AI Act 2026: cosa devono fare le aziende dal 2 agosto

“AI ACT 2026: chi usa l’AI nel suo lavoro è soggetto a nuovi obblighi pena pesantissime sanzioni!”

È il tipo di titolo che basterebbe a far scattare il panico, visto che ormai l’intelligenza artificiale è entrata nel lavoro quotidiano di chiunque. E in effetti mancano poche settimane a una delle date più discusse del Regolamento europeo sull’intelligenza artificiale.

Ma non è il caso di perderci il sonno, perché la questione è molto più semplice da gestire di quanto sembri, come ci spiega l’Avvocato Andrea Ruffilli, il nostro legale esperto in diritto informatico.

Visto che attorno al 2 agosto 2026 è cresciuta molta confusione – c’è chi lo racconta come un “anno zero” e chi lo liquida come un rinvio generale – abbiamo chiesto ad Andrea di chiarire la questione, con un interlocutore preciso in mente: la piccola e media impresa che usa strumenti di AI ogni giorno e ha bisogno di sapere, in concreto, cosa fare.

Che cos’è l’AI Act 2026?

L’AI Act è il Regolamento (UE) 2024/1689, la prima legge organica al mondo sull’intelligenza artificiale. È in vigore dal 1° agosto 2024, ma si applica per fasi progressive fino al 2028. Il 2026 è la fase in cui entra in vigore la maggior parte delle sue regole. Più che regolare la tecnologia, l’AI Act regola il modo in cui viene usata, con obblighi calibrati sul livello di rischio: dai sistemi vietati a quelli ad alto rischio, fino a una fascia ampia, quella in cui rientra la maggior parte delle PMI, dove la parola chiave è “trasparenza”.

Qual è la timeline delle scadenze?

Qui serve chiarire un punto su cui si fa molta confusione. Le scadenze sono state ridisegnate dal Digital Omnibus, il pacchetto di semplificazione approvato in via definitiva dal Consiglio UE il 29 giugno 2026. Il Digital Omnibus ha spostato in avanti gli obblighi sui sistemi ad alto rischio – al 2 dicembre 2027 e, per quelli integrati in prodotti, al 2 agosto 2028 – ma non ha toccato gli obblighi di trasparenza dell’articolo 50, che restano fissati al 2 agosto 2026.

Cosa significa “obbligo di trasparenza”? Spieghiamolo con un esempio.

Significa che quando c’è di mezzo l’intelligenza artificiale, le persone devono poterlo sapere. Nessuno deve scoprire dopo di aver parlato con una macchina o di aver visto un contenuto finto senza saperlo. Ad esempio, se un’azienda utilizza chatbot e assistenti virtuali per rispondere sul suo sito o su WhatsApp, l’utente deve capire che sta parlando con un sistema automatico e non con una persona. E se un sito è presente una foto che sembra vera ma è fatta con l’AI, è necessario che l’utente lo sappia.

A chi si applica l’AI Act?

L’equivoco più comune è: “non produco AI, quindi non mi riguarda”. Non è così. Chi usa un chatbot, genera testi o immagini con strumenti generativi o adotta software di selezione del personale rientra nel perimetro come utilizzatore, con obblighi propri. In pratica, parliamo di quasi tutte le aziende, comprese le PMI.

Si applica ai provider (chi sviluppa, fornisce, importa e distribuisce sistemi di AI), ma anche a chi li usa in ambito professionale, il cosiddetto “deployer“.

Provider e deployer: gli obblighi scattano nello stesso momento?

Il deployer, che come abbiamo visto è l’azienda che usa l’AI nel suo lavoro quotidiano, ha una data sola da segnare: il 2 agosto 2026. Da quel giorno deve dichiarare i chatbot, etichettare i deepfake e, per i testi informativi, avere in ordine la policy editoriale.

Il provider invece ha tempo fino al 2 dicembre 2026 per la marcatura tecnica degli output, quella leggibile dalle macchine (watermark e metadati), e solo per i sistemi generativi già sul mercato prima del 2 agosto 2026. I sistemi lanciati dopo devono essere conformi da subito.

In concreto cosa cambia il 2 agosto 2026 e quali sono gli obblighi per i deployer?

