AI Act: quattro date che contano per le PMI

AI Act: le quattro date che contano per le PMI

La risposta in due minuti.

Le scadenze sono quattro, non una. Dal 2 agosto 2026 devi dichiarare i chatbot e marcare i contenuti sintetici: è l'unica cosa che scade adesso, e per quasi tutte le PMI si risolve in un pomeriggio. Il 2 dicembre 2026 riguarda la marcatura tecnica dei contenuti generati, ma è un obbligo dei fornitori dei sistemi, non di chi li usa. Il 2 dicembre 2027 e il 2 agosto 2028 riguardano i sistemi ad alto rischio — selezione del personale, scoring creditizio — e sono stati rinviati.

Quale ti si applica dipende da una sola domanda: sei fornitore o utilizzatore dei sistemi di IA che passano dalla tua azienda? Se usi software già pronto, sei utilizzatore e la tua scadenza è una sola. Se costruisci, integri o rivendi IA col tuo marchio, cambia tutto.

Il resto dell'articolo spiega ciascun punto.

Il calendario, in una tabella

2 agosto 2026: Trasparenza (art. 50), sanzioni, vigilanza. Riguarda: Tutti

2 dicembre 2026: Marcatura leggibile da macchina, nuovi divieti art. 5 . Riguarda: Fornitori di sistemi generativi

2 dicembre 2027: Alto rischio, Allegato III (rinviato). Riguarda: Chi usa selezione personale, scoring

2 agosto 2028: Alto rischio, Allegato I (rinviato). Riguarda: IA integrata dentro prodotti

C'è una quinta data nel regolamento — il 2 agosto 2027 per le sandbox normative — ma è un termine per gli Stati membri, non un obbligo per le imprese. Per questo non la trovi in tabella.

2 agosto 2026: quello che scade adesso

Tre cose entrano in gioco.

Gli obblighi di trasparenza dell'articolo 50. Chatbot e assistenti virtuali devono dichiarare di essere sistemi automatizzati. I deepfake e i contenuti sintetici vanno marcati. I sistemi di riconoscimento delle emozioni o basati su dati biometrici devono informare le persone esposte.

Il regime sanzionatorio nazionale previsto dall'articolo 99: le autorità iniziano concretamente a vigilare sul mercato.

Le ammende della Commissione sui fornitori di modelli per finalità generali (articolo 101). Se non sviluppi modelli, questo punto non ti riguarda.

Tradotto: se sul tuo sito c'è un chatbot che non dice di essere un chatbot, dal 2 agosto sei formalmente fuori norma. È l'adempimento più semplice del pacchetto ed è quello su cui inciampa il maggior numero di aziende, perché il chatbot spesso è arrivato dentro un plugin che nessuno ha più guardato dal giorno dell'installazione.

La buona notizia è che si sistema in mezza giornata. Serve sapere dove guardare.

2 dicembre 2026: la marcatura tecnica

Da questa data diventa obbligatoria la marcatura leggibile da macchina dei contenuti generati o manipolati dall'IA: watermarking, metadati firmati, standard tipo C2PA. Per i sistemi generativi già sul mercato c'è una finestra transitoria che si chiude lo stesso giorno. Dalla stessa data scattano anche due nuovi divieti aggiunti all'articolo 5.

Attenzione a chi tocca l'obbligo. Pesa sui fornitori dei sistemi generativi, non su chi li usa. Se apri ChatGPT o Claude per scrivere una mail, la marcatura tecnica è un problema di chi produce il modello, non tuo.

Cambia se costruisci, rivendi o integri un sistema generativo dentro un prodotto che porta il tuo marchio. È più frequente di quanto si creda: succede ogni volta che una software house impacchetta un'API dentro un gestionale e lo vende col proprio nome.

Il rinvio (e cosa non rinvia)

Il 24 luglio è stato pubblicato in Gazzetta Ufficiale europea il regolamento (UE) 2026/1744 — il "Digital Omnibus sull'IA" — in vigore dal 27 luglio. Sposta in avanti le scadenze più onerose:

• Allegato III (sistemi ad alto rischio autonomi): dal 2 agosto 2026 al 2 dicembre 2027

• Allegato I (IA integrata in prodotti già regolamentati): dal 2 agosto 2027 al 2 agosto 2028

L'Allegato III tocca più PMI di quanto sembri: selezione del personale, valutazione del merito creditizio, istruzione e formazione, infrastrutture critiche, identificazione biometrica. Se usi uno strumento che fa screening automatico dei CV o ranking dei candidati, sei lì dentro — con più tempo, non con meno obblighi.

Perché il rinvio non è un liberi tutti: i divieti restano, la trasparenza resta, e il 2 agosto 2026 resta il giorno in cui il sistema sanzionatorio comincia a mordere. Diciotto mesi in più sono un'occasione per arrivarci preparati, non per rimandare l'inventario.

Fornitore o utilizzatore: la domanda che decide tutto

È il punto che cambia gli obblighi più di qualsiasi altro, ed è quello che i contratti SaaS quasi mai chiariscono.

Sei utilizzatore se usi software di IA già pronto: il chatbot sul sito, il CRM con lo scoring dei lead, il gestionale HR. Ti riguardano gli avvisi, la trasparenza sui contenuti e la verifica di come vengono usati i dati. Le responsabilità sono più contenute.

