Usi ChatGPT, Copilot o un chatbot sul tuo sito? Allora l’AI Act si applica alla tua azienda — oggi, non in futuro. Dal 2 agosto 2026 scattano obblighi concreti e sanzioni. Ma c’è una buona notizia: il punto di partenza non è un avvocato. È la formazione AI del tuo personale, obbligatoria dal febbraio 2025.
Cos’è l’AI Act e perché riguarda anche la tua PMI
L’AI Act è il Regolamento (UE) 2024/1689, in vigore dal 1° agosto 2024. Non è una direttiva da recepire Stato per Stato: si applica direttamente in tutta Europa, Italia compresa, senza passaggi legislativi intermedi. E si applica non solo a chi sviluppa sistemi di intelligenza artificiale, ma anche a chi li utilizza nell’attività aziendale.
Secondo i dati ISTAT di dicembre 2025, il 16,4% delle imprese italiane con almeno 10 addetti usa già strumenti AI — un aumento dell’8,2% rispetto all’anno precedente. Nella maggior parte dei casi, però, si tratta di un’adozione senza governance: nessuna policy, nessun registro, nessuna formazione documentata. È esattamente qui che nasce il rischio di non conformità.
Chi è coinvolto: provider e deployer
Il Regolamento distingue tra provider — chi sviluppa e immette sul mercato un sistema AI — e deployer, cioè chi lo utilizza sotto la propria autorità aziendale. Una PMI che usa ChatGPT per la comunicazione, Copilot per analizzare dati o un software gestionale con funzioni predittive è un deployer con obblighi specifici. Se la stessa PMI integra un modello AI in un proprio prodotto o servizio, diventa anche provider parziale, con responsabilità più ampie.
Le scadenze che contano: timeline aggiornata a giugno 2026
Febbraio 2025 — Pratiche vietate e formazione AI obbligatoria
Dal 2 febbraio 2025 sono in vigore i divieti assoluti dell’Art. 5 — scoring sociale, manipolazione subliminale, riconoscimento delle emozioni in contesti lavorativi — e soprattutto l’obbligo di AI Literacy (Art. 4). Provider e deployer devono assicurare che il personale che usa sistemi AI abbia competenze adeguate. Non è richiesta una certificazione formale, ma in caso di controllo o incidente l’azienda deve poter dimostrare di aver erogato formazione. Questo obbligo è già attivo da oltre un anno.
Agosto 2025 — Modelli GPAI
Dall’agosto 2025 si applicano le regole sui modelli di intelligenza artificiale per uso generale (GPAI): GPT, Claude, Gemini, Llama e simili. Gli obblighi più pesanti ricadono sui produttori di questi modelli, ma le PMI che li integrano in prodotti propri diventano downstream provider e devono tenere un registro aggiornato dei modelli usati, delle versioni e delle finalità.
Agosto 2026 — Sistemi ad alto rischio e trasparenza sui chatbot
Il 2 agosto 2026 è la data più rilevante per la maggioranza delle PMI. Entrano in vigore gli obblighi completi per i sistemi AI ad alto rischio (Allegato III) e quelli di trasparenza per i sistemi a rischio limitato: i chatbot devono essere identificabili come tali, i contenuti generati da AI devono essere dichiarati. Il Digital Omnibus — accordo provvisorio Parlamento-Consiglio del 7 maggio 2026, non ancora adottato formalmente — prevede un possibile rinvio al dicembre 2027 per alcuni obblighi ad alto rischio. Pianificare contando su questa proroga, però, resta un rischio concreto.
Dicembre 2026 — Watermarking dei contenuti generati da AI
Dal 2 dicembre 2026, immagini, video, audio e testi prodotti da sistemi AI e destinati al pubblico dovranno essere etichettati con watermark machine-readable. Riguarda chiunque produca o distribuisca contenuti sintetici nell’ambito della propria attività.
I quattro livelli di rischio: dove si colloca la tua azienda
L’AI Act classifica ogni sistema AI in quattro categorie. Gli obblighi dipendono interamente da questa classificazione, quindi il primo lavoro concreto per qualsiasi PMI è capire in quale categoria ricadono i propri strumenti.
Rischio inaccettabile — vietato
Manipolazione cognitiva inconscia, social scoring, biometria in tempo reale in spazi pubblici, polizia predittiva basata su profilazione. Vietati dal 2 febbraio 2025, senza eccezioni.
Alto rischio — obblighi stringenti
L’Allegato III elenca otto aree: infrastrutture critiche, istruzione, selezione e valutazione del personale, accesso al credito e alle assicurazioni, law enforcement, migrazione, giustizia, processi democratici. Una PMI che usa un software di screening CV con scoring automatico o un sistema di valutazione delle performance rientra in questa categoria, indipendentemente dalle sue dimensioni. Gli obblighi includono documentazione tecnica conforme all’Allegato IV, log automatici, supervisione umana, valutazione di conformità e registrazione nel database europeo.
Rischio limitato — obblighi di trasparenza
Chatbot, assistenti virtuali, AI generativa. L’obbligo principale è che l’utente sappia di stare interagendo con un sistema AI. Se hai un chatbot sul sito, dal 2 agosto 2026 deve essere esplicitamente dichiarato come tale.
Rischio minimo — nessun obbligo specifico
Filtri antispam, correttori ortografici, suggerimenti di prodotto in e-commerce. La maggior parte degli strumenti AI usati quotidianamente da una PMI ricade qui, a patto che vengano usati in modo appropriato e con le dovute verifiche interne.