Gli obblighi di trasparenza dell’articolo 50, semplificando, si dividono in due famiglie. Una è tecnica e riguarda i contenuti: se un cliente parla con un chatbot deve saperlo, e certi materiali prodotti con l’AI vanno etichettati come tali. L’altra è organizzativa e riguarda le persone: la formazione di chi in azienda usa questi strumenti. Il primo passo, in entrambi i casi, è una ricognizione di dove l’AI è già usata in azienda.

Chiariamo il concetto di etichettatura dei contenuti. Bisogna segnalare ogni contenuto generato con l’AI?

No, ed ecco perché in generale si può stare tranquilli. Per chi usa l’AI l’obbligo di dichiarazione scatta in due soli casi.

Il primo è il deep fake: un’immagine, un audio o un video che sembra autentico e che una persona potrebbe scambiare per reale. Una modella fotorealistica che indossa il vostro prodotto o una voce clonata vanno dichiarati; un’illustrazione stilizzata o un avatar palesemente finto no.

Il secondo caso è il testo pubblicato per informare il pubblico su questioni di interesse generale, quando non è passato da nessuna revisione umana e nessuno se ne assume la responsabilità editoriale.

Il resto (grafiche dichiaratamente artificiali, testi promozionali, contenuti riletti e approvati) di regola non richiede etichetta. In pratica, quando serve, l’etichettatura si imposta insieme a chi cura il sito o i contenuti.

E gli articoli del blog o le newsletter scritti con l’AI?

Se un testo passa da una revisione umana e una persona, fisica o giuridica, si assume la responsabilità editoriale della pubblicazione, l’etichetta non serve. Per poterlo dimostrare, però, l’azienda deve mettere nero su bianco una policy interna, proporzionata alla sua dimensione: chi è il responsabile editoriale, come avviene la revisione prima della pubblicazione, dove trovare i suoi contatti. Non serve documentare ogni singola correzione: basta descrivere il processo. Per un blog aziendale è l’adempimento con il miglior rapporto tra costo e risultato: poche pagine, e nessuna etichetta da appiccicare sui testi già rivisti.

Cosa devono fare le aziende per formare le proprie risorse?

La formazione riguarda tutti. L’articolo 4 del regolamento parla di “alfabetizzazione” e dice che chi usa l’AI in azienda deve garantire al proprio personale un livello sufficiente di competenza su questi strumenti. E non distingue tra grande impresa e PMI: chi usa anche solo ChatGPT per scrivere e-mail commerciali deve formare il proprio personale.

Dal 2 agosto 2026, un’azienda che finisce sotto controllo deve poter mostrare di aver fatto un percorso. È la parte che non si delega: si può affidare a un fornitore l’aspetto tecnico, ma le competenze delle proprie persone restano una responsabilità dell’azienda.

Quali sono i rischi per chi non rispetta la compliance?

Le sanzioni arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale per le violazioni più gravi; scendono a 15 milioni (o 3%) per gli altri obblighi e a 7,5 milioni (o 1%) per informazioni false alle autorità.

Per le PMI e le startup vale una tutela: si applica l’importo inferiore tra cifra fissa e percentuale. Ma ridurre tutto alla multa è un errore di prospettiva: dal 2 agosto un’ispezione, un contenzioso con un dipendente o un reclamo di un cliente possono richiedere la prova della diligenza dell’azienda. Senza inventario, policy ed evidenza della formazione, quella prova non esiste. E resta il danno reputazionale, che nei rapporti B2B pesa sempre di più.

Da dove conviene iniziare?

Da poche cose, ma fatte per bene.

• La prima è mappare dove l’AI è già usata in azienda: quali strumenti, chi li usa e per cosa.
• La seconda è organizzare una formazione di base per chi li usa, tarata sui diversi ruoli.
• La terza è mettere per iscritto una policy interna che dica come l’azienda usa questi strumenti e chi ne risponde.

La formazione è senza dubbio uno dei passi da fare al più presto, perché l’obbligo è già in vigore, ed è quello che dipende dalle tue risorse interne. Noi di Lynx organizziamo corsi di formazione sull’uso dell’AI in azienda, pensati per chi usa questi strumenti ogni giorno. Se vuoi capire come metterti in regola, o hai dubbi sul resto – etichettatura, policy, contenuti – scrivici per una consulenza.