Le tre date dell'AI Act che contano
L'AI Act è entrato in vigore il 1° agosto 2024. Da lì, ha un'applicabilità progressiva:
2 febbraio 2025 — Divieti assoluti I sistemi AI vietati non possono essere usati da quella data: manipolazione subliminale, social scoring governativo, riconoscimento emotivo in luoghi di lavoro (con eccezioni). Già passata.
2 agosto 2025 — AI literacy L'obbligo di formare i dipendenti sull'AI (art. 4) è scattato un anno fa. Chi non l'ha ancora fatto è tecnicamente già in ritardo. Vedi AI literacy obbligo di legge.
2 agosto 2026 — La data principale per le PMI Entrano in vigore: obblighi per i sistemi ad alto rischio (documentazione, supervisione, registrazione), obblighi di trasparenza per chatbot e agenti AI (art. 50), obbligo di registrazione dei sistemi ad alto rischio nel database europeo EIPAMA.
Cosa succede il 3 agosto 2026
Dal 3 agosto 2026, l'ACN entra in regime pieno di vigilanza. In pratica:
- Può avviare ispezioni a seguito di segnalazioni o su iniziativa propria
- Può richiedere documentazione sui sistemi AI in uso
- Può applicare le sanzioni previste dall'art. 99
I controlli non partiranno a caso — le prime verifiche probabilmente si concentreranno sui settori ad alto rischio e sulle aziende che hanno ricevuto segnalazioni. Ma l'assenza di documentazione è un rischio concreto anche per le PMI.
La checklist pratica per agosto 2026
☐ Inventario sistemi AI (già dovrebbe esistere) Lista di tutti gli strumenti AI in uso: nome, fornitore, scopo d'uso, chi li usa.
☐ Classificazione del rischio Per ogni sistema: rischio minimo, limitato (trasparenza), alto rischio, o vietato? La classificazione determina gli obblighi specifici.
☐ Formazione AI literacy documentata (obbligo agosto 2025) Registro della formazione erogata: date, contenuti, partecipanti, attestati. Se non esiste, va fatto subito — è già in ritardo.
☐ Disclosure sui chatbot (obbligo agosto 2026) I chatbot e gli agenti AI che interagiscono con utenti devono identificarsi come sistemi automatizzati. Vedi chatbot aziendale e AI Act.
☐ Documentazione sistemi ad alto rischio (se applicabile) Se la PMI usa sistemi AI per selezione personale, scoring clienti, o altre aree dell'Allegato III, serve documentazione più completa.
☐ Aggiornamento registro trattamenti GDPR I sistemi AI che trattano dati personali devono essere inclusi nel registro trattamenti GDPR, con base giuridica e misure di sicurezza.
☐ Policy interna sull'uso AI Un documento interno che definisce come si usa l'AI in azienda, cosa è consentito e cosa no, chi è responsabile.
☐ Documento di audit interno Riepilogo di tutto quanto sopra in formato consultabile in caso di controllo ACN.
Il caso specifico dell'art. 50: chatbot e disclosure
L'articolo 50 dell'AI Act è quello che riguarda più direttamente le PMI con chatbot. Obbliga a:
Informare che si interagisce con AI: chiunque interagisca con un chatbot o un agente AI deve essere informato in modo chiaro che si tratta di un sistema automatizzato, non di un essere umano.
Non simulare un essere umano: il sistema non deve essere progettato per far credere all'utente di parlare con una persona. Il nome del chatbot può essere umano (es. "Luca, assistente di Mario&Co.") purché sia chiaro che è un AI.
Disclosure sui contenuti generati da AI: contenuti marketing, immagini, video e audio generati da AI devono essere marcati come tali.
Il Digital Omnibus ha parzialmente rinviato l'obbligo di watermarking machine-readable per i contenuti AI-generated al novembre 2026 o febbraio 2027. Ma la disclosure esplicita verso l'utente rimane invariata da agosto 2026.
Quanto tempo serve per mettersi in regola
Per una PMI italiana con uso AI standard (ChatGPT, Copilot, un chatbot sul sito):
- Inventario e classificazione: 3-5 giorni
- Formazione AI literacy: 1-2 giornate formative
- Documentazione: 5-7 giorni
- Aggiornamento chatbot con disclosure: 1-2 giorni
- Policy interna e audit: 3-5 giorni
Totale: 4-6 settimane se si inizia subito. Per la panoramica completa vedi la guida AI Act per PMI italiane.