Il 2 agosto 2026 è la prossima scadenza operativa dell’AI Act per le aziende. Da quella data diventano applicabili gli obblighi di trasparenza dell’articolo 50 del Regolamento UE 2024/1689: chi mette a disposizione o utilizza determinati sistemi di intelligenza artificiale deve informare le persone quando interagiscono direttamente con un sistema AI, quando sono esposte a strumenti di riconoscimento delle emozioni o categorizzazione biometrica, e quando contenuti come deepfake o testi generati o manipolati con AI vengono pubblicati per informare il pubblico su temi di interesse pubblico senza revisione umana o controllo editoriale.
Per molte imprese il punto non riguarda solo chi sviluppa software. Anche chi usa chatbot, assistenti virtuali, strumenti generativi o soluzioni AI integrate in processi di marketing, assistenza clienti, risorse umane o comunicazione deve capire se rientra nel ruolo di deployer e se deve introdurre avvisi, etichette, procedure di revisione e regole interne documentabili.
Gli obblighi più gravosi sui sistemi di IA ad alto rischio hanno un calendario diverso. Il Digital Omnibus approvato dalle istituzioni europee ha spostato l’applicazione delle regole high-risk al 2 dicembre 2027 per i sistemi autonomi ad alto rischio, tra cui quelli usati in ambiti come occupazione, istruzione, biometria, infrastrutture critiche o law enforcement, e al 2 agosto 2028 per i sistemi ad alto rischio incorporati in prodotti soggetti a normativa europea di armonizzazione. Restano invece già applicabili, tra gli altri, i divieti sulle pratiche vietate e l’obbligo di alfabetizzazione AI.
Molte imprese utilizzano già ChatGPT, Copilot o altri strumenti di intelligenza artificiale nella propria attività quotidiana, spesso senza essersi date regole interne sul loro utilizzo. È proprio da questa realtà che parte l’AI Act, il primo quadro normativo europeo dedicato all’intelligenza artificiale.
La buona notizia è che, nella maggior parte dei casi, adeguarsi non significa rivoluzionare l’organizzazione aziendale, ma mettere ordine in strumenti che spesso sono già utilizzati quotidianamente.
Indice degli argomenti
AI Act aziende 2026: cosa scatta il 2 agosto
La data del 2 agosto 2026 deve essere letta come una scadenza di trasparenza e governance operativa. Le aziende devono verificare almeno quattro casi.
Se usano un sistema che interagisce direttamente con persone fisiche, per esempio un chatbot sul sito, un assistente virtuale nel customer care o un agente AI rivolto a clienti, candidati o utenti, devono assicurarsi che l’interlocutore sappia di avere davanti un sistema di intelligenza artificiale, salvo i casi in cui ciò risulti evidente.
Se impiegano sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, devono informare le persone esposte al sistema.
Se pubblicano deepfake o contenuti audio, video o immagini generati o manipolati con AI, devono renderne chiara la natura artificiale.
Se diffondono testi generati o manipolati con AI per informare il pubblico su questioni di interesse pubblico, devono segnalarlo quando manca una revisione umana effettiva o una responsabilità editoriale sul contenuto.
Per i fornitori di sistemi generativi esiste anche l’obbligo di progettare soluzioni che rendano riconoscibili, in formato leggibile da macchina, gli output generati o manipolati artificialmente. Per i sistemi già immessi sul mercato prima del 2 agosto 2026 è previsto un periodo di adeguamento limitato su questo specifico obbligo di marcatura, con termine al 2 dicembre 2026.
Per le imprese utilizzatrici, il passaggio più urgente è tradurre la trasparenza in procedure: avvisi agli utenti, etichette sui contenuti, revisione umana dove serve, istruzioni interne per chi usa strumenti generativi e conservazione delle evidenze.
Le categorie di rischio nell’AI Act per le aziende
Non tutti i sistemi di intelligenza artificiale comportano gli stessi obblighi.