Cosa fare subito: cinque passi operativi
1. Inventariare i sistemi AI in uso
Il punto di partenza è sempre la mappatura: quali strumenti AI usa la tua azienda? Un registro semplice — anche in Excel — con nome del sistema, fornitore, finalità, dati trattati, referente interno e data di adozione è sufficiente per iniziare. Senza questo inventario, qualsiasi altra attività di compliance è costruita su basi instabili.
2. Classificare ogni sistema per livello di rischio
Una volta costruito l’inventario, ogni strumento va posizionato nelle quattro categorie. È qui che molte PMI trovano sorprese: un software HR con scoring automatico delle candidature, usato da anni senza pensarci, può rientrare nell’alto rischio. Meglio scoprirlo adesso che in sede di controllo.
3. Avviare la formazione AI del personale
L’Art. 4 è già in vigore. La formazione AI non riguarda solo i tecnici: riguarda chiunque in azienda usi strumenti di intelligenza artificiale nel proprio lavoro. Il personale deve saper riconoscere i limiti del sistema che usa, capire quando un output va verificato prima di essere utilizzato e sapere quali dati è appropriato inserire in uno strumento AI. Questa competenza va documentata — non basta averla erogata informalmente.
4. Adeguare chatbot e contenuti generati da AI
Se hai un chatbot sul sito, verifica che sia identificato chiaramente come sistema AI. Se produci contenuti con strumenti generativi, inizia a strutturare un processo di etichettatura in vista delle scadenze di agosto e dicembre 2026.
5. Gestire AI Act e GDPR in modo integrato
Le due normative si sovrappongono ogni volta che un sistema AI tratta dati personali. Il Garante Privacy ha pubblicato linee guida preliminari nell’aprile 2026 per chiarire i punti di contatto tra DPIA (Art. 35 GDPR) e FRIA (Art. 27 AI Act). Gestirle separatamente significa fare il doppio del lavoro — e rischiare comunque lacune in entrambe.
Le sanzioni: cifre reali e proporzionalità per le PMI
Le sanzioni dell’AI Act sono strutturate su tre fasce: fino a 35 milioni di euro o il 7% del fatturato globale per l’uso di sistemi vietati; fino a 15 milioni o il 3% per violazioni sui sistemi ad alto rischio; fino a 7,5 milioni o l’1% per informazioni scorrette fornite alle autorità. L’Art. 99(6) prevede esplicitamente la proporzionalità per le PMI, ma proporzionalità non significa immunità. In Italia l’autorità competente è l’ACN (Agenzia per la Cybersicurezza Nazionale), che lavora in coordinamento con il Garante Privacy — un’autorità che negli ultimi anni ha già bloccato ChatGPT, sanzionato Replika e multato sistemi di scoring algoritmico dei lavoratori.
Perché la formazione AI è il punto di partenza, non un optional
L’errore più frequente nelle PMI italiane è affrontare l’AI Act come un problema legale o documentale. In realtà, il Regolamento ha agito prima di tutto sulla competenza delle persone, rendendo obbligatoria l’AI Literacy ben prima di qualsiasi scadenza sulla documentazione tecnica. E c’è una ragione precisa: un sistema AI usato da personale non formato è un sistema AI non governato, indipendentemente da quanta documentazione ci sia sopra.
La formazione AI richiesta dall’Art. 4 non è un corso generico sull’intelligenza artificiale. Deve essere calibrata sugli strumenti realmente in uso in azienda, sui ruoli che li utilizzano e sui rischi specifici di quel contesto. Deve essere documentata. E deve essere aggiornabile nel tempo, perché gli strumenti AI evolvono rapidamente e la formazione erogata due anni fa potrebbe non coprire i sistemi in uso oggi.
Formazione AI per PMI: cosa deve contenere
Un percorso di formazione AI adeguato agli obblighi dell’Art. 4 copre almeno questi ambiti: comprensione di cosa fa il sistema AI usato e dei suoi limiti operativi; riconoscimento degli output errati o inaffidabili; criteri per decidere quando un output va verificato prima di essere utilizzato; regole su quali dati è appropriato inserire in un sistema AI; procedure per segnalare anomalie o comportamenti inattesi. Tutto questo varia sensibilmente da settore a settore e da ruolo a ruolo: la formazione per un addetto alle vendite che usa un CRM con funzioni AI è diversa da quella per un responsabile HR che usa uno strumento di screening candidature.
Come Digityze affianca le PMI piemontesi
Con sede nel cuneese e presenza consolidata nel tessuto produttivo piemontese e ligure, Digityze ha costruito un percorso specifico per accompagnare le PMI locali nell’adeguamento all’AI Act — senza la complessità di consulenze pensate per le grandi imprese. Attraverso il portale ai.digityze.it, eroga percorsi di formazione AI pratici e contestualizzati, progettati per il personale operativo e disponibili sia in modalità e-learning che in presenza presso la sede del cliente.
Il percorso parte da un audit iniziale gratuito di 60 minuti per mappare i sistemi AI in uso e identificare le priorità. Segue un programma di formazione AI Literacy strutturato, certificabile e documentabile per soddisfare l’Art. 4. Dove necessario, il supporto si estende alla costruzione del registro dei sistemi AI, alla checklist di compliance e alla documentazione richiesta per i sistemi ad alto rischio.
Non lavoriamo con soluzioni standard. Ogni percorso parte dall’analisi della tua realtà aziendale.
Conclusione
L’AI Act è già in vigore. La formazione AI del personale è obbligatoria da febbraio 2025. La trasparenza sui chatbot scatta ad agosto 2026. Il watermarking sui contenuti generativi a dicembre 2026. Non ci sono proroghe per questi obblighi — e anche il possibile rinvio del Digital Omnibus sui sistemi ad alto rischio non è ancora definitivo. Le PMI che iniziano adesso hanno ancora il tempo per farlo in modo ordinato, senza rincorrere le scadenze.