L'AI Act è entrato in vigore. Se gestite un'azienda che usa — o vuole usare — l'intelligenza artificiale, la domanda è legittima: cosa dobbiamo fare?
La risposta breve: probabilmente meno di quanto pensate. Ma non zero.
Questo articolo è scritto per imprenditori e IT manager, non per avvocati. Niente legalese, niente paragrafi di 200 parole. Solo quello che vi serve sapere per essere in regola.
Cos'è l'AI Act in 3 frasi
È il regolamento europeo che classifica i sistemi di intelligenza artificiale in base al rischio. Più il rischio è alto, più gli obblighi sono stringenti. Si applica a chi sviluppa, distribuisce o usa sistemi AI nell'Unione Europea.
La classificazione del rischio spiegata semplice
Rischio minimo
La maggior parte dei sistemi AI usati in azienda. Chatbot sul sito, assistenti per la ricerca documenti, generatori di report, suggerimenti automatici. Nessun obbligo specifico — solo buon senso e trasparenza.
Rischio limitato
Sistemi che interagiscono con le persone e devono dichiararlo. Il chatbot deve dire che è un chatbot. I contenuti generati dall'AI devono essere identificabili. Obbligo di trasparenza.
Rischio alto
Sistemi che prendono decisioni su persone — screening CV, valutazione del credito, accesso a servizi essenziali. Obblighi stringenti: documentazione tecnica, valutazione del rischio, supervisione umana, audit periodici.
Rischio inaccettabile
Sistemi vietati. Social scoring, manipolazione subliminale, sorveglianza biometrica di massa. Se li usate, fermatevi. Ma è improbabile che riguardino la vostra azienda.
Cosa devono fare le aziende concretamente
Se usate AI a rischio minimo o limitato (la maggior parte dei casi):
- Informate gli utenti che stanno interagendo con un'AI (se applicabile)
- Documentate quali sistemi AI usate e per cosa
- Assicuratevi che ci sia sempre la possibilità di intervento umano
- Monitorate che l'AI faccia quello che deve fare — e nient'altro
Se usate o volete usare AI a rischio alto:
- Tutto quanto sopra, più:
- Valutazione del rischio formale (FRIA — Fundamental Rights Impact Assessment)
- Documentazione tecnica dettagliata del sistema
- Sistema di gestione della qualità per il ciclo di vita dell'AI
- Log di tutte le decisioni prese dal sistema
- Audit periodici da parte di enti notificati (per i casi più critici)
Cosa NON dovete fare (sfatiamo i miti)
Mito 1: "Dobbiamo certificare ogni uso dell'AI"
Falso. Solo i sistemi a rischio alto richiedono procedure formali. Il chatbot che risponde alle FAQ dei clienti non ha bisogno di certificazione.
Mito 2: "Dobbiamo smettere di usare ChatGPT"
Falso. ChatGPT e strumenti simili sono sistemi a rischio minimo. Usateli — con buon senso. Non inserite dati sensibili, non basate decisioni critiche solo sull'output dell'AI.
Mito 3: "Ci serve un avvocato specializzato in AI"
Dipende. Per la maggior parte delle PMI, no. Vi serve capire dove vi collocate nella classificazione del rischio e documentare l'uso. Se usate AI per lo screening dei CV o per decisioni su persone, allora sì — consultatevi.
Le scadenze che contano
Aggiornamento del 12 agosto 2026. Le scadenze sui sistemi ad alto rischio sono cambiate. Il Regolamento (UE) 2026/1744, adottato l'8 luglio 2026 ed entrato in vigore il 27 luglio, le ha spostate in avanti di oltre un anno. Attenzione però: la trasparenza non è stata rinviata, ed è già in vigore.
- Febbraio 2025: divieti sui sistemi a rischio inaccettabile e obbligo di alfabetizzazione AI (in vigore)
- Agosto 2025: obblighi per i modelli di uso generale (GPAI)
- Ottobre 2025: in Italia, informativa ai lavoratori sull'uso dell'AI (Legge 132/2025)
- 2 agosto 2026: obblighi di trasparenza dell'articolo 50 — il chatbot deve dichiarare di essere un chatbot, i contenuti sintetici e i deepfake vanno etichettati. Sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale. Già applicabile
- 2 dicembre 2026: scade il periodo transitorio di quattro mesi per la marcatura dei sistemi generativi già sul mercato prima del 2 agosto 2026
- 2 dicembre 2027: obblighi per i sistemi ad alto rischio dell'Allegato III — selezione del personale, valutazione del credito, servizi essenziali (era agosto 2026)
- 2 agosto 2028: obblighi per l'alto rischio integrato in prodotti regolamentati (era agosto 2027)
Il rinvio riguarda una parte che alla maggioranza delle PMI non si applicava comunque nell'immediato. Chi si è fermato al titolo "l'Europa rinvia l'AI Act" e ne ha dedotto che non ci sia nulla da fare ha capito male: gli obblighi di trasparenza sono scattati e valgono anche per chi l'AI la compra soltanto.
Come Aitaky gestisce la compliance
Ogni soluzione che costruiamo è conforme by design, grazie anche al supporto della nostra divisione cybersecurity:
- I dati restano on-premise — nessun trasferimento a terze parti
- Supervisione umana integrata in ogni flusso
- Documentazione tecnica inclusa nel deliverable
- Trasparenza: ogni output AI è tracciabile alla fonte dati
Non vi vendiamo "l'AI conforme" come feature aggiuntiva. È il modo in cui lavoriamo.
Volete verificare se il vostro uso dell'AI è conforme? Parliamone →
Articoli correlati: