la valutazione.

Cosa significa per la tua azienda in pratica: se usi ChatGPT, Claude o simili in ambito lavorativo, dal 2 agosto 2026 devi essere in grado di documentare quali sistemi usi e per quali finalità, e di dimostrare che l'uso non introduce violazioni (es. chiedendo risposte che riproducono testi protetti). Una semplice policy aziendale con l'elenco dei sistemi consentiti copre il 90% del problema.

2 dicembre 2026: il Regolamento generale (il grosso)

Da questa data si applicano:

1. Alfabetizzazione AI del personale (art. 4) — obbligatoria, con sanzione fino a 7,5 milioni o 1,5% del fatturato. Va interpretata: chi usa sistemi AI per lavoro deve ricevere formazione adeguata su funzionamento, limiti e rischi.
2. Trasparenza per i sistemi a rischio limitato — se un cliente o un utente interagisce con un chatbot o riceve contenuti generati dall'AI, va informato.
3. Regime pieno per i sistemi ad alto rischio (per chi ne sviluppa o impiega).

2 agosto 2027: i sistemi ad alto rischio in allegato III

I sistemi già in servizio classificati ad alto rischio (ad esempio AI per il reclutamento, scoring creditizio, determinazione dei premi assicurativi) devono conformarsi entro il 2 agosto 2027.

Checklist operativa in 10 punti (per l'azienda che USA l'AI)

Se la tua azienda usa AI generativa in un modo o nell'altro (anche solo dipendenti che aprono ChatGPT), ecco la checklist minima:

1. Inventario dei sistemi AI in uso. Elenca ogni strumento: ChatGPT, Claude, GitHub Copilot, Notion AI, risponditori automatici, chatbot. Con fornitore, versione e finalità.
2. Policy aziendale sull'uso dell'AI (una pagina). Cosa si può usare, cosa non si può inserire (dati personali, segreti, contratti), chi approva gli usi nuovi.
3. Formazione del personale. Una sessione pratica di 1-2 ore, documentata con firme e attestato. Da ripetere quando cambiano gli strumenti.
4. Verifica degli accordi con i fornitori. Controlla che il contratto con OpenAI/Anthropic/etc. escluda il training sui tuoi dati (Data Protection addendum). Se non c'è, non inserire dati sensibili.
5. Registro dei processi automatizzati. Per ogni automazione AI in produzione: processo, dati coinvolti, modello usato, responsabile, log. È la base per dimostrare la conformità.
6. Meccanismo di supervisione umana. Ogni output AI che produce effetti (offerte, risposte a clienti, classificazioni) deve avere un punto di controllo umano.
7. Trasparenza verso i clienti. Se un cliente parla con un chatbot o riceve un riassunto generato dall'AI, va informato in modo chiaro.
8. Trattamento dei dati personali. Verifica base giuridica e informativa per i dati immessi nei sistemi AI. Il GDPR continua ad applicarsi: il Titolare resta la tua azienda.
9. Documenta la valutazione del rischio. Anche se il tuo uso è a rischio minimo, una valutazione scritta (anche 2 pagine) dimostra diligenza e riduce la sanzione in caso di dubbio.
10. Nomina un responsabile AI (o affida l'incarico). Può essere interno o esterno (il fractional AI ops di eTuka include la compliance AI Act). Qualcuno deve possedere l'elenco dei punti 1-9.

Il caso tipico: la PMI che "non fa AI"

È la situazione più comune: "Noi l'AI non la usiamo, quindi non ci riguarda". Ma quasi sempre:

• qualche dipendente usa ChatGPT per email e riassunti;
• il commerciale usa strumenti con funzionalità AI incorporate (CRM, fotoritocco, dettatura);
• qualcuno ha sperimentato un risponditore automatico o un'estrazione dati da PDF.

Tutti questi sono "sistemi di AI" ai sensi del Regolamento, e i punti 1, 2, 3 della checklist sono già obbligatori dal 2 dicembre 2026. La buona notizia: la conformità per chi usa, non sviluppa, è poco costosa. Una giornata di lavoro, non un progetto di mesi.

Il caso tipico: la PMI che automatizza con l'AI

Se invece hai (o stai progettando) workflow di automazione — report automatici, triage email, knowledge base, qualificazione lead — la compliance si progetta insieme all'automazione. I principi:

• Trasparenza: gli utenti del tuo sistema (clienti, dipendenti) sanno quando l'AI genera contenuti o decisioni.
• Supervisione umana: i punti di decisione automatica hanno un controllo umano documentato.
• Qualità dei dati: i dati di training/contesto sono documentati e verificati (obbligo per gli alto rischio, buona pratica per tutti).
• Registro: ogni workflow ha scheda tecnica (processo, modello, dati, responsabile, log).
• Sicurezza: i dati non escono dall'infrastruttura aziendale; API con clausole di non-training.

La knowledge base della piattaforma legal-tech è un esempio di come si fa: risposte solo con fonte citata, soglie di similarità, supervisione sulle risposte "non trovate", ciclo di feedback. È esattamente l'architettura che il Regolamento si aspetta da un uso responsabile.

Errori da non fare

1. Aspettare. Dal 2 dicembre 2026 l'alfabetizzazione è obbligatoria. Formare 5 persone a luglio 2027 non è "in ritardo": è violazione.
2. Comprare formazione generica. L'art. 4 richiede formazione adeguata ai sistemi che la tua azienda usa davvero. La formazione va costruita sui tuoi processi.
3. Ignorare i fornitori. Chi usa API di modelli deve verificare gli accordi contrattuali (punto 4). Un fornitore che non offre garanzie sul training è un rischio per te.
4. Considerare la compliance un progetto IT. È un progetto organizzativo: coinvolge HR (formazione), legale (policy), IT (registro e sicurezza) e direzione (decisioni).
5. Panico. La sanzione più probabile per chi usa AI in modo ragionevole è la mancata alfabetizzazione. Si risolve con una giornata di lavoro ben fatta, non con consulenze da 50.000 €.

Cosa fare se non hai ancora iniziato

1. Questa settimana: fai l'inventario (punto 1) con chi usa cosa.
2. Questa settimana: scrivi la policy di una pagina (punto 2).
3. Entro 30 giorni: organizza la formazione (punto 3), interna o con supporto esterno.
4. Entro 60 giorni: verifica i contratti dei fornitori (punto 4) e aggiorna l'informativa se usi dati personali (punto 8).
5. Se automatizzi con l'AI: chiedi all'architettura di nascere compliant (supervisione, registro, trasparenza).

Se vuoi, l'articolo AI Act per le PMI italiane: la guida operativa completa approfondisce ogni punto con modelli di policy e registro pronti all'uso.