Nelle aule di formazione delle piccole e medie imprese lombarde, da qualche settimana, la domanda è sempre la stessa: “Quindi l’AI Act è stato rinviato, giusto? Possiamo aspettare”. La risposta corretta è no, ma per spiegare il perché serve smontare un equivoco che il dibattito pubblico ha contribuito a creare.
Il 16 giugno 2026 il Parlamento europeo ha approvato il pacchetto di semplificazione noto come Digital Omnibus, che modifica il Regolamento (UE) 2024/1689 sull’intelligenza artificiale. Il Consiglio dell’Unione ha completato l’adozione nei giorni successivi e il testo attende ora la pubblicazione in Gazzetta ufficiale. La stampa generalista ha titolato quasi ovunque sul “rinvio dell’AI Act”. È vero solo in parte, e la parte falsa sta producendo un effetto concreto che chi lavora dentro le imprese vede ogni giorno: progetti di adeguamento congelati, budget formazione dirottati, responsabili che archiviano il dossier con sollievo.
Indice degli argomenti
AI Act rinvio PMI, cosa cambia davvero con il Digital Omnibus
Il punto è che il Digital Omnibus non sospende il regolamento. Sposta in avanti gli obblighi più onerosi, quelli sui sistemi ad alto rischio, e lascia intatto quasi tutto il resto. Anzi, per una categoria di adempimenti che riguarda direttamente le PMI, la scadenza è più vicina di quanto la maggior parte delle aziende creda.
Cosa resta fermo ad agosto 2026
La data di applicazione generale dell’AI Act rimane il 2 agosto 2026 per tutte le disposizioni non toccate dalla riforma. Restano inoltre pienamente in vigore gli obblighi già applicabili dal 2 febbraio 2025: i divieti sulle pratiche a rischio inaccettabile dell’articolo 5 e le misure di alfabetizzazione all’AI previste dall’articolo 4, che impongono a fornitori e utilizzatori di garantire un livello adeguato di competenza nel personale che opera con sistemi di intelligenza artificiale.
Su questo secondo punto vale una precisazione pratica. In molte PMI l’articolo 4 è stato letto come un adempimento formale, una riga da spuntare. Nella realtà operativa è la disposizione con il rapporto costo-beneficio migliore dell’intero regolamento. Un esempio ricorrente: l’ufficio commerciale che carica su un chatbot pubblico l’anagrafica clienti per farsi scrivere le email di offerta. Il problema non nasce con l’AI Act, si chiama GDPR, ed esiste da prima; ma emerge sistematicamente solo quando qualcuno, in un percorso formativo, chiede ai partecipanti come usano davvero questi strumenti. La formazione è l’unico presidio che copre entrambi i fronti, ed è per questo che rimandarla “perché tanto l’AI Act slitta” è la conclusione più sbagliata che si possa trarre dalla riforma.
Cosa slitta davvero, e perché
Il cuore della riforma riguarda i sistemi ad alto rischio. Gli obblighi per i sistemi autonomi elencati nell’Allegato III, tra cui biometria, infrastrutture critiche, istruzione, selezione e gestione del personale, accesso a servizi essenziali, slittano dal 2 agosto 2026 al 2 dicembre 2027. Per i sistemi incorporati come componenti di sicurezza in prodotti già coperti da normativa settoriale, come macchinari e dispositivi medici, il termine passa al 2 agosto 2028.
Il rinvio non è un regalo, è una presa d’atto. Le norme tecniche armonizzate che dovrebbero guidare la conformità sono in ritardo, e in diversi Stati membri mancano ancora le autorità nazionali di vigilanza. Il nuovo calendario è anzi condizionale: l’applicazione degli obblighi resta legata alla disponibilità effettiva di standard e strumenti di supporto, con un meccanismo che può far scattare i termini sei o dodici mesi dopo un’apposita decisione della Commissione, ferme restando le date limite del 2027 e 2028.
Per il tessuto produttivo c’è poi un’estensione rilevante: le semplificazioni documentali e la proporzionalità delle sanzioni già previste per le PMI vengono allargate alle cosiddette small mid-cap, le imprese che hanno superato la soglia dimensionale delle PMI senza raggiungere quella delle grandi aziende. È una correzione sensata, che evita il salto regolatorio brusco a chi cresce.
Perché gli utilizzatori devono guardare alla trasparenza
Ma qui sta l’errore di prospettiva. Una PMI italiana tipica, quella da 20 a 100 addetti che usa ChatGPT in marketing, un gestionale con qualche funzione predittiva e magari un software di screening dei curricula, raramente è fornitore di sistemi ad alto rischio. È utilizzatrice. E per gli utilizzatori il grosso degli adempimenti immediati non sta nell’Allegato III: sta nella trasparenza.
Un consiglio operativo su questo punto: la PMI che usa un software di selezione del personale con componenti di AI non deve costruire da sola la conformità dell’Allegato III, che grava sul fornitore, ma deve sapere di usarlo, chiederne conto al fornitore nel contratto e nel rinnovo, e garantire la sorveglianza umana sulle decisioni. Sono tre azioni che si fanno con una lettera al fornitore e una procedura interna di una pagina, non con un progetto di consulenza.
