Sabato 2 agosto 2026 il regolamento europeo sull'intelligenza artificiale diventa pienamente applicabile. Obblighi, sanzioni e un piano d'azione concreto per le PMI italiane che usano sistemi AI, spesso senza saperlo.
Panoramica in 20 secondi
Lunedì mattina, ufficio del personale di una media azienda meccanica in provincia di Brescia. La responsabile HR apre come ogni settimana il portale che usa da due anni per filtrare i curriculum: il software legge, valuta, assegna un punteggio e scarta. Quello che la responsabile non sa è che da sabato 2 agosto 2026 quel gesto quotidiano la rende, agli occhi della legge europea, deployer di un sistema di intelligenza artificiale ad alto rischio, con obblighi precisi e sanzioni pesanti in caso di inadempienza. Non ha sviluppato nulla, non ha scritto una riga di codice: usa un prodotto comprato da un fornitore. Eppure il regolamento europeo sull'intelligenza artificiale, l'AI Act, la riguarda direttamente. È la situazione in cui si trovano oggi migliaia di aziende italiane: convinte che la nuova normativa parli solo ai giganti tecnologici, scoprono di esserne protagoniste. Questo articolo spiega, senza allarmismi e senza tecnicismi inutili, che cosa cambia davvero da quella data e che cosa conviene fare subito, in quale ordine e con quali priorità.
Il 2 agosto 2026 segna il passaggio dell'AI Act dalla teoria alla piena operatività. Da questa data diventano applicabili gli obblighi per i sistemi ad alto rischio elencati nell'Allegato III del regolamento: software di selezione e valutazione del personale, sistemi di credit scoring e valutazione dell'affidabilità creditizia, strumenti usati nell'istruzione per valutare studenti, applicazioni per la gestione di infrastrutture critiche, sistemi impiegati da forze dell'ordine e autorità pubbliche. Chi fornisce questi sistemi deve garantire gestione del rischio, qualità dei dati di addestramento, documentazione tecnica, tracciabilità, supervisione umana e robustezza. Scattano anche gli obblighi di trasparenza dell'articolo 50: un chatbot deve dichiarare di essere una macchina, i contenuti generati artificialmente vanno etichettati come tali, i deepfake devono essere riconoscibili. Diventano inoltre pienamente operative le autorità nazionali di vigilanza — in Italia il ruolo è affidato ad AgID e ACN — e il regime sanzionatorio ordinario, con multe che possono raggiungere i 35 milioni di euro o il 7 per cento del fatturato mondiale annuo per le violazioni più gravi.
Altrettanto importante è capire che cosa non scatta ancora, perché l'allarmismo indiscriminato è il modo migliore per sbagliare le priorità. I sistemi ad alto rischio integrati in prodotti già coperti da normative europee di settore — dispositivi medici, automobili, ascensori, giocattoli — hanno tempo fino ad agosto 2027, così come i modelli di AI generica immessi sul mercato prima degli obblighi entrati in vigore lo scorso anno. La distinzione centrale da padroneggiare è quella tra provider e deployer. Il provider sviluppa il sistema e lo immette sul mercato: su di lui grava la parte più pesante degli obblighi. Il deployer lo utilizza sotto la propria autorità: deve usarlo secondo le istruzioni, garantire supervisione umana con personale formato, assicurarsi che i dati di input siano pertinenti, conservare i log, informare lavoratori e sindacati quando il sistema li riguarda. La maggior parte delle PMI italiane è deployer, spesso senza saperlo: usa intelligenza artificiale comprata, integrata nei gestionali, nelle piattaforme HR o negli strumenti di marketing che adopera ogni giorno.
