«Mi hanno detto che con l’AI Act rischio multe da decine di migliaia di euro. È vero?»
Me lo chiedono sempre più spesso. E la risposta onesta è: dipende, ma quasi certamente non come immagini.
Ogni due settimane esce un titolo allarmante: multe milionarie, scadenze, burocrazia in arrivo. Se gestisci una piccola o media impresa, il rumore di fondo è assordante e la domanda vera resta una sola: cosa cambia per me, e quando?
La risposta, nella maggior parte dei casi, è molto meno spaventosa di quanto sembri. Ma c’è una data che ti conviene avere chiara, il 2 agosto 2026, e un paio di obblighi che, sorpresa, ti riguardano già oggi anche se usi l’AI solo per scrivere due email. Vediamoli, senza panico e senza tecnicismi inutili.
Una precisazione doverosa: qui trovi informazioni e un inquadramento pratico, non una consulenza legale sul tuo caso specifico.
Prima di tutto: non è una direttiva, è un regolamento
Sembra un dettaglio da azzeccagarbugli. Non lo è, e cambia la sostanza.
L’AI Act, il Regolamento (UE) 2024/1689, è un regolamento, non una direttiva. La differenza? Una direttiva detta obiettivi che poi ogni Stato recepisce con una propria legge nazionale, con tempi e sfumature diverse. Un regolamento, invece, si applica direttamente e allo stesso modo in tutta l’Unione, senza bisogno di una legge italiana che lo traduca.
Tradotto per te: non puoi aspettare «che l’Italia lo recepisca». È già legge, qui, adesso, con un calendario europeo unico. E c’è un secondo equivoco da smontare subito.
L’AI Act non riguarda solo chi sviluppa l’intelligenza artificiale. Riguarda anche chi la usa. Se nella tua azienda qualcuno apre ChatGPT, Claude o un qualsiasi strumento di AI per lavorare, alcune regole toccano già te, non solo le big tech che quei modelli li costruiscono.
Le date che contano davvero
L’AI Act è entrato in vigore il 1° agosto 2024, ma si applica a tappe. Dimentica le venti scadenze che trovi negli articoli tecnici: per una PMI ne contano quattro.
- 2 febbraio 2025, già in vigore. Sono attivi i divieti sulle pratiche considerate inaccettabili (per esempio il social scoring o certe forme di manipolazione subdola). Ed è scattato l’obbligo di alfabetizzazione AI: chi usa o fornisce sistemi di AI deve garantire che il personale coinvolto abbia una formazione di base adeguata. Tieni a mente quest’ultimo: è il più sottovalutato di tutti, e ci torno tra poco.
- 2 agosto 2025, già in vigore. Sono partiti gli obblighi per i modelli di AI generica (i «GPAI», i grandi modelli dietro ChatGPT e simili) e le regole di governance. Riguardano soprattutto chi produce quei modelli, non chi li usa: per te è utile saperlo, ma di norma non ti tocca in prima persona.
- 2 agosto 2026, la data da cerchiare. Scattano gli obblighi di trasparenza e diventano pienamente applicabili le sanzioni. È la scadenza che, più di ogni altra, può toccare una PMI che usa l’AI per contenuti e assistenza clienti. La vediamo nel dettaglio.
- 2 dicembre 2027 e 2 agosto 2028, alto rischio. Gli obblighi più pesanti, quelli per gli usi ad alto rischio, sono stati rinviati: al 2 dicembre 2027 per gli usi elencati nell’Allegato III (per esempio AI per selezione del personale o valutazione del credito) e al 2 agosto 2028 per l’AI integrata in prodotti già regolati (dispositivi medici, ascensori, apparecchiature radio).
