2 agosto 2026: l’AI Act entra nell’impresa. Cosa cambia davvero per chi usa intelligenza artificiale

Il nodo da sciogliere prima di tutto

Nei giorni che precedono una scadenza normativa europea si moltiplicano gli articoli che raccomandano alle imprese di dotarsi rapidamente di software di monitoraggio o di pacchetti di compliance chiavi in mano. Il 2 agosto 2026 non farà eccezione. Vale la pena, prima di entrare nel merito degli obblighi, chiarire un equivoco che alimenta gran parte di questa comunicazione: l’AI Act non prevede un obbligo generale e indifferenziato di dotarsi di strumenti di controllo dell’intelligenza artificiale.

Il regolamento (UE) 2024/1689 costruisce un sistema di responsabilità che varia in base a tre variabili: il ruolo che l’impresa assume nella catena del valore del sistema di IA, la natura del sistema utilizzato, il livello di rischio concreto legato all’uso che se ne fa. Un’impresa che utilizza un modello linguistico generalista per redigere bozze di email non è nella stessa posizione di un’impresa che utilizza un sistema per selezionare candidati o per assegnare un punteggio di affidabilità creditizia. Trattarle allo stesso modo, e proporre a entrambe la medesima soluzione software, è un errore di analisi prima ancora che un errore commerciale.

La prima forma di conformità, per la generalità delle imprese, non è tecnologica. È conoscitiva: sapere quali sistemi di intelligenza artificiale si stanno effettivamente utilizzando in azienda, per quali processi decisionali, con quali dati in ingresso e con quale grado di autonomia rispetto al giudizio umano. Su questa base, e non prima, ha senso valutare se siano necessari investimenti specifici.

Chi è chi: le figure dell’AI Act

Il regolamento distingue diversi operatori, ciascuno con obblighi propri. Confonderli è la causa più comune di sovrastima — o sottostima — dei propri obblighi.

Il fornitore (provider) è chi sviluppa un sistema di IA o un modello di IA per finalità generali, o lo fa sviluppare per proprio conto, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. È la figura sottoposta agli obblighi più estesi: documentazione tecnica, valutazione di conformità, gestione del rischio.

Il deployer (utilizzatore professionale) è chi impiega un sistema di IA sotto la propria autorità, nell’ambito di un’attività professionale. È la categoria in cui rientra la quasi totalità delle PMI italiane che utilizzano strumenti di intelligenza artificiale: non sviluppano modelli, ma restano responsabili delle modalità con cui li impiegano. Un’azienda che utilizza Copilot per generare contenuti commerciali, o un software di terzi per la selezione del personale, è deployer di quei sistemi anche se non ha scritto una riga di codice.

L’importatore è il soggetto stabilito nell’Unione che immette sul mercato un sistema recante il nome o il marchio di un soggetto stabilito in un Paese terzo. Il distributore è chi, nella catena di fornitura, rende disponibile sul mercato un sistema di IA senza esserne fornitore o importatore. Sono figure rilevanti soprattutto per chi rivende o integra soluzioni di terzi, meno per l’utilizzatore finale.

Va infine distinto l’uso professionale organizzato — un’azienda che integra uno strumento di IA in un processo aziendale strutturato — dal semplice utilizzo individuale di strumenti generalisti al di fuori di qualunque processo decisionale su terzi: quest’ultimo caso resta in gran parte fuori dal perimetro degli obblighi più stringenti, pur restando soggetto ai doveri generali di alfabetizzazione e uso consapevole introdotti dall’articolo 4, in vigore dal febbraio 2025.

Cosa cambia — e cosa no — dal 2 agosto 2026

Il calendario dell’AI Act procede per tappe, e non tutte le tappe coincidono con il 2 agosto 2026. Distinguerle è essenziale per non sovrastimare né sottostimare la portata della scadenza.

Già in vigore. Dal febbraio 2025 sono vietate le pratiche di intelligenza artificiale a rischio inaccettabile (manipolazione subliminale, social scoring, alcune forme di riconoscimento delle emozioni sul luogo di lavoro, identificazione biometrica in tempo reale in spazi pubblici salvo eccezioni) ed è in vigore l’obbligo generale di alfabetizzazione in materia di IA per il personale che utilizza questi sistemi. Dall’agosto 2025 sono operative le regole di governance — designazione delle autorità nazionali competenti, avvio dell’AI Office — e gli obblighi specifici per i fornitori di modelli di IA per finalità generali.

