AI Act per le aziende italiane: obblighi e scadenze
Dal 2 agosto 2026 gran parte dell'AI Act è applicabile. Per un'azienda italiana questo non significa compilare lo stesso elenco di adempimenti per ogni strumento. Significa prima di tutto capire che ruolo ha l'organizzazione, quale sistema usa, per quale finalità e con quale livello di rischio.
La verifica non parte dal nome del prodotto. Lo stesso strumento può essere usato per preparare una bozza a basso impatto oppure dentro un processo di selezione del personale con conseguenze molto diverse. Questo articolo offre un orientamento operativo aggiornato al 29 agosto 2026; non sostituisce una valutazione legale sul caso concreto.
Le date da conoscere
Il regolamento europeo 2024/1689 è entrato in vigore il 1° agosto 2024 ed è diventato applicabile il 2 agosto 2026, con alcune eccezioni.
Dal 2 febbraio 2025 si applicano i divieti su alcune pratiche e le disposizioni sull'AI literacy.
Dal 2 agosto 2025 si applicano le regole di governance e gli obblighi per i modelli di AI per finalità generali.
Dal 2 agosto 2026 si applica la parte principale del regolamento e operano le responsabilità di attuazione e vigilanza previste.
Nel luglio 2026 è entrato in vigore il regolamento europeo 2026/1744, noto come Digital Omnibus on AI, che ha modificato anche l'articolo 4. L'obbligo di sostenere lo sviluppo dell'AI literacy per provider e deployer resta, ma non viene imposto un livello specifico e uniforme per ogni persona. La pagina ufficiale della Commissione indica inoltre che la supervisione e l'applicazione dell'articolo 4 decorrono dal 3 agosto 2026.
Prima domanda: qual è il tuo ruolo
L'AI Act distingue diversi attori. Per molte aziende che acquistano e usano un sistema, il ruolo più frequente è quello di deployer, cioè il soggetto che utilizza un sistema AI sotto la propria autorità. Altri casi possono portare al ruolo di provider, importatore o distributore.
Il ruolo non va dedotto dal contratto commerciale. Un'organizzazione che modifica, integra o mette a disposizione un sistema può assumere responsabilità diverse. Registra per ogni caso: fornitore, sistema, finalità, utenti, dati, output, persone interessate e azioni che ne dipendono. Poi verifica il ruolo con chi segue la conformità.
Il rischio dipende dall'uso
Il regolamento adotta un approccio basato sul rischio. Alcune pratiche sono vietate. Alcuni sistemi sono classificati ad alto rischio e richiedono obblighi più estesi. Altri usi sono soggetti soprattutto a trasparenza oppure non ricadono in obblighi specifici aggiuntivi.
Evita frasi generiche come “il nostro strumento è a basso rischio”. La classificazione dipende dalla finalità e dal contesto. Un supporto alla scrittura interna non equivale a un sistema usato per valutare candidati, accesso a servizi essenziali o sicurezza.
Per ogni utilizzo scrivi:
sistema: nome e versione
ruolo_organizzazione: da verificare
finalita: scopo concreto
persone_interessate: categorie
dati: classi ammesse
decisione_o_azione: conseguenza possibile
supervisione: controllo previsto
fonti_normative: riferimenti aggiornatiQuesta scheda non determina da sola la conformità. Impedisce però che la valutazione resti legata a un elenco di prodotti senza contesto.
AI literacy: che cosa deve fare l'azienda
L'articolo 4 richiede a provider e deployer di adottare misure per sostenere lo sviluppo dell'AI literacy del personale e delle altre persone che operano con sistemi AI per loro conto. Le misure devono tenere conto di conoscenze, esperienza, istruzione, formazione e contesto d'uso.
La Commissione chiarisce che non esiste una formazione standard obbligatoria uguale per tutti e che leggere soltanto le istruzioni del prodotto può essere inefficace. Un percorso proporzionato può includere:
nozioni di base su AI e limiti;
sistemi concretamente usati dall'organizzazione;
rischi collegati al ruolo;
dati ammessi e vietati;
controlli, escalation e gestione degli incidenti;
regole di trasparenza applicabili;
esercitazioni sui casi reali.
Conserva evidenza di destinatari, contenuti, data, contesto e aggiornamenti. La pagina ufficiale precisa anche che replicare una pratica del repository europeo non garantisce automaticamente la conformità: va adattata al caso.
Trasparenza e contenuti generati
Alcuni sistemi e contenuti richiedono obblighi di trasparenza. Non basta aggiungere sempre un'etichetta “generato con AI” oppure non aggiungerla mai. Bisogna verificare il tipo di sistema, l'uso e le disposizioni applicabili.
Per marketing e comunicazione definisci una regola interna: quando dichiarare l'interazione con un sistema, come gestire contenuti sintetici, chi verifica i casi dubbi e dove conservare la prova. Evita di trasformare una questione normativa in una scelta grafica presa a fine progetto.
Un piano operativo in sei passi
Crea l'inventario: sistemi, finalità, dati, utenti, output e conseguenze.
Assegna i ruoli: deployer, provider o altri ruoli da verificare.
Valuta rischio e trasparenza: per singolo caso d'uso, non per nome del prodotto.
Definisci le regole: dati, controlli, azioni vietate, incidenti e registri.
Costruisci l'AI literacy: contenuti diversi per ruolo e rischio.
Rivedi periodicamente: cambi di modello, finalità, dati o integrazione possono cambiare la valutazione.
Coinvolgi funzione legale, privacy, sicurezza, IT e proprietario del processo dove necessario. L'obiettivo non è produrre un documento perfetto e immobile, ma sapere quali sistemi sono in uso e quali decisioni richiedono una verifica aggiornata.
Gli errori da evitare
considerare conforme un prodotto perché molto diffuso;
classificare il rischio senza descrivere la finalità;
ridurre l'AI literacy a un corso generico una tantum;
non includere fornitori che operano con sistemi AI per conto dell'azienda;
applicare etichette di trasparenza senza verificare la disposizione pertinente;
usare articoli o checklist non aggiornati come unica fonte normativa;
presentare un orientamento informativo come parere legale.
Per organizzare inventario, ruoli e regole puoi partire dalla consulenza su roadmap e governance AI. Per costruire competenze differenziate per ruolo, scopri la formazione AI aziendale.
Fonti primarie aggiornate
*Contenuto informativo aggiornato al 29 agosto 2026. Non costituisce consulenza legale.*
Domande frequenti
Da quando si applica l'AI Act?
Il regolamento è entrato in vigore il 1° agosto 2024. Divieti e disposizioni sull'AI literacy si applicano dal 2 febbraio 2025; governance e obblighi sui modelli per finalità generali dal 2 agosto 2025; gran parte delle altre disposizioni dal 2 agosto 2026.
L'AI Act riguarda anche chi usa strumenti di terze parti?
Sì. Molte aziende agiscono come deployer, ma il ruolo va valutato sul caso concreto. Finalità, integrazioni, modifiche e modo in cui il sistema viene messo a disposizione possono cambiare le responsabilità.
Che cosa richiede l'AI literacy?
Provider e deployer devono adottare misure per sostenere le competenze delle persone che operano con sistemi AI per loro conto, considerando conoscenze, esperienza, formazione e contesto d'uso. Non esiste un livello unico valido per tutti.
Ogni contenuto creato con l'AI deve essere etichettato?
No, non esiste una regola unica applicabile a qualsiasi contenuto. Bisogna verificare il tipo di sistema, l'uso, il contenuto e la disposizione pertinente prima di definire l'obbligo di trasparenza.