La scadenza che nessuno sta guardando: 2 dicembre 2026
Il Digital Omnibus fissa al 2 dicembre 2026 il termine di adeguamento all’articolo 50, paragrafo 2, per i sistemi già immessi sul mercato prima del 2 agosto 2026: la marcatura in formato leggibile da macchina dei contenuti generati o manipolati dall’intelligenza artificiale. Immagini, audio, video e testi sintetici dovranno essere riconoscibili come tali. Alla stessa data entrano in vigore i nuovi divieti introdotti nell’articolo 5 contro i sistemi di nudificazione non consensuale e la generazione di materiale di abuso su minori.
La Commissione ha pubblicato il 10 giugno 2026 il Codice di buone pratiche sulla marcatura e l’etichettatura dei contenuti generati dall’AI. È uno strumento volontario, ma indica la direzione in cui l’obbligo verrà interpretato.
Perché questa scadenza riguarda le PMI più di quanto sembri? Perché la marcatura è un obbligo che nasce in capo ai fornitori dei sistemi, ma produce effetti a cascata su chi quei contenuti li pubblica. Tre esempi concreti, tratti da situazioni tipiche. Il primo: l’azienda che genera con l’AI le immagini dei post social e del catalogo deve verificare che lo strumento applichi la marcatura richiesta, informazione che i principali fornitori stanno pubblicando nelle proprie note di conformità. Il secondo: l’agenzia o la PMI che pubblica un video con presentatore sintetico o voce clonata ricade nella disciplina dei deepfake, con obbligo di dichiararne la natura artificiale. Il terzo: il testo generato dall’AI e pubblicato per informare il pubblico su temi di interesse generale, per esempio la pagina di divulgazione normativa di uno studio o di un’associazione, richiede la dichiarazione della natura sintetica, salvo revisione umana con responsabilità editoriale.
È esattamente il tipo di adempimento che una piccola impresa scopre in ritardo, perché non passa dall’ufficio legale: passa dal marketing.
Nel frattempo corre anche il binario nazionale. La legge 132/2025 ha delegato al Governo i decreti attuativi sulla disciplina italiana dell’intelligenza artificiale, con scadenze che cadono nell’autunno 2026. La PMI che guarda solo Bruxelles vedrà arrivare da Roma requisiti settoriali che non aveva messo in conto.
Usare il tempo, non sprecarlo: la sequenza per una PMI
Che cosa dovrebbe fare oggi una PMI utilizzatrice, con budget limitato e senza ufficio compliance? Quattro passi in sequenza, ciascuno con un esempio di come si presenta nella pratica.
Inventario degli strumenti di AI in uso
Il primo è l’inventario. Una ricognizione di quali strumenti di AI sono effettivamente in uso, compresi quelli che i dipendenti usano senza autorizzazione formale: nelle rilevazioni d’aula, quando si garantisce l’anonimato della risposta, l’uso non dichiarato di strumenti generativi supera regolarmente quello autorizzato. Il formato utile è una tabella di una pagina: strumento, funzione aziendale, tipo di dati trattati, chi lo usa.
Classificazione rispetto all’Allegato III
Il secondo è la classificazione. Con l’inventario in mano, si verifica se qualche uso tocca le aree dell’Allegato III, selezione del personale in testa, usando le nuove date come orizzonte di pianificazione e girando ai fornitori le richieste di conformità. Per la maggior parte delle PMI l’esito sarà rassicurante, ma dev’essere un esito scritto, non una sensazione.
Regola d’uso interna
Il terzo è la regola d’uso interna. Due pagine bastano: quali dati non si caricano mai negli strumenti esterni (personali, riservati, di clienti), chi verifica gli output prima dell’uso, come si segnala un contenuto generato. Un documento del genere serve all’AI Act, serve al GDPR e soprattutto evita l’incidente che nessuna delle due normative perdona: il dato del cliente finito dove non doveva.
Verifica della marcatura entro l’autunno
Il quarto è la verifica di marcatura, da chiudere entro l’autunno: un giro di controllo su come gli strumenti generativi in uso gestiscono l’identificazione dei contenuti sintetici, in vista del 2 dicembre, e l’adeguamento delle prassi di pubblicazione nei casi in cui serve la dichiarazione esplicita.
Il rinvio cambia i termini, non le regole
Il rinvio degli obblighi high-risk cambia i termini, non le regole: i requisiti sostanziali di documentazione, gestione del rischio e sorveglianza umana restano quelli scritti nel 2024. Le imprese che useranno i prossimi diciotto mesi per costruire le fondamenta arriveranno alle scadenze del 2027 con un vantaggio competitivo, oltre che con le carte in regola. Le altre inseguiranno, e l’inseguimento, in materia di conformità, costa sempre più della pianificazione.
Partecipa alla community