Il 2 agosto 2026 è la data che mancava nel calendario di ogni imprenditore italiano che usa ChatGPT, un chatbot sul sito, o qualsiasi strumento di intelligenza artificiale in azienda.
Non è una data per chi sviluppa AI. È una data per chi la usa.
La notizia buona: per la stragrande maggioranza delle PMI italiane, l'AI Act non richiede interventi massicci. La notizia meno buona: richiede interventi specifici, documentati, con scadenze precise. E chi ha aspettato troppo ha già poco tempo.
Cosa regola l'AI Act
L'AI Act è il primo regolamento europeo sull'intelligenza artificiale. È entrato ufficialmente in vigore il 1° agosto 2024 e diventa pienamente applicabile per gradi, con scadenze diverse in base al tipo di sistema AI.
Regolamenta chi costruisce sistemi AI, chi li mette sul mercato, e chi li usa nell'esercizio della propria attività. Quest'ultima categoria — i "deployer" nel linguaggio del regolamento — include qualsiasi PMI italiana che usa strumenti AI nel lavoro quotidiano.
Non importa se lo strumento è sviluppato da altri (OpenAI, Microsoft, Google, Anthropic): se lo usi nell'ambito della tua attività professionale, sei un deployer e hai obblighi.
Le quattro categorie di sistemi AI
L'AI Act classifica i sistemi in base al rischio che pongono:
Sistemi vietati Pratiche AI completamente proibite dal 2 febbraio 2025: manipolazione subliminale, social scoring governativo, riconoscimento emotivo nei luoghi di lavoro (con eccezioni), sistemi di categorizzazione biometrica. Per quasi tutte le PMI, questa categoria non è rilevante.
Sistemi ad alto rischio Sistemi che impattano su aree critiche: selezione del personale (CV screening automatizzato), scoring creditizio, accesso a servizi sanitari, sicurezza delle infrastrutture. Se la tua PMI usa un sistema AI per scegliere i candidati da intervistare o per valutare l'affidabilità creditizia dei clienti, probabilmente è qui. Scadenza obblighi: 2 agosto 2026.
Sistemi con obblighi di trasparenza (art. 50) Chatbot, agenti AI che interagiscono con utenti finali, contenuti generati da AI. Chiunque deploya un chatbot sul sito o su WhatsApp — incluse le PMI — ha obblighi di disclosure verso gli utenti. Scadenza: 2 agosto 2026. Approfondisci nel chatbot aziendale e AI Act.
Sistemi a rischio minimo La categoria che include la grande maggioranza degli strumenti usati dalle PMI: ChatGPT per scrivere email, Copilot per analizzare dati, strumenti di raccomandazione prodotto, filtri anti-spam. Nessun obbligo specifico oltre alla buona pratica.
I tre obblighi concreti per le PMI nel 2026
Per la PMI italiana media gli obblighi concreti entro agosto 2026 sono tre.
Obbligo 1 — AI literacy del personale (art. 4, già in vigore) Tutti i dipendenti che usano o supervisionano sistemi AI devono avere un livello di competenza AI proporzionato al loro ruolo. L'obbligo è già in vigore dal 2 agosto 2025. La documentazione deve esistere: chi ha fatto cosa, quando, con quale contenuto formativo. Vedi AI literacy: obbligo di legge.
Obbligo 2 — Disclosure per chatbot e agenti AI (art. 50, da agosto 2026) Se hai un chatbot sul sito, su WhatsApp Business, o qualsiasi agente AI che interagisce con gli utenti, devi informare l'utente che sta parlando con un sistema automatizzato — non con un essere umano. Deve essere chiaro, non nascosto in un footer che nessuno legge.
Obbligo 3 — Documentazione minima dei sistemi ad alto rischio (se applicabile) Per le PMI che usano sistemi AI in aree considerate ad alto rischio dall'Allegato III dell'AI Act, serve una documentazione più strutturata: descrizione del sistema, finalità d'uso, dati utilizzati, misure di supervisione umana, procedure di segnalazione anomalie.