L’AI Act distingue infatti quattro categorie di rischio, da cui dipendono gli adempimenti richiesti alle imprese: i sistemi a rischio inaccettabile, alto rischio, a rischio limitato e a rischio minimo. Ogni sistema di IA viene classificato in funzione del potenziale impatto che può avere sui diritti fondamentali, sulla sicurezza e sugli interessi delle persone.
Comprendere in quale categoria rientrano gli strumenti utilizzati in azienda è il punto di partenza di qualsiasi percorso di adeguamento.
I sistemi a rischio inaccettabile sono vietati in quanto ritenuti incompatibili con i valori fondamentali dell’Unione Europea. Tra questi rientrano i sistemi di social scoring che classificano le persone sulla base del comportamento sociale attribuendo vantaggi o svantaggi, e i sistemi che manipolano le scelte individuali tramite tecniche subliminali o sfruttando la vulnerabilità di specifiche categorie di persone.
I sistemi ad alto rischio sono ammessi ma sottoposti a requisiti di conformità, documentazione, gestione del rischio e supervisione umana. All’interno di questa categoria, per le pmi, i casi più frequenti riguardano i software utilizzati per la selezione del personale — inclusi quelli che analizzano curricula, pubblicano annunci mirati, filtrano candidature o attribuiscono punteggi ai candidati —, i sistemi che supportano decisioni su promozione, cessazione del rapporto di lavoro, assegnazione di compiti o monitoraggio delle prestazioni, i sistemi per la valutazione del merito creditizio e i sistemi di identificazione o categorizzazione biometrica.
I sistemi a rischio limitato sono soggetti principalmente a obblighi di trasparenza: l’utente deve essere informato del fatto che sta interagendo con un sistema di intelligenza artificiale. Rientrano tipicamente in questa categoria i chatbot e i sistemi conversazionali generici.
I sistemi a rischio minimo, infine, comprendono la maggior parte degli strumenti di uso comune: assistenti virtuali generici, applicazioni di supporto alla produttività, filtri antispam, sistemi di raccomandazione di contenuti. Il loro utilizzo resta sostanzialmente libero.
Aziende deployer e responsabilità nell’uso di ChatGPT
Molte pmi pensano che gli obblighi riguardino soltanto chi sviluppa sistemi di intelligenza artificiale.
In realtà, nella maggior parte dei casi, le aziende sono “deployer”, cioè utilizzano strumenti sviluppati da terzi. È sufficiente usare ChatGPT per predisporre offerte commerciali, Copilot per redigere documenti o un software HR che analizza curricula per assumere specifiche responsabilità previste dall’AI Act.
Ai sensi dell’AI Act, il fornitore (provider) è il soggetto che sviluppa un sistema di IA e lo mette sul mercato o in servizio. Si tratta tipicamente delle società che producono software, piattaforme o modelli di IA.
Invece il deployer è il soggetto che utilizza un sistema di IA sviluppato da terzi nell’ambito della propria attività professionale.
Da dove iniziare con l’adeguamento all’AI Act
Il primo controllo va fatto sugli obblighi del 2 agosto 2026: chatbot, assistenti virtuali rivolti all’esterno, contenuti generati con AI pubblicati su canali aziendali, sistemi biometrici o di riconoscimento delle emozioni e testi informativi prodotti con strumenti generativi devono essere censiti subito per capire se servono avvisi, etichette o revisione umana formalizzata.
Mappare gli strumenti AI utilizzati
Il primo passo consiste nell’individuare dove viene già utilizzata l’intelligenza artificiale all’interno dell’azienda, anche quando il suo impiego è diventato spontaneo nel tempo.
Formare il personale sull’AI literacy
Poi occorre fare formazione (AI literacy). Per ogni sessione formativa è necessario predisporre e conservare una documentazione minima che attesti la data della formazione, i partecipanti, gli strumenti trattati (es. ChatGPT, Copilot, specifico software HR), i contenuti erogati — con particolare riferimento al funzionamento dei sistemi, ai loro limiti, ai rischi per la privacy e al rischio di discriminazione, nonché alle procedure interne di verifica — e la firma di presa visione da parte di ciascun partecipante.
