AI Act: cosa cambia il 2 agosto 2026 per le aziende italiane

Da quella data la quasi totalità degli obblighi dell'AI Act diventa applicabile e sanzionabile: regole per i sistemi ad alto rischio, obblighi di trasparenza e, soprattutto, il regime sanzionatorio pienamente operativo. In Italia la vigilanza fa capo ad ACN e AgID secondo la legge 132/2025, i cui decreti attuativi su controlli e sanzioni sono in corso di approvazione.

Attenzione a un equivoco diffuso: l'obbligo di formazione del personale (Art. 4) non nasce il 2 agosto 2026: è in vigore dal 2 febbraio 2025. Il 2 agosto è la data da cui l'inadempimento smette di essere a costo zero.

Quasi certamente sì. L'AI Act si applica a chiunque utilizzi sistemi di intelligenza artificialein ambito professionale, non solo a chi li sviluppa. Se in azienda qualcuno usa ChatGPT per scrivere un'email, un traduttore automatico, un CRM con funzioni predittive o un gestionale con l'assistente AI, l'azienda è un "deployer" ai sensi del regolamento.

Non conta la dimensione: l'obbligo di alfabetizzazione vale per la PMI di 10 persone come per la multinazionale. Cambia solo la complessità dell'adeguamento.

L'AI Act prevede sanzioni fino a 35 milioni di euro o il 7% del fatturato mondialeper le violazioni più gravi (pratiche vietate), fino a 15 milioni o il 3% per la violazione degli altri obblighi, e fino a 7,5 milioni o l'1% per informazioni scorrette alle autorità. Per le PMI si applica il valore più basso tra percentuale e importo fisso.

Al di là dei massimali, il rischio concreto per una PMI è un altro: in caso di controllo o di contenzioso (un incidente, un licenziamento contestato, un danno da uso scorretto dell'AI), non poter dimostrare di aver formato il personale è un'aggravante documentale che pesa anche sul piano civilistico e assicurativo.

Il percorso minimo di adeguamento per un'azienda che usa AI:

1. Formare il personaleche usa strumenti di AI, con evidenza documentabile (attestato nominale, contenuti tracciati, verifica dell'apprendimento), come da Art. 4 già in vigore.
2. Censire i sistemi AI in uso in un registro aziendale: quali strumenti, chi li usa, per cosa, con quali dati.
3. Adottare una policy internasull'uso dell'AI: cosa è permesso, cosa è vietato, come trattare i dati aziendali e personali.
4. Tenere tutto aggiornato: la normativa evolve (decreti attuativi, linee guida ACN/AgID) e i documenti fermi al 2025 non proteggono nel 2027.

I primi tre passi si completano in giorni, non mesi: quello che conta è partire prima che l'onda dei controlli, e dei fornitori e clienti che chiedono evidenze, arrivi.