Una nota di onestà , perché conta. Questo rinvio dell’alto rischio arriva dal cosiddetto Digital Omnibus, il pacchetto con cui l’UE sta semplificando l’AI Act. Le istituzioni europee hanno raggiunto un accordo provvisorio il 7 maggio 2026, ma l’adozione formale e la pubblicazione in Gazzetta Ufficiale sono attese nei mesi successivi. Finché non è pubblicato, quelle nuove date non sono ancora definitive al 100%. Se devi prendere decisioni vincolanti sull’alto rischio, verifica lo stato aggiornato. Sul resto, e soprattutto sul 2 agosto 2026, il quadro è solido.
Cosa cambia davvero il 2 agosto 2026
Il cuore di quella data, per te, sono gli obblighi di trasparenza. L’idea di fondo è semplice e persino ragionevole: le persone hanno diritto di sapere quando stanno parlando con una macchina o guardando un contenuto creato da una macchina.
In concreto, ecco i tre casi che possono riguardare una PMI:
- Il chatbot deve dichiararsi. Se hai un assistente virtuale o un chatbot sul sito, l’utente deve capire che sta interagendo con un’AI, non con una persona. Niente finzioni. Spesso basta una riga.
- I contenuti generati dall’AI vanno segnalati. Testi, immagini, audio e video prodotti o manipolati dall’AI vanno marcati come tali nei casi previsti, anche in un formato leggibile dalle macchine. Se pubblichi verso il pubblico immagini generate o testi su temi di interesse pubblico, questo ti riguarda.
- I deepfake vanno etichettati. Un contenuto audio o video che ritrae persone o eventi in modo artificiale, destinato al pubblico, deve portare un’etichetta visibile che ne dichiari la natura.
C’è una finestra di adeguamento limitata per i sistemi generativi già sul mercato, soprattutto sulla marcatura dei contenuti: i termini esatti si stanno definendo proprio dentro il Digital Omnibus. Ma il principio parte il 2 agosto 2026, ed è una di quelle regole che conviene seguire anche al netto della legge: la trasparenza, con chi ti legge, è prima di tutto una questione di fiducia.
Dalla stessa data diventano pienamente applicabili le sanzioni. I numeri che leggi nei titoloni, fino a 35 milioni di euro o il 7% del fatturato mondiale, esistono, ma valgono per le violazioni più gravi, come l’uso di pratiche vietate. Per gli altri obblighi i tetti scendono (fino a 15 milioni o il 3%), e per le PMI e le startup il regolamento prevede esplicitamente importi proporzionati alla dimensione. Insomma: la sanzione da incubo è reale, ma è pensata per chi fa cose gravi, non per il negozio che dimentica di etichettare un’immagine. Il rischio concreto, per la maggior parte delle piccole imprese, non è la multa milionaria. È farsi trovare impreparati su regole che, viste da vicino, sono gestibili.
La tua PMI è «ad alto rischio»? Quasi sempre no
Qui si concentra metà dell’ansia, e quasi sempre è ansia mal riposta.
«Alto rischio», nell’AI Act, non vuol dire «uso importante» o «AI potente». È una lista precisa di impieghi, definita dal regolamento. Ci rientri se usi l’AI per decidere su persone in ambiti delicati: selezione del personale, valutazione del credito, accesso a servizi essenziali, sicurezza dei prodotti. Lì gli obblighi diventano seri, documentazione, controllo umano, valutazione dei rischi, ed è giusto che lo siano.
Ma se usi l’AI per scrivere bozze, generare contenuti, riassumere documenti, dare supporto interno o assistere i clienti, ricadi quasi sempre nelle fasce a rischio limitato o minimo. Dove l’unico obbligo reale è, appunto, la trasparenza. Niente progetti di compliance da migliaia di euro. Niente burocrazia infinita.
Se invece la tua azienda è più strutturata e l’AI inizia a entrare in decisioni delicate, chi assumere, a chi concedere fido, come valutare un fornitore, allora il discorso cambia, e serve qualcuno che tenga la regia tecnica e normativa di quei processi. È esattamente il tipo di situazione di cui parlo nel servizio di CTO in Affitto: non «installare un’AI», ma governarla con criterio.
