AI Act per PMI: obblighi e scadenze 2026 dopo il Digital Omnibus

Il Digital Omnibus ha spostato in avanti una parte dell’AI Act, ed è facile leggere la notizia come un rinvio generale. Non è così: per una PMI o uno studio professionale che usa ChatGPT, Copilot o un chatbot sul sito, gli obblighi che contano di più sono già applicabili. Ecco il calendario aggiornato, che cosa cambia davvero e da dove cominciare.

Le scadenze dell’AI Act dopo il Digital Omnibus

Il Regolamento (UE) 2024/1689, l’AI Act, è entrato in vigore il 1° agosto 2024 e si applica per tappe. Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull’IA, è stato pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026 ed è in vigore dal 27 luglio 2026: ha modificato alcune date e alcuni obblighi. Questo è il quadro che ne risulta, con le tappe italiane rilevanti.

Cosa è stato rinviato e cosa no

Il rinvio riguarda le sezioni 1, 2 e 3 del capo III dell’AI Act, cioè classificazione, requisiti e obblighi per i sistemi ad alto rischio. Non sono stati rinviati i divieti, l’alfabetizzazione e la trasparenza dell’art. 50, che si applica dal 2 agosto 2026. L’unico margine transitorio sulla trasparenza riguarda i fornitori di sistemi di IA generativa già immessi sul mercato prima del 2 agosto 2026, che hanno tempo fino al 2 dicembre 2026 per la marcatura leggibile dalle macchine dei contenuti prodotti. Per chi li usa in azienda, questo periodo transitorio non sposta alcun obbligo.

Fornitore o deployer: capire il vostro ruolo

Gli obblighi dell’AI Act dipendono dal ruolo che avete rispetto a ciascun sistema.

• Fornitore (art. 3, n. 3): chi sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio, anche gratuitamente.
• Deployer (art. 3, n. 4): chi utilizza un sistema di IA sotto la propria autorità, salvo l’uso personale non professionale.

Una PMI che usa ChatGPT, Copilot o le funzioni di IA del proprio gestionale è, per quegli strumenti, deployer. Le cose cambiano se commissionate un assistente o un chatbot e lo pubblicate con il vostro marchio: per quel sistema potreste essere considerati fornitori, ed è bene che il contratto con lo sviluppatore chiarisca chi fa che cosa.

C’è poi un caso da conoscere. L’art. 25 prevede che diventi fornitore di un sistema ad alto rischio anche chi modifica la finalità di un sistema, compreso uno per finalità generali, in modo che diventi ad alto rischio. Usare un assistente generico per filtrare candidature, per esempio, merita una valutazione attenta prima di partire.

Alfabetizzazione: come cambia l’art. 4 dopo l’Omnibus

L’art. 4 si applica dal 2 febbraio 2025 a tutti i fornitori e i deployer, senza soglie dimensionali. Nel testo originale chiedeva di adottare misure per garantire «nella misura del possibile un livello sufficiente» di alfabetizzazione del personale.

Il Digital Omnibus lo ha riscritto. Oggi fornitori e deployer «adottano misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA» del personale e di chiunque usi i sistemi per loro conto, tenendo conto di competenze, esperienza, contesto d’uso e persone coinvolte. Il nuovo testo precisa che l’obbligo «non impone» di garantire un livello specifico di alfabetizzazione per alcuna persona. In sostanza, l’obbligo è di adottare misure adeguate, non di raggiungere un risultato misurabile. Commissione e Stati membri devono sostenere gli sforzi delle imprese, in particolare delle PMI, e la Commissione deve pubblicare esempi pratici di come adempiere.

Le domande e risposte della Commissione europea sull’art. 4 chiariscono che non serve un attestato: si possono tenere registri interni delle attività di formazione. Indicano anche da dove partire: una comprensione generale dell’IA in azienda, la consapevolezza del proprio ruolo (fornitore o deployer) e dei rischi dei sistemi usati, contenuti calibrati sulle persone e sul contesto.

Una nota sulle sanzioni: né l’art. 99 dell’AI Act né l’art. 23 del D.Lgs. 179/2026 collegano all’art. 4 una sanzione pecuniaria specifica. Resta però un obbligo di legge: per le violazioni di scarsa offensività le autorità possono comunque ordinare di rimediare (art. 22 del D.Lgs. 179/2026), e la formazione documentata è il modo più semplice per dimostrare di averlo rispettato.

Trasparenza dal 2 agosto 2026: chatbot e contenuti generati

L’art. 50 è la parte dell’AI Act che una PMI incontra più spesso. Ecco cosa prevede.