Diventa applicabile il 2 agosto 2026. Entrano in vigore gli obblighi di trasparenza dell’articolo 50: chi fornisce o utilizza un sistema che interagisce direttamente con le persone deve renderlo riconoscibile come tale, salvo che ciò non risulti già evidente dal contesto; i contenuti audio, video, immagine o testo generati o manipolati artificialmente devono essere etichettati in modo identificabile, con un obbligo rafforzato per i deepfake e per i testi di interesse pubblico generati dall’IA senza revisione editoriale umana. Contestualmente diventa pienamente operativo, per la generalità delle disposizioni del regolamento, il regime sanzionatorio: fino a 35 milioni di euro o il 7% del fatturato globale per le pratiche vietate, fino a 15 milioni o il 3% per la violazione degli altri obblighi principali — inclusa la trasparenza dell’articolo 50 — fino a 7,5 milioni o l’1% per informazioni scorrette fornite alle autorità, con tetti proporzionati per PMI e startup.

Le linee guida del 20 luglio 2026. A meno di due settimane dall’applicazione, la Commissione ha pubblicato la versione definitiva delle linee guida sull’articolo 50: cinquantuno pagine destinate a fornitori, deployer e autorità di vigilanza, con l’obiettivo dichiarato di garantire un’applicazione coerente, proporzionata e uniforme. Le linee guida non sono vincolanti — solo la Corte di giustizia dell’Unione europea può dare un’interpretazione autentica del regolamento — ma orientano nella pratica l’azione delle autorità nazionali di mercato e dell’AI Office nelle materie di sua competenza esclusiva.

Rinviato. Gli obblighi più onerosi, quelli relativi ai sistemi ad alto rischio dell’allegato III (selezione del personale, valutazione del credito, alcuni ambiti sanitari e assicurativi), non scattano il 2 agosto 2026. Il Digital Omnibus, adottato dal Consiglio dell’Unione europea a fine giugno 2026, ne ha spostato l’applicazione al 2 dicembre 2027 per i sistemi autonomi e al 2 agosto 2028 per i sistemi integrati come componenti di sicurezza in prodotti già coperti da normativa settoriale. Il rinvio riguarda la conformità sostanziale — valutazione di conformità, documentazione tecnica, sistema di gestione del rischio — non elimina la materia, e non è un argomento per rimandare l’attività preparatoria: l’obbligo di censire e classificare i propri sistemi resta comunque prudenzialmente attuale, se non altro perché la classificazione del rischio precede e condiziona qualunque adeguamento futuro.

Dodici casi concreti per una PMI

Il rischio non è mai un attributo dello strumento in sé, ma dell’uso che se ne fa. Uno stesso modello linguistico può ricadere in fasce di rischio diverse a seconda del contesto d’impiego.

Cosa deve fare davvero un’impresa

La risposta non è, nella maggior parte dei casi, l’acquisto di un software. È un esercizio organizzativo che precede qualunque scelta tecnologica:

1. Censire gli strumenti di intelligenza artificiale effettivamente utilizzati in azienda, inclusi quelli adottati informalmente da singoli reparti.
2. Individuare, per ciascuno strumento, la finalità concreta d’uso e non solo la funzione dichiarata dal fornitore.
3. Verificare quali dati vengono caricati nei sistemi, con particolare attenzione a dati personali, sanitari o relativi a terzi.
4. Definire chi, in azienda, può utilizzare quale strumento e per quali processi, evitando un uso diffuso e non tracciato.
5. Distinguere con chiarezza gli usi di assistenza (supporto alla redazione, alla ricerca, alla traduzione) dagli usi che producono una decisione automatizzata su una persona.
6. Conservare evidenza documentale delle procedure adottate, anche minime: è la base di qualunque dimostrazione di diligenza in caso di controllo.
7. Rivedere i contratti con i fornitori di sistemi di IA per verificare come sono ripartite le responsabilità in caso di malfunzionamento o non conformità.
8. Aggiornare informative privacy, policy interne e regolamenti aziendali quando l’uso dell’IA incide su dati personali o su processi che riguardano dipendenti e clienti.
9. Formare il personale sull’uso corretto degli strumenti adottati, in coerenza con l’obbligo di alfabetizzazione già in vigore dal febbraio 2025.
10. Prevedere un punto di controllo umano nei processi che incidono su diritti, accesso a servizi o posizione lavorativa delle persone, indipendentemente dal fatto che il sistema utilizzato rientri formalmente tra quelli ad alto rischio.

La mappa GrifoNews degli usi dell’IA in azienda

Per orientare la classificazione interna, può essere utile collocare ogni strumento adottato in azienda su cinque livelli crescenti di attenzione richiesta.

La mappa non sostituisce una valutazione legale puntuale, ma consente a un’impresa di stabilire, con i propri strumenti interni, dove concentrare l’attenzione prima di ricorrere a consulenza esterna — e di evitare di trattare allo stesso modo un chatbot informativo e un sistema di selezione del personale.