AI Act: come verificare se la tua azienda è davvero in regola nel 2026

È uno scenario sempre più comune: durante un audit richiesto da un cliente tedesco, un'azienda manifatturiera italiana scopre di usare da due anni un software di screening dei CV basato su AI, senza aver mai fatto una valutazione di rischio. Non stava violando nulla al momento dell'acquisto del software. Lo sta violando adesso, perché nel frattempo l'AI Act è entrato in vigore e quel tipo di sistema rientra tra quelli ad alto rischio.

Casi come questo si stanno moltiplicando, perché l'AI Act è scaglionato su più anni, con obblighi diversi che scattano in date diverse. La maggior parte delle PMI non ha nessuno che segue la scadenza successiva.

Quello che segue è la sequenza di domande che dovresti farti oggi per capire dove ti trovi — più utile di un riassunto del regolamento che probabilmente hai già letto altrove.

Prima di chiederti "sono a rischio", chiediti chi sei rispetto al sistema AI che usi.

Se sviluppi o fai sviluppare un sistema di intelligenza artificiale che poi immetti sul mercato con il tuo nome, sei un provider. Gli obblighi più pesanti — documentazione tecnica, valutazione di conformità, registrazione — ricadono principalmente su di te.

Se invece acquisti o usi un sistema AI sviluppato da qualcun altro (un software HR, uno strumento di scoring creditizio, un chatbot per il servizio clienti), sei un deployer. Gli obblighi sono più leggeri ma non sono zero: devi comunque valutare i rischi per chi lo subisce, informare le persone quando serve, e — soprattutto — sapere in quale categoria di rischio ricade lo strumento che stai usando.

La maggior parte delle aziende italiane che leggono questo articolo sono deployer. Comprano tecnologia, non la costruiscono. Ed è proprio qui che si annida il problema: si dà per scontato che la responsabilità sia del fornitore del software, e non è così.

Alcuni obblighi non sono futuri. Sono già legge.

Dal 2 febbraio 2025 sono vietate pratiche come il social scoring, la manipolazione subliminale delle persone, e alcuni usi del riconoscimento biometrico in tempo reale in spazi pubblici. Se nessuno dei tuoi sistemi fa queste cose, questa parte non ti riguarda direttamente — ma da quella stessa data è scattato anche un obbligo che riguarda quasi tutti: l'alfabetizzazione all'AI del personale. Chi in azienda usa strumenti di intelligenza artificiale deve avere un livello minimo di comprensione di come funzionano e dei loro limiti. Non serve un corso certificato, ma serve poter dimostrare che è stato fatto qualcosa: una sessione formativa, delle linee guida interne, una policy firmata.

Dal 2 agosto 2025 sono partiti gli obblighi per i modelli di intelligenza artificiale general purpose (i cosiddetti GPAI, come i grandi modelli linguistici) messi sul mercato da quella data in poi. Se costruisci prodotti sopra a un modello di terze parti, questo ti riguarda indirettamente: il fornitore del modello dovrebbe già fornirti documentazione tecnica e informazioni sull'uso previsto. Chiedigliela, se non l'hai ancora fatto.

Qui la maggior parte delle guide online genera confusione, perché le scadenze sono state modificate a maggio 2026 con l'accordo sul cosiddetto Digital Omnibus.

Il 2 agosto 2026 restano fermi alcuni obblighi importanti: le autorità di sorveglianza del mercato nazionali ottengono pieni poteri di indagine e sanzione. In Italia, la legge 132/2025 ha diviso i compiti tra due enti: l'Agenzia per la Cybersicurezza Nazionale fa da autorità di sorveglianza del mercato, con poteri ispettivi e sanzionatori, mentre l'Agenzia per l'Italia Digitale si occupa di notifica e accreditamento degli organismi di valutazione della conformità. Diventano operativi anche i sandbox normativi nazionali, pensati apposta per dare a PMI e startup un canale prioritario per testare sistemi AI con supervisione regolatoria, invece di scoprire dopo il lancio di essere fuori norma. Entrano inoltre pienamente in vigore gli obblighi di trasparenza dell'Articolo 50: se il tuo sito usa un chatbot, devi dirlo chiaramente a chi ci parla. Se generi contenuti sintetici (immagini, audio, video) che potrebbero sembrare reali, devono essere etichettati come tali.

Quello che invece slitta è l'obbligo più pesante: la piena conformità per i sistemi ad alto rischio elencati nell'Allegato III (assunzione, credito, sanità, giustizia, infrastrutture critiche, tra gli altri) non scatta più ad agosto 2026 ma è stata spostata al 2 dicembre 2027. Sono sedici mesi in più. Il motivo è tecnico: gli standard armonizzati europei, quelli che indicano in pratica come conformarsi, non erano ancora pronti per l'agosto 2026. Il rinvio dà tempo per prepararsi con calma invece di rincorrere la scadenza all'ultimo momento — ma non è una scusa per rimandare tutto al 2027.

Se il tuo sistema rientra nell'alto rischio, questo significa una cosa concreta: hai tempo, ma non hai una scusa per non iniziare. Le aziende che partiranno nel 2026 arriveranno al 2027 con un processo rodato. Quelle che aspetteranno il 2027 lo faranno sotto pressione, con fornitori e consulenti sovraccarichi nell'ultimo trimestre.

Le sanzioni previste dall'Articolo 99 sono proporzionali alla gravità della violazione. Per le pratiche vietate — social scoring, manipolazione, biometria non consentita — si arriva fino a 35 milioni di euro o il 7% del fatturato globale annuo, il maggiore dei due. Per la violazione degli obblighi sui sistemi ad alto rischio, il tetto scende a 15 milioni o al 3% del fatturato. Per aver fornito informazioni fuorvianti o incomplete alle autorità, si parla di 7,5 milioni o dell'1%.

Per le PMI e le startup, il regolamento prevede che si applichi la cifra più bassa tra l'importo fisso e la percentuale, non automaticamente la più alta. È una tutela reale, ma presuppone che tu sia già classificato come PMI in modo formale — un altro motivo per avere la documentazione in ordine prima, non dopo.

1. Fai l'elenco di ogni strumento AI usato in azienda. Non solo quelli "ufficiali": include i tool che i singoli team hanno adottato da soli (ChatGPT per il marketing, un plugin AI nel CRM, uno strumento di trascrizione automatica).

2. Per ognuno, stabilisci se sei provider o deployer. Nella maggior parte dei casi sarai deployer, ma verificalo caso per caso: se hai fatto sviluppare un sistema su misura con il tuo brand, potresti essere provider senza saperlo.

3. Verifica se il fornitore ti ha già mandato documentazione sul sistema. Se non l'ha fatto, chiedila per iscritto. È un obbligo suo, non un favore.

4. Controlla se qualcuno dei sistemi tocca aree sensibili: selezione del personale, valutazione delle prestazioni, accesso al credito, sicurezza dei prodotti, dati biometrici. Sono i candidati più probabili per l'alto rischio.

5. Documenta la formazione fatta sull'AI literacy, anche se informale. Una email interna con le linee guida vale più di niente.

6. Segna in calendario il 2 agosto 2026 e il 2 dicembre 2027 come due scadenze diverse, con obblighi diversi, non come un'unica data lontana.

Non serve completare questa lista in un pomeriggio: basta iniziarla. Il rischio reale è scoprire tra un anno di avere un problema che potevi risolvere oggi con un'email al fornitore giusto.