Mancano meno di quattro mesi al 2 agosto 2026, la data in cui la maggior parte degli obblighi del Regolamento europeo sull'intelligenza artificiale (Reg. UE 2024/1689, noto come AI Act) diventa pienamente applicabile. Sanzioni comprese.
Nelle aziende Mid-Cap ed Enterprise che seguo (Finance, InsurTech, manifatturiero strutturato), il livello di preparazione medio e' eterogeneo. Le grandi corporate hanno tipicamente avviato programmi di compliance ma li trovano frammentati tra Legal, IT e Risk; le Mid-Cap spesso non hanno ancora costituito un comitato AI Governance. Il problema comune: gran parte del dibattito pubblico si e' concentrato sull'AI generativa e sui divieti, ignorando gli obblighi operativi che riguardano anche chi usa un semplice chatbot interno o un sistema di scoring fornitori.
Questo articolo e' una guida pratica. Non sostituisce il parere del tuo legale (e lo scrivo senza ironia: alcune valutazioni richiedono competenza giuridica specifica). Ma ti da' un quadro chiaro di cosa serve fare, in che ordine, e quali errori evitare. Alla fine trovi anche i fondi e gli incentivi disponibili per le imprese che investono in compliance AI.
Cosa cambia il 2 agosto 2026
L'AI Act e' entrato in vigore il 1° agosto 2024, ma con un'applicazione progressiva. Alcuni obblighi sono gia' attivi da febbraio 2025 (i divieti sulle pratiche inaccettabili, come il social scoring) e da agosto 2025 (le regole sui modelli di AI per uso generale, i cosiddetti GPAI). Il grosso, pero', scatta il 2 agosto 2026.
Da quella data diventano pienamente applicabili:
- Gli obblighi per i sistemi AI ad alto rischio elencati nell'Allegato III (HR, credito, assicurazioni, sicurezza sul lavoro, istruzione, infrastrutture critiche, migrazione, giustizia, ecc.).
- Gli obblighi di trasparenza per tutti i sistemi AI che interagiscono con persone fisiche (chatbot, generazione di contenuti, deepfake, sistemi di raccomandazione).
- L'obbligo di alfabetizzazione AI (art. 4): chiunque sviluppi, utilizzi o metta in servizio un sistema AI deve garantire che il proprio personale abbia un livello sufficiente di competenza sull'AI.
- L'obbligo di registrazione nella banca dati UE per i sistemi ad alto rischio.
- Il regime sanzionatorio completo, con multe fino a 35 milioni di euro o il 7% del fatturato mondiale per le violazioni piu' gravi.
Per i sistemi ad alto rischio gia' immessi sul mercato prima del 2 agosto 2026, la deadline e' piu' lunga: 2 agosto 2027. Ma questo riguarda chi e' fornitore di sistemi AI, non chi li usa. Se sei un deployer (utilizzatore), il 2 agosto 2026 e' la tua data.
Chi e' soggetto (e chi pensa di non esserlo)
La risposta breve: quasi tutti. Il Regolamento si applica a chiunque sviluppi, metta in servizio o utilizzi un sistema AI nell'Unione Europea, indipendentemente da dove ha sede il fornitore del sistema.
Nella mia esperienza con aziende del Veronese e del Nord Italia, il malinteso piu' comune e' questo: "Noi non facciamo AI, usiamo solo ChatGPT." Sbagliato. Se i tuoi dipendenti usano un chatbot per generare testi, classificare documenti, analizzare CV o scrivere email ai clienti, stai utilizzando un sistema AI. E l'AI Act ti riguarda.
Altro malinteso frequente: "Siamo una Mid-Cap, non una multinazionale, ci sara' una deroga." L'AI Act prevede alcune semplificazioni procedurali per le PMI (ad esempio sandbox regolamentari e tariffe ridotte per la valutazione di conformita'), ma gli obblighi sostanziali si applicano a tutti. Il criterio non e' la dimensione dell'azienda: e' il livello di rischio del sistema AI che usi.