Il primo passo è un censimento onesto: quali sistemi di intelligenza artificiale sono realmente in uso in azienda? La risposta è quasi sempre più lunga del previsto. Oltre agli strumenti ufficiali ci sono le funzioni AI attivate silenziosamente dai fornitori dentro CRM e gestionali, e c'è lo shadow AI: dipendenti che usano assistenti generativi personali per scrivere offerte, tradurre contratti o analizzare dati dei clienti, fuori da ogni controllo. Ogni sistema censito va poi classificato secondo le categorie del regolamento: pratiche vietate, ormai fuori legge da tempo; alto rischio; obblighi di sola trasparenza; rischio minimo. Per una PMI tipica l'esito è rassicurante: la maggior parte degli strumenti ricade nel rischio minimo e non richiede nulla di nuovo. Ma le eccezioni contano: un modulo di screening dei curriculum, un sistema che propone il fido a un cliente, un algoritmo che assegna i turni valutando la produttività individuale sono candidati naturali all'alto rischio e meritano un'analisi seria, documentata e datata, da conservare come prima evidenza di diligenza.
Il secondo fronte è contrattuale e organizzativo. I contratti con i fornitori di sistemi AI vanno riletti con domande precise: il fornitore si qualifica come provider ai sensi del regolamento? Fornisce la documentazione tecnica e le istruzioni d'uso che la legge gli impone? Come vengono gestiti gli aggiornamenti che modificano il comportamento del sistema? Sul piano interno, l'obbligo di alfabetizzazione all'AI — in vigore già da febbraio dello scorso anno — richiede che chi usa questi strumenti ne comprenda logiche e limiti: bastano poche ore di formazione ben fatta, ma devono essere documentate. Va poi organizzata la supervisione umana: per ogni sistema che incide su persone serve qualcuno con l'autorità e la competenza per contestare l'output della macchina, non un timbro formale. Infine il registro: un documento vivo che elenca i sistemi in uso, la loro classificazione, i controlli effettuati e i responsabili. Non è richiesto un formato specifico; è richiesta la sostanza, ed è la prima cosa che un'autorità di vigilanza chiederà di vedere.
C'è un modo sbagliato di vivere questa scadenza: come l'ennesimo adempimento da subire. E ce n'è uno intelligente: usarla come leva. Le grandi aziende stanno già inserendo requisiti di conformità all'AI Act nei questionari di qualifica dei fornitori, esattamente come accadde con il GDPR: chi arriva preparato supera la selezione, chi improvvisa resta fuori dalle catene di fornitura che contano. Una PMI che sa dire con precisione quali sistemi AI usa, come li controlla e chi li supervisiona trasmette un segnale di affidabilità che vale più di molte certificazioni. C'è poi un beneficio interno spesso sottovalutato: il censimento obbligato fa emergere strumenti pagati e mai usati, dati duplicati, processi automatizzati male. Molte aziende che hanno affrontato l'assessment con serietà ne sono uscite con una mappa dei propri processi più chiara di quella che avevano prima. La conformità, fatta bene, non è un costo che si aggiunge al progetto: è progettazione fatta meglio, con responsabilità chiare e rischi che finalmente hanno un nome e un proprietario.
Il punto di partenza obbligato: mappare ogni sistema di intelligenza artificiale in uso, incluse le funzioni nascoste nei software di terze parti e lo shadow AI dei dipendenti, e classificarlo secondo le categorie di rischio del regolamento. Un censimento documentato e datato è anche la prima evidenza da mostrare in caso di controllo.
Ogni contratto che include componenti AI va verificato: chi è il provider, quale documentazione tecnica viene consegnata, come vengono comunicati gli aggiornamenti del modello. Le responsabilità del deployer restano in capo all'azienda, ma un contratto ben scritto evita di pagare per gli errori di altri.
Per i sistemi che incidono su persone serve un supervisore con competenza reale e autorità di intervento, non una firma di facciata. L'alfabetizzazione AI del personale è già obbligatoria: poche ore di formazione mirata, purché tracciate, mettono in regola e riducono davvero gli errori d'uso quotidiani.
Chi sviluppa oggi un sistema su misura può integrare fin dal progetto requisiti di tracciabilità, log, supervisione e gestione del rischio, invece di aggiungerli a posteriori. È l'approccio che Italy Soft applica ai progetti AI per le PMI: conformità incorporata nell'architettura, dall'assessment iniziale alla messa in produzione.
Italy Soft
In 30 minuti di audit gratuito analizziamo i tuoi processi e calcoliamo il ROI concreto. Nessun impegno.