• Chatbot e assistenti (par. 1): il fornitore deve fare in modo che le persone sappiano di interagire con un sistema di IA, salvo che sia evidente dal contesto.
• Contenuti sintetici (par. 2): i fornitori di sistemi che generano testo, immagini, audio o video devono marcarne gli output in un formato leggibile dalle macchine.
• Deep fake (par. 4): chi usa l’IA per generare o manipolare immagini, audio o video che sembrano autentici e ritraggono persone, luoghi, oggetti o eventi esistenti deve dichiarare che il contenuto è artificiale.
• Testi di interesse pubblico (par. 4): chi pubblica testi generati dall’IA per informare il pubblico su questioni di interesse pubblico deve dichiararlo, a meno che il testo sia stato rivisto da una persona e qualcuno ne abbia la responsabilità editoriale.

Le informazioni vanno fornite in modo chiaro e distinguibile, al più tardi alla prima interazione o esposizione. La violazione degli obblighi dell’art. 50 rientra tra quelle punibili fino a 15 milioni di euro o al 3% del fatturato mondiale annuo; per le PMI si applica il valore più basso tra i due, e l’Omnibus estende lo stesso criterio alle piccole imprese a media capitalizzazione.

In pratica: un chatbot sul sito deve presentarsi come assistente automatico fin dal primo messaggio, le immagini realistiche generate con l’IA vanno etichettate, e per i testi conviene documentare la revisione umana. Se state progettando un assistente per clienti o fornitori, conviene prevederlo fin dall’inizio: lo facciamo come parte dei nostri progetti di agenti AI.

Noi di Raputek aiutiamo PMI e studi professionali a tradurre l’AI Act in poche regole applicabili, partendo da una diagnosi dell’uso dell’IA in azienda.

Alto rischio: rinviato, ma da preparare

Gli obblighi per i sistemi dell’Allegato III si applicano dal 2 dicembre 2027. Tra i casi più vicini a una PMI ci sono i sistemi destinati alla selezione del personale (annunci mirati, filtro delle candidature, valutazione dei candidati), alle decisioni su promozioni e cessazioni o al monitoraggio delle prestazioni dei lavoratori, e alla valutazione del merito creditizio delle persone fisiche. Da quella data il deployer dovrà, tra l’altro, usare il sistema secondo le istruzioni del fornitore, affidare la sorveglianza umana a persone competenti e informare lavoratori e rappresentanti prima di usarlo sul luogo di lavoro (art. 26).

In Italia, per l’IA usata nel rapporto di lavoro, alcune regole valgono già. L’art. 11 della legge 132/2025 obbliga il datore di lavoro a informare il lavoratore dell’uso dell’IA, nei casi e con le modalità dell’art. 1-bis del D.Lgs. 152/1997. Dal 23 ottobre 2026 l’art. 41 del D.Lgs. 179/2026 aggiunge che le decisioni finali su assunzione, modifica o cessazione del rapporto, provvedimenti disciplinari e valutazioni delle prestazioni non possono basarsi unicamente su un trattamento automatizzato: la decisione spetta a una persona e il licenziamento intimato in violazione è nullo.

Cosa deve fare in concreto una PMI

Cinque passi, in quest’ordine.

1. Inventario dei sistemi di IA

Elencate tutti gli strumenti di IA in uso: abbonamenti aziendali, account personali usati per lavoro, funzioni integrate in CRM, gestionali e suite d’ufficio, chatbot sul sito. Per ciascuno annotate chi lo usa, per cosa, con quali dati e se siete fornitori o deployer.

2. Classificazione del rischio

Per ogni uso chiedetevi se è vietato (art. 5: per esempio il riconoscimento delle emozioni sul luogo di lavoro, salvo motivi medici o di sicurezza), se rientra negli Allegati I o III, se attiva gli obblighi di trasparenza dell’art. 50 o se non comporta obblighi specifici oltre all’alfabetizzazione. Il check di maturità AI è un buon punto di partenza per farsi un’idea.

3. Policy d’uso interna

Una o due pagine bastano: strumenti autorizzati, dati che non possono essere inseriti (dati personali di clienti e dipendenti, informazioni riservate), verifica obbligatoria degli output prima dell’uso esterno, chi approva l’adozione di nuovi strumenti, a chi segnalare problemi.

4. Formazione documentata

Calibrate la formazione sui ruoli: chi usa l’IA ogni giorno, chi decide sugli strumenti, chi gestisce i dati. Registrate date, contenuti, partecipanti e materiali: è la prova delle misure adottate ai sensi dell’art. 4. Se vi serve un percorso strutturato, lo trovate nella nostra formazione su AI Act e governance.

5. Trasparenza verso gli utenti

Verificate che chatbot e assistenti si presentino come tali, che le immagini e i video realistici generati con l’IA siano etichettati e che i testi pubblicati siano rivisti da una persona che ne risponde. Un esempio applicato è la pagina sulla trasparenza AI di questo sito: dichiara quali contenuti sono preparati con il supporto dell’IA, con quale modello sono generate le immagini e come vengono marcate nei metadati.

Questo articolo ha scopo informativo e non costituisce consulenza legale.

Domande frequenti