Riepilogo: i ruoli nell'AI Act
- Fornitore (provider): chi sviluppa o fa sviluppare un sistema AI e lo immette sul mercato. Ha gli obblighi piu' pesanti.
- Deployer (utilizzatore): chi usa il sistema AI nel proprio contesto professionale. Ha obblighi di trasparenza, sorveglianza, formazione.
- Importatore / distributore: chi introduce nell'UE sistemi AI di fornitori extra-UE.
La maggior parte delle aziende italiane Mid-Cap ed Enterprise ricade nel ruolo di deployer. Se hai sviluppato un sistema AI interno (anche con API di terzi), potresti essere anche fornitore. Verifica con il tuo legale.
Le 12 azioni concrete da fare entro giugno 2026
Questa checklist e' ordinata per priorita' operativa. Le prime 6 azioni sono realizzabili internamente con un effort contenuto. Le successive richiedono quasi sempre supporto esterno (legale, tecnico o entrambi). Il mio consiglio: inizia dalla 1 e scendi. Non saltare le prime perche' sembrano banali.
1.Inventario dei sistemi AI in uso
Fai una mappa di tutti i sistemi AI utilizzati in azienda. Non solo quelli che il reparto IT conosce: includi gli strumenti adottati autonomamente dai singoli reparti (marketing che usa Jasper, HR che usa un tool di screening CV, il commerciale che usa un copilot per le email).
Per ognuno, registra: nome del prodotto, fornitore, tipo di utilizzo, dati trattati, reparti coinvolti, data di adozione. Nelle aziende Mid-Cap ed Enterprise che seguo, questa fase da sola fa emergere 5-10 sistemi AI che nessuno aveva censito centralmente. E' il punto di partenza senza il quale tutto il resto e' aria.
2.Classificazione del rischio
Per ogni sistema identificato, determina il livello di rischio secondo l'AI Act: inaccettabile (vietato), alto, limitato o minimo. L'Allegato III del Regolamento elenca i domini ad alto rischio. Attenzione: non basta leggere la lista. Un chatbot di customer care interno e' a rischio limitato; lo stesso chatbot usato per decidere se concedere un prestito e' ad alto rischio. Il contesto d'uso conta quanto il sistema stesso.
3.Obbligo di alfabetizzazione AI (art. 4)
Questo e' l'obbligo piu' sottovalutato e piu' facile da implementare. L'art. 4 richiede che il personale coinvolto nell'uso o nella supervisione di sistemi AI abbia una formazione adeguata. Non specifica un corso certificato: chiede che le persone capiscano cosa fa il sistema che usano, quali limiti ha, e come segnalare anomalie.
In pratica: organizza sessioni di formazione interne differenziate per ruolo (IT, HR, marketing, customer care, management). Documenta date, contenuti, partecipanti. Conserva tutto. Se arriva un audit, la prima cosa che ti chiedono e' proprio questa documentazione.
4.Policy AI aziendale (acceptable use)
Scrivi una policy interna che definisca: quali sistemi AI sono approvati, chi puo' usarli, per quali finalita', con quali dati, e cosa e' vietato. Non deve essere un documento di 80 pagine. Deve essere chiaro, leggibile, e firmato dalla direzione.
Un punto critico: vieta esplicitamente l'inserimento di dati personali, dati sensibili o informazioni riservate aziendali nei tool AI pubblici (ChatGPT, Gemini, Claude) a meno che non ci sia un contratto enterprise con garanzie adeguate. Nella mia esperienza, questo e' il rischio operativo numero uno nelle aziende italiane oggi, indipendentemente dalla dimensione.
5.Trasparenza verso gli utenti
Se i tuoi clienti, dipendenti o fornitori interagiscono con un sistema AI, devono saperlo. L'AI Act (art. 50) richiede che le persone fisiche siano informate quando interagiscono con un sistema AI, quando vengono sottoposti a un sistema di riconoscimento delle emozioni o di categorizzazione biometrica, o quando vengono esposti a contenuti generati o manipolati da AI (deepfake, testi sintetici). In pratica: etichetta i chatbot, segnala i contenuti generati, informa i candidati se usi AI nello screening.