Questa documentazione costituisce evidenza concreta in caso di verifica da parte dell’autorità competente e rappresenta, nella pratica, il primo livello di difesa in caso di contestazione; perciò, la formazione deve essere erogata e documentata per tutto il personale che utilizza sistemi di IA.
Definire regole interne e policy AI
Una policy AI aiuta a stabilire quali strumenti possono essere utilizzati, quali dati non devono essere inseriti nei sistemi di AI, quando è obbligatoria la revisione umana degli output e come adempiere agli obblighi di trasparenza applicabili dal 2 agosto 2026. Per i sistemi di IA ad alto rischio, quando il relativo regime diventerà applicabile, il deployer dovrà adottare misure tecniche e organizzative per garantire di utilizzare il sistema secondo le istruzioni per l’uso fornite dal fornitore.
Dovrà inoltre affidare la supervisione del sistema a persone fisiche che dispongano della competenza, della formazione e dell’autorità necessarie per svolgere adeguatamente questo compito. La persona designata deve essere concretamente in grado di comprendere i limiti del sistema e di decidere autonomamente rispetto al suo output.
Prima di mettere in servizio un sistema di IA ad alto rischio sul luogo di lavoro, il deployer dovrà informare i rappresentanti sindacali e i lavoratori interessati.
Nella misura in cui il deployer esercita un controllo sui dati inseriti nel sistema, deve garantire che tali dati siano pertinenti e sufficientemente rappresentativi rispetto alla finalità del sistema e che non contengano dati personali non necessari, informazioni riservate o elementi che potrebbero introdurre distorsioni nei risultati.
Proteggere dati e informazioni riservate
Uno degli errori più frequenti e rischiosi consiste nel copiare integralmente nei sistemi di AI documenti aziendali, contratti, dati di clienti o informazioni riservate. Rientrano in questa categoria i dati personali identificativi poiché la loro trasmissione a sistemi non verificati può costituire una violazione del Gdpr.
I dati sanitari o biometrici, in quanto categorie particolari ai sensi dell’art. 9 del Gdpr, presentano un livello di rischio ancora più elevato. Non devono in alcun caso essere condivisi con sistemi di AI, la cui sicurezza non sia stata preventivamente verificata, i contratti integrali con clausole riservate, le informazioni commerciali sensibili come listini prezzi e offerte in preparazione, i dati economici riservati, la documentazione tecnica proprietaria e le credenziali di accesso ai sistemi aziendali.
Mantenere la revisione umana sulle decisioni
La revisione umana dell’output di un sistema di IA è sempre raccomandata come pratica organizzativa di base ed è da considerarsi un adempimento necessario in alcuni casi specifici: per i documenti destinati a terzi come offerte, contratti o comunicazioni a clienti e candidati; per le decisioni che incidono su diritti di persone fisiche, tra cui selezione, promozione, valutazione delle prestazioni o accesso a servizi; per pareri, valutazioni tecniche, analisi giuridiche o mediche e per qualsiasi contenuto che verrà utilizzato come base per decisioni aziendali rilevanti.
L’errore organizzativo più frequente — e più grave sotto il profilo della responsabilità — consiste nel considerare automaticamente corretto ciò che il sistema produce.
Sistemi HR e AI Act aziende 2026: i controlli necessari
I software che analizzano curricula, attribuiscono punteggi ai candidati, effettuano classificazioni o suggeriscono esclusioni sono classificati come sistemi di IA ad alto rischio. Questo comporterà l’applicazione degli obblighi del deployer sopra descritti secondo il calendario vigente, con alcune specificità ulteriori che è importante conoscere.
Il recruiter deve mantenere sempre la decisione finale: non possono esistere esclusioni completamente automatizzate che non abbiano ricevuto una valutazione umana. Ogni intervento umano che si discosti dal suggerimento del sistema — o che lo recepisca dopo una valutazione critica — dovrebbe essere documentato per iscritto con la relativa motivazione: questa documentazione costituisce evidenza difensiva sia ai fini dell’AI Act sia in caso di contestazioni antidiscriminatorie.
I candidati devono essere informati dell’utilizzo del sistema di IA nel processo di selezione, in adempimento degli obblighi di trasparenza. Devono, infine, essere effettuate verifiche periodiche sull’output del sistema per rilevare tempestivamente eventuali distorsioni, bias o discriminazioni sistematiche.
L’uso di sistemi di IA nella gestione delle candidature richiede inoltre un coordinamento stretto con la normativa sulla protezione dei dati personali che, per alcuni profili, si sovrappone agli obblighi dell’AI Act e, su altri, li integra. Sul fronte dell’informativa, l’AI Act aggiunge l’obbligo di specificare l’utilizzo di sistemi di IA nel processo decisionale: questo significa che l’informativa privacy utilizzata nei processi di selezione deve essere verificata e, se necessario, aggiornata.
Sul fronte delle decisioni automatizzate, l’art. 22 del Gdpr riconosce all’interessato il diritto di non essere sottoposto a decisioni basate unicamente su trattamento automatizzato che producano effetti giuridici o che incidano in modo analogo significativamente sulla sua persona. L’art. 14 dell’AI Act, imponendo in ogni caso la sorveglianza umana sui sistemi ad alto rischio, va nella stessa direzione: nessuna esclusione può essere puramente automatica.
Sul versante della minimizzazione, il principio Gdpr di raccogliere solo i dati pertinenti e necessari si allinea perfettamente con l’obbligo AI Act di garantire che i dati di input siano pertinenti e rappresentativi rispetto alla finalità del sistema.
Compliance operativa, policy AI e checklist per le pmi
Operativamente, occorre predisporre una checklist di adeguamento distinguendo tre livelli temporali: gli obblighi già applicabili, gli obblighi di trasparenza che scattano il 2 agosto 2026 e il differimento degli obblighi sui sistemi di IA ad alto rischio, fissato al 2 dicembre 2027 per i sistemi autonomi ad alto rischio e al 2 agosto 2028 per quelli incorporati in prodotti soggetti a normativa europea di armonizzazione.
Il primo passo è la mappatura degli utilizzi di IA: è necessario identificare tutti i sistemi di IA utilizzati in azienda organizzandoli per processo aziendale. Il secondo passo è la classificazione del rischio. Segue la richiesta di documentazione ai fornitori: per ogni sistema classificato come ad alto rischio, occorre richiedere formalmente al fornitore le istruzioni per l’uso e la documentazione tecnica disponibile.
È poi necessario verificare e aggiornare l’informativa privacy, coordinando il testo con le indicazioni dell’AI Act in materia di trasparenza sull’uso di sistemi ad alto rischio. Per i sistemi HR ad alto rischio, occorre predisporre l’informativa ai candidati e ai lavoratori, la procedura di sorveglianza umana rafforzata e uno schema standardizzato di documentazione delle decisioni.
Prima di mettere in servizio qualsiasi sistema ad alto rischio sul luogo di lavoro, è necessario informare preventivamente i rappresentanti sindacali e i lavoratori interessati. Infine, occorre verificare la conservazione dei log: accertarsi che i sistemi adottati generino log automatici e che questi vengano conservati per almeno sei mesi in modo accessibile e organizzato.
Per le aziende che utilizzano sistemi di IA integrati in prodotti soggetti a marcatura CE, come dispositivi medici, macchinari o attrezzature industriali, è necessario avviare fin d’ora una verifica con i fornitori sull’adeguamento in corso per evitare di trovarsi impreparati al momento dell’entrata in vigore degli obblighi specifici, indicata nel nuovo calendario al 2 agosto 2028.