Sei fornitore se sviluppi, modifichi in modo sostanziale o rivendi un sistema di IA col tuo marchio. Qui arrivano gli obblighi tecnici veri: documentazione, valutazione di conformità, responsabilità sul modello.

Molte aziende scoprono di essere in parte l'una e in parte l'altro, con strumenti diversi. Per questo la classificazione va fatta per singolo sistema, non per azienda. E per questo vale la pena mettere il ruolo nero su bianco nei contratti con i vendor: se il fornitore non è conforme, il problema arriva comunque sulla tua scrivania.

Chi controlla, in Italia

Sopra al regolamento europeo c'è un livello nazionale, ed è quello con l'impatto più immediato su un'impresa italiana. La legge 132/2025, in vigore dal 10 ottobre 2025, ha fatto dell'Italia il primo Paese UE con un quadro organico allineato all'AI Act:

• ACN (Agenzia per la Cybersicurezza Nazionale): vigilanza sul mercato, poteri ispettivi e sanzionatori

• AgID (Agenzia per l'Italia Digitale): notifica e accreditamento degli organismi

Un passaggio spesso ignorato: l'articolo 13 ammette l'uso dell'IA nelle professioni intellettuali solo in via strumentale, con prevalenza del lavoro intellettuale, e impone di comunicare al cliente quali sistemi si stanno usando con linguaggio chiaro ed esaustivo. Se sei uno studio professionale, questo è in vigore da nove mesi.

Sulle sanzioni, una precisazione che conviene conoscere. Le ammende arrivano a 35 milioni o al 7% del fatturato mondiale per le pratiche vietate, e a 15 milioni o al 3% per gli altri obblighi. Ma per PMI e start-up si applica l'importo inferiore tra i due, non il superiore. Il rischio economico esiste; è meno apocalittico di come viene raccontato.

La formazione: cosa dice davvero la norma

Sull'alfabetizzazione IA gira parecchia disinformazione, spesso venduta da chi poi ti propone il corso.

I fatti: l'obbligo dell'articolo 4 è in vigore dal 2 febbraio 2025 e il Digital Omnibus ne ha alleggerito la formulazione. Non ha una sanzione diretta. Però la mancata formazione pesa come misura organizzativa nella commisurazione delle sanzioni per altre violazioni, ai sensi dell'articolo 99, paragrafo 7, lettera g).

Detto onestamente: nessuno verrà a multarti perché non hai fatto formazione. Se emerge un problema su un altro fronte, non averla fatta ti costa di più. E il motivo pratico conta più di quello normativo — chi non capisce i limiti dello strumento produce output sbagliati e non se ne accorge.

Contattaci per ricevere la formazione giusta per la tua realtà ed essere perfettamente in regola:
https://playmindstudio.it/#contatti

Come ci siamo adeguati noi

Questa sezione news è alimentata da una pipeline automatica: fonti RSS, classificazione con un modello linguistico, pubblicazione programmata.

Applicare l'articolo 50 a noi stessi significa scegliere tra due strade legittime: dichiarare che il testo è generato da IA, oppure far passare il contenuto da una revisione umana con una persona che se ne assume la responsabilità editoriale. Costi diversi, entrambe valide. [Descrivere qui quale avete scelto e perché, con lo screenshot dell'etichetta.]

L'abbiamo fatto perché è la cosa giusta, ma anche perché è il test più onesto di una consulenza: se il consiglio che diamo non regge applicato al nostro sito, non regge nemmeno sul tuo.

Cosa fare, in ordine

Cinque passaggi. Nessuno richiede un avvocato per iniziare.

1. Inventario. Elenca ogni software con componenti di IA. Non solo quelli che chiami "AI": il CRM con lo scoring, il gestionale HR che filtra i CV, il tool di marketing che ottimizza le campagne, il chatbot, l'antifrode. L'IA nascosta dentro i SaaS è il grosso del problema.

2. Ruolo. Per ciascuno: fornitore o utilizzatore. Da qui discendono gli obblighi.

3. Classificazione. Vietato, alto rischio (Allegato III), trasparenza (articolo 50), rischio minimo.

4. Trasparenza subito. È l'unica cosa che scade tra pochi giorni ed è anche la più economica.

5. Fornitori. Chiedi dichiarazione di conformità e documentazione tecnica. Chi non risponde è un dato utile in sé.

Il punto 1 è quello che quasi nessuno fa, e senza il quale gli altri quattro non stanno in piedi. Vale la regola che ripetiamo da sempre: prima i dati in ordine, poi l'intelligenza artificiale. Un inventario dei sistemi non è burocrazia — è la stessa mappa che ti serve per capire dove l'IA ti sta facendo risparmiare davvero e dove no.

Questo articolo ha finalità informative e divulgative e non costituisce consulenza legale. Per la valutazione di conformità di sistemi specifici è opportuno rivolgersi a un professionista qualificato. Fonti: Regolamento (UE) 2024/1689 (AI Act), Regolamento (UE) 2026/1744 (Digital Omnibus sull'IA, GUUE 24 luglio 2026), Legge 23 settembre 2025 n. 132.

Se vuoi partire dal punto 1, l'inventario guidato dei sistemi di IA è il primo passo con cui lavoriamo con le PMI del territorio. [CTA]