L’obbligo che quasi nessuno ha notato (e riguarda tutti)
Mentre i titoli parlano di multe e alto rischio, c’è un obbligo già in vigore dal febbraio 2025 che riguarda praticamente ogni azienda che usa l’AI: l’alfabetizzazione AI.
In parole semplici: se i tuoi collaboratori usano strumenti di AI nel lavoro, devi assicurarti che abbiano una formazione di base adeguata. Non un master. Non una certificazione. Una consapevolezza minima di cosa quegli strumenti possono e non possono fare, e di quali rischi comportano.
Non è un cavillo. È la regola più sensata di tutto il pacchetto, perché protegge te prima ancora che il legislatore. Una persona che non ha mai ricevuto due indicazioni su come usare l’AI è la stessa persona che, in buona fede, incolla i dati riservati di un cliente dentro uno strumento pubblico per «farsi aiutare a scrivere una risposta». L’obbligo di formazione esiste proprio per evitare questo: errori onesti che diventano problemi veri.
Il caso che lo rende concreto
Qualche tempo fa parlo con il titolare di un’azienda di servizi. Mi dice, mezzo preoccupato e mezzo infastidito: «questo AI Act è l’ennesima rogna burocratica, dovrò mettere mano a non so cosa».
Gli faccio due domande. Usate l’AI per decidere su assunzioni o crediti? No. Avete un chatbot sul sito o pubblicate immagini generate dall’AI? Sì, un piccolo chatbot di assistenza e ogni tanto qualche immagine creata con l’AI per il blog.
Fine dell’analisi seria. La sua azienda non era «ad alto rischio»: ricadeva nella fascia leggera. Tutto quello che doveva fare stava in tre cose. Far comparire una riga nel chatbot per dichiarare che era un assistente automatico. Prendere l’abitudine di segnalare le immagini generate dall’AI. E dedicare un’ora a spiegare ai suoi tre collaboratori cosa non infilare mai dentro uno strumento pubblico.
Tempo necessario: un pomeriggio, una volta. Non un progetto da migliaia di euro, non un consulente legale a libro paga. Il «mostro» dei titoloni, guardato da vicino, era una checklist di mezza giornata.
La parte interessante è un’altra. Mentre sistemavamo quelle tre cose, è venuto fuori che nessuno, in azienda, aveva mai deciso quali dati fosse sicuro dare in pasto all’AI e quali no. L’AI Act è stato solo l’occasione. Il vero guadagno è stato mettere ordine in una cosa che andava ordinata comunque.
Cosa puoi fare già oggi, senza stress
Non serve un progetto di mesi. Per la stragrande maggioranza delle PMI bastano quattro mosse, alla portata di chiunque.
- Fai il punto su dove usi l’AI. Una lista onesta: chatbot, generazione di contenuti, strumenti interni, assistenza clienti. Sapere dove la usi è il 90% del lavoro. Non puoi mettere in regola ciò che non hai mai mappato.
- Forma il team, anche solo un’ora. Una sessione interna su «cosa possiamo e non possiamo fare con l’AI» copre già l’obbligo di alfabetizzazione e taglia gli errori veri. È la mossa con il rapporto sforzo/risultato migliore di tutte.
- Decidi una regola sui dati. Stabilisci cosa non finisce mai dentro un’AI esterna: dati personali sensibili, informazioni dei clienti, segreti aziendali. Una riga scritta nero su bianco vale più di dieci policy generiche che nessuno legge.
- Prepara la trasparenza. Se hai un chatbot, fagli dichiarare la sua natura. Se pubblichi contenuti generati dall’AI, prendi l’abitudine di segnalarlo dove ha senso. Dall’agosto 2026 sarà un obbligo; già oggi è un gesto di onestà verso chi ti legge.