Cosa rischi se non ti metti in regola
Le sanzioni dell'AI Act sono tra le più alte mai viste in normativa europea. Per le PMI si applica sempre il valore più basso tra l'importo assoluto e la percentuale del fatturato. In pratica, una PMI con fatturato di €2 milioni rischia al massimo €20.000-€60.000 per le violazioni più comuni — che non è poco.
Ma il rischio economico diretto non è il principale. Il rischio più rilevante per una PMI è quello reputazionale e contrattuale: i clienti enterprise iniziano a richiedere ai propri fornitori la conformità all'AI Act come prerequisito contrattuale. Chi non è conforme inizia a perdere gare. Approfondisci nel rischio sanzioni.
In Italia, l'autorità di vigilanza è l'ACN (Agenzia per la Cybersicurezza Nazionale), designata dalla Legge 132 del 10 ottobre 2025. I controlli nel regime pieno partono dal 3 agosto 2026.
Il piano di adeguamento per una PMI standard
Per una PMI italiana che usa strumenti AI nel lavoro quotidiano, un piano di adeguamento realistico richiede 6-8 settimane di lavoro:
Settimana 1-2 — Inventario dei sistemi AI in uso Censire tutti i sistemi AI usati in azienda: quali strumenti, da chi, per quale scopo. Classificarli nelle categorie dell'AI Act.
Settimana 3-4 — Formazione del personale Erogare il percorso di AI literacy con attestati per ogni partecipante. Il contenuto minimo: cos'è l'AI, come funziona, rischi e responsabilità, GDPR nell'uso dell'AI.
Settimana 5 — Documentazione dei sistemi Per ogni sistema AI in uso: scheda con nome del sistema, fornitore, scopo d'uso, dati trattati, responsabile interno, misure di supervisione.
Settimana 6 — Disclosure e policy Aggiornare i chatbot con la disclosure obbligatoria. Redigere una policy interna sull'uso dell'AI. Aggiornare il registro trattamenti GDPR con i nuovi sistemi AI.
Settimana 7-8 — Audit e documentazione finale Redigere il documento di audit interno AI Act. Questo è il primo documento che presenti all'ACN in caso di controllo. Per il dettaglio della scadenza vedi obblighi agosto 2026.
Il Digital Omnibus: cosa è cambiato a maggio 2026
Il Digital Omnibus è una proposta di modifica all'AI Act presentata dalla Commissione UE nel 2025 e in parte adottata. Per le PMI, i cambiamenti principali:
Semplificazione per le PMI senza personale con ruolo AI diretto: le microimprese (< 10 dipendenti, < €2M fatturato) hanno obblighi di documentazione ridotti, purché il loro uso AI sia in categoria rischio minimo.
Watermarking per contenuti AI-generated: l'obbligo di marcatura machine-readable dei contenuti generati da AI è stato parzialmente rinviato al 2 novembre 2026 (o febbraio 2027 secondo la posizione della Commissione). L'obbligo di disclosure verso l'utente rimane invariato da agosto 2026.
La soglia di rischio sistemico per i GPAI: soglia alzata, rendendo meno probabile che una PMI che fa fine-tuning di un modello ricada in questa categoria.
Come TENDEOAI aiuta con la compliance AI Act
Affianchiamo le PMI nell'adeguamento all'AI Act con un percorso in 4 settimane: censimento e classificazione dei sistemi AI in uso, percorso di AI literacy per il personale (attestati inclusi), documentazione dei sistemi, aggiornamento dei chatbot con disclosure conforme, documento di audit interno.
Il costo per una PMI media (fino a 50 dipendenti, uso AI standard) è di €2.500-€4.500, in parte recuperabile con Fondimpresa per la parte formativa. Vedi la guida agli incentivi 2026.