6.Verifica dei contratti con i fornitori AI
Rileggi i contratti e i termini di servizio dei tuoi fornitori AI. Verifica che garantiscano: conformita' al Regolamento, accesso alla documentazione tecnica, cooperazione in caso di audit, gestione dei dati conforme al GDPR. Se il tuo fornitore e' extra-UE e non ha un rappresentante nell'Unione, hai un problema. Fallo presente per iscritto e valuta alternative.
7.DPIA e valutazione d'impatto sui diritti fondamentali
Per i sistemi ad alto rischio, l'art. 27 richiede ai deployer una valutazione d'impatto sui diritti fondamentali prima della messa in servizio. Questa si aggiunge alla DPIA gia' prevista dal GDPR (art. 35). Se hai un DPO, coinvolgilo adesso. Se non ce l'hai, parla con un consulente privacy che conosca l'AI Act. Non improvvisare: una FRIA (Fundamental Rights Impact Assessment) fatta male e' peggio di una non fatta, perche' documenta la tua negligenza.
8.Sistema di sorveglianza umana
Per i sistemi ad alto rischio, l'AI Act richiede un meccanismo di sorveglianza umana (human oversight). Non basta dire "c'e' un responsabile". Devi documentare: chi supervisiona il sistema, con che frequenza, quali anomalie cerca, come le segnala, e chi ha il potere di spegnere il sistema o disattivare una sua funzione. Nei contesti Mid-Cap, questo si traduce in una procedura operativa di 2-3 pagine e un responsabile nominato; in Enterprise va integrato con il sistema di internal audit e i comitati di rischio gia' attivi.
9.Log e tracciabilita'
I deployer di sistemi ad alto rischio devono conservare i log generati automaticamente dal sistema (art. 26, par. 5). Verifica che i tuoi sistemi generino log adeguati e che tu li conservi per il periodo richiesto (minimo 6 mesi, salvo normative settoriali diverse). Se il tuo fornitore non ti da' accesso ai log, questo e' un problema contrattuale da risolvere adesso.
10.Registrazione nella banca dati UE
Se sei un deployer di sistemi AI ad alto rischio e sei un ente pubblico (o agisci per conto di uno), devi registrare l'uso nella banca dati europea prevista dall'art. 49. Per i deployer privati di sistemi ad alto rischio, la registrazione e' comunque richiesta in alcuni casi specifici. Verifica con il tuo legale se rientri nell'obbligo. La piattaforma di registrazione e' gestita dalla Commissione Europea.
11.Procedura di segnalazione incidenti
I fornitori di sistemi AI ad alto rischio devono segnalare incidenti gravi alle autorita' competenti. Ma anche come deployer, se rilevi un malfunzionamento o un rischio per la salute, la sicurezza o i diritti fondamentali, hai l'obbligo di informare il fornitore e, in alcuni casi, l'autorita' di vigilanza. Definisci una procedura interna chiara: chi segnala, a chi, con che tempistiche, con che formato.
12.Audit e revisione periodica
La compliance non e' un progetto con una data di fine. Pianifica una revisione almeno semestrale dell'inventario AI, delle policy, della formazione e delle valutazioni di rischio. I sistemi cambiano, i fornitori aggiornano i modelli, i reparti adottano nuovi strumenti. Se non hai un processo di revisione, in 12 mesi il tuo inventario sara' obsoleto e la tua compliance sara' carta straccia.
Gli errori piu' comuni che vedo nelle aziende italiane
Errore 1: delegare tutto al legale
L'AI Act non e' solo una norma giuridica. E' un regolamento tecnico-organizzativo. Il legale ti serve per le valutazioni giuridiche (base giuridica del trattamento, valutazione d'impatto, contrattualistica). Ma l'inventario dei sistemi, la classificazione del rischio, la formazione interna, le procedure operative: queste sono attivita' che richiedono competenza IT e di processo. Se il tuo legale non ha mai visto un'API, servono entrambe le figure.
Errore 2: confondere AI Act con GDPR
"Siamo a posto col GDPR, quindi siamo a posto anche con l'AI." No. Il GDPR protegge i dati personali. L'AI Act regola i sistemi di intelligenza artificiale, indipendentemente dal fatto che trattino dati personali o meno. Un sistema AI che ottimizza i turni di produzione senza trattare dati personali e' comunque soggetto all'AI Act se ricade nelle categorie ad alto rischio. Sono due binari paralleli, entrambi necessari.
Errore 3: aspettare le linee guida italiane
L'Italia sta lavorando all'istituzione dell'autorita' nazionale competente (AgID e ACN hanno ruoli definiti, ma l'operativita' completa e' ancora in fase di definizione). Alcune aziende usano questo come scusa per non muoversi. Sbagliato: il Regolamento e' direttamente applicabile a livello UE. Non serve una legge italiana di recepimento. Le sanzioni partono dal 2 agosto 2026 a prescindere dallo stato dell'autorita' nazionale.
Errore 4: comprare una "certificazione AI Act" da un vendor
Ho visto offerte di vendor che propongono "certificazione AI Act compliant" per il loro prodotto. Attenzione: al momento non esistono standard armonizzati definitivi ne' organismi di certificazione accreditati per l'AI Act. Lo standard ISO/IEC 42001 (gestione dell'AI) e' un ottimo framework ma non equivale a una conformita' automatica al Regolamento. Diffida di chi ti vende una scorciatoia.
Fondi e incentivi disponibili
Adeguarsi ha un costo, ma esistono strumenti che possono coprire una parte significativa dell'investimento:
- Credito d'imposta Transizione 5.0: copre investimenti in formazione e consulenza sulla trasformazione digitale e green, inclusa l'AI. Le aliquote e i massimali dipendono dalla tipologia di investimento; verifica con il tuo commercialista se la tua spesa rientra.
- Bandi regionali (Veneto, Lombardia, Emilia-Romagna): diverse Regioni hanno bandi attivi o in uscita per la digitalizzazione delle PMI che includono la compliance normativa tra le spese ammissibili. Il Bando Innovazione Digitale della Regione Veneto e' uno dei piu' rilevanti.
- Sandbox regolamentari AI Act: il Regolamento prevede la creazione di ambienti di sperimentazione regolamentare a livello nazionale (art. 57-62). Le PMI possono accedervi con tariffe ridotte e supporto tecnico. I dettagli operativi dipendono dall'autorita' nazionale.
- Fondi PNRR residui e Digital Europe Programme: alcuni fondi europei per la digitalizzazione includono la compliance AI. L'accesso e' tipicamente tramite bandi competitivi.
Un consiglio pratico: non aspettare il bando perfetto per iniziare. Avvia il lavoro adesso e usa i fondi per coprire i costi retroattivamente dove possibile. L'alternativa e' arrivare ad agosto senza un inventario e senza formazione, col bando approvato ma nulla da rendicontare.
In sintesi
L'AI Act non e' una burocrazia in piu'. E' un framework che, se implementato con metodo, migliora la gestione del rischio, la trasparenza verso clienti e dipendenti, e la qualita' dei processi AI in azienda. Il costo di adeguarsi adesso e' una frazione del costo di una sanzione o, peggio, di un incidente AI gestito senza procedure.
Nel mio ruolo di Fractional IT Director uso una piattaforma proprietaria (Arenia) per testare in produzione le stesse cose che raccomando ai clienti: governance, trasparenza, sorveglianza umana, documentazione. Non e' teoria. E' metodo applicato.
Se hai bisogno di una regia direzionale per capire dove sei e portare il programma in compliance, parliamone. Spesso il punto di partenza e' un AI Portfolio & Governance Sprint di 6 settimane; da li' il mandato puo' proseguire come supervisione continuativa fino al go-live degli obblighi.