Quattro cose semplici che, messe insieme, ti tengono in regola sugli obblighi già attivi e ti fanno arrivare pronto al 2 agosto 2026. Se vuoi capire come usare l’AI in modo sensato a monte di tutto questo, ne ho scritto qui: stai usando l’AI male, il problema non è lo strumento e agenti AI in azienda, da dove partire.
L’errore comune (in due versioni opposte)
Sull’AI Act le PMI sbagliano in due modi speculari.
Il primo: il panico. Leggi «35 milioni di multa», ti convinci di essere nel mirino, e spendi tempo ed energie su un rischio che, per come usi l’AI, non ti riguarda. È ansia che non produce niente, se non parcelle di consulenti che cavalcano la paura.
Il secondo, opposto e più furbo solo in apparenza: «tanto l’hanno rinviato, me ne preoccupo nel 2027». Falso. Il rinvio riguarda solo l’alto rischio, che con ogni probabilità non ti tocca, mentre gli obblighi che davvero ti riguardano (alfabetizzazione e trasparenza) sono già in vigore o scattano il 2 agosto 2026. Rimandare significa ignorare proprio i pezzi che contano per te.
La via di mezzo è la solita, poco emozionante e molto efficace: capire dove ricadi e fare le poche cose che servono. Né panico, né rimozione.
Domande frequenti
L’AI Act riguarda anche chi usa l’AI, non solo chi la sviluppa?
Sì. Il regolamento si applica anche agli utilizzatori professionali. L’obbligo di alfabetizzazione del personale e quelli di trasparenza sui contenuti generati riguardano anche le aziende che semplicemente usano strumenti di AI.
La mia PMI è considerata ad alto rischio?
Quasi sempre no. L’alto rischio è una lista precisa di usi, selezione del personale, credito, sicurezza dei prodotti. Usare l’AI per bozze, contenuti o supporto interno ricade di norma nelle fasce a rischio basso o limitato.
Cosa succede esattamente il 2 agosto 2026?
Diventano applicabili gli obblighi di trasparenza (chatbot che si dichiarano, contenuti AI segnalati, deepfake etichettati) e le sanzioni. È la data più rilevante per una PMI che usa l’AI sui contenuti.
È vero che alcune scadenze sono slittate?
Sì, ma solo per l’alto rischio: al 2 dicembre 2027 per gli usi dell’Allegato III e al 2 agosto 2028 per l’AI integrata in prodotti regolati. Il rinvio arriva dal Digital Omnibus, in accordo provvisorio dal maggio 2026 e in attesa di adozione formale.
Rischio davvero multe da milioni di euro?
I tetti più alti valgono per le violazioni gravi, come le pratiche vietate. Per gli altri obblighi gli importi sono inferiori e, per le PMI, proporzionati alla dimensione. Il rischio concreto per una piccola impresa non è la multa record, ma l’impreparazione.
Devo nominare un responsabile o assumere un consulente legale?
Non un legale a tempo pieno. Serve però che qualcuno, in azienda, tenga d’occhio il tema e sappia a chi chiedere. Un proprietario del problema, non un ufficio compliance.
Se vuoi sapere, in mezz’ora, cosa ti riguarda davvero
La fatica dell’AI Act, per una PMI, non è mettersi in regola. È capire, in mezzo al rumore, quali poche regole la riguardano davvero e quali sono solo titoloni.
Una prima conversazione serve esattamente a questo: una mappatura semplice di dove e come usi l’AI, per dirti senza allarmismi cosa ti tocca e cosa puoi ignorare. Se posso aiutarti, te lo dico. Se non posso, evitiamo di perdere tempo entrambi.
Parliamo della tua situazione: prenota una call conoscitiva senza impegno.
Nota: questo articolo ha finalità informativa e non costituisce consulenza legale. Per valutazioni vincolanti sul tuo caso specifico, rivolgiti a un legale specializzato e verifica lo stato aggiornato del Digital Omnibus.