Occorre inoltre adottare una policy AI interna sull’uso dell’intelligenza artificiale che non deve servire a vietarne l’utilizzo ma a renderlo sicuro, uniforme e conforme alle norme vigenti. Una policy efficace dovrebbe coprire almeno i seguenti aspetti: in primo luogo, il perimetro di applicazione, chi è destinatario del documento — dipendenti, collaboratori, agenti, consulenti — e quali strumenti sono coperti.
In secondo luogo, l’elenco degli strumenti autorizzati con indicazione degli ambiti d’uso consentiti per ciascuno di essi, distinguendo tra strumenti liberamente utilizzabili e strumenti il cui utilizzo richiede procedure specifiche. La policy deve poi contenere un elenco esplicito delle categorie di dati e informazioni che non possono essere inseriti nei sistemi di AI.
È necessario disciplinare l’obbligo di revisione umana, specificando per quali tipologie di output essa è obbligatoria e chi ne è responsabile. Per i processi HR è opportuno prevedere una sezione dedicata con le regole specifiche sull’informativa ai candidati, sulla sorveglianza umana e sulla documentazione delle decisioni.
La policy deve, infine, descrivere la procedura di segnalazione di anomalie e incidenti, indicando chi contattare internamente e come procedere con la segnalazione al fornitore (provider) del sistema o all’autorità competente. Deve identificare un referente interno AI e prevedere le conseguenze disciplinari per le violazioni e le modalità di aggiornamento periodico.
La policy AI interna deve essere predisposta o aggiornata e diffusa formalmente a tutto il personale coinvolto con raccolta della presa visione. Dal 2 agosto 2026 deve inoltre contenere una procedura concreta per la trasparenza verso l’esterno: chi approva gli avvisi nei chatbot, chi decide quando etichettare un contenuto generato con AI, chi verifica che i testi informativi su temi di interesse pubblico siano sottoposti a revisione umana effettiva e dove vengono conservate le evidenze.
Le domande chiave per le aziende
Ogni imprenditore dovrebbe porsi queste 5 domande:
1. Sappiamo dove viene utilizzata l’intelligenza artificiale in azienda? Molto spesso l’AI entra nei processi in modo spontaneo e non governato.
2. Il personale sa cosa può e cosa non può fare con questi strumenti? Chi utilizza l’AI deve conoscere almeno le regole fondamentali: quali dati non inserire, come verificare gli output, quando è necessario l’intervento umano.
3. Abbiamo definito regole interne sull’uso dell’AI? Una policy AI strutturata consente di ridurre i rischi, uniformare i comportamenti e costituire evidenza concreta di conformità in caso di verifica da parte dell’autorità competente.
4. Le decisioni importanti restano nelle mani delle persone? L’intelligenza artificiale deve supportare le decisioni, non sostituirle.
5. Abbiamo verificato se alcuni utilizzi rientrano tra quelli più regolamentati? L’uso di AI nella selezione del personale, nella valutazione dei candidati o in altri processi che incidono sui diritti delle persone richiede obblighi specifici e una verifica coordinata con il Gdpr. Dal 2 agosto 2026 la stessa verifica deve coprire anche chatbot, deepfake, contenuti generati con AI, sistemi biometrici o di riconoscimento delle emozioni e testi informativi pubblicati senza revisione umana effettiva.
In conclusione, le imprese che avviano oggi un percorso strutturato — mappatura, policy, formazione, governance — si trovano in una posizione di vantaggio competitivo e di minore esposizione a rischi, non solo normativi.
Per la maggior parte delle pmi l’adeguamento non richiede di stravolgere l’organizzazione. Richiede di formalizzare ciò che già viene fatto, di stabilire regole chiare dove oggi non ce ne sono e di formare le persone su strumenti che, nella maggior parte dei casi, già utilizzano quotidianamente.
Partecipa alla community