AI Act, 2 agosto 2026: cosa è scattato davvero (e cosa slitta) per chi usa l’intelligenza artificiale in azienda

Ieri, 2 agosto 2026, su parecchi gruppi WhatsApp di titolari di studi professionali e piccole agenzie è iniziato a circolare lo stesso messaggio, più o meno nella stessa forma: “da oggi rischiamo multe se usiamo ChatGPT senza avvisare i clienti?”. La risposta breve è: dipende da cosa fate con l’IA, non dal fatto che la usiate. La risposta lunga è quello che trovate qui sotto, perché il 2 agosto 2026 è davvero una data di svolta per il Regolamento europeo sull’intelligenza artificiale — ma non nel modo in cui la maggior parte degli articoli usciti questa settimana l’ha raccontata.

Il punto che quasi nessuno ha spiegato con chiarezza è che da ieri sono scattate due cose molto diverse tra loro: da un lato gli obblighi di trasparenza dell’articolo 50 (quelli che riguardano chatbot, deepfake e contenuti generati), dall’altro il regime sanzionatorio pieno. Quello che invece NON è scattato — a differenza di quanto previsto fino a poche settimane fa — sono gli obblighi più pesanti sui sistemi “ad alto rischio”, rinviati all’ultimo momento da un provvedimento chiamato Digital Omnibus. Se gestite un negozio online, uno studio di commercialisti, un’agenzia di comunicazione o qualunque PMI che usa strumenti di intelligenza artificiale generativa, questo articolo è pensato per dirvi esattamente cosa cambia per voi da oggi, cosa potete rimandare a domani e come mettervi in regola senza pagare un consulente per capire l’ovvio. Ci arriviamo con calma, con esempi concreti e con i riferimenti alle fonti ufficiali e giornalistiche da cui abbiamo preso le informazioni, così che possiate verificare tutto autonomamente, se volete, invece di doverci credere sulla parola.

Il 2 agosto 2026 in due frasi, prima di entrare nei dettagli

Partiamo dal riassunto per chi ha cinque minuti, poi scendiamo nel dettaglio per chi deve davvero agire. Il Regolamento (UE) 2024/1689, meglio noto come AI Act, è entrato in vigore il 1° agosto 2024 e da allora si applica “a scaglioni”: alcune norme sono partite subito, altre a distanza di mesi, altre ancora dovevano scattare proprio in questi giorni. Il 2 agosto 2026 era la data indicata nel testo originario per l’avvio di due blocchi di regole: gli obblighi di trasparenza verso il pubblico (articolo 50) e le regole più stringenti sui sistemi ad “alto rischio” elencati nell’Allegato III del Regolamento, cioè quelli usati per selezionare personale, valutare il merito creditizio, gestire l’accesso a servizi pubblici essenziali e altri usi sensibili.

A fine giugno 2026, però, il Consiglio dell’Unione europea ha adottato in via definitiva un pacchetto di modifiche noto come “Digital Omnibus on AI”, che ha spostato in avanti proprio la seconda parte: gli obblighi sui sistemi ad alto rischio dell’Allegato III slittano al 2 dicembre 2027, e quelli sui sistemi ad alto rischio “incorporati in prodotti” dell’Allegato I (dispositivi medici, macchinari, ascensori e simili) al 2 agosto 2028. Il testo che introduce questo rinvio è stato pubblicato in Gazzetta Ufficiale dell’Unione europea come Regolamento (UE) 2026/1744 dell’8 luglio 2026, quindi in tempo utile prima della scadenza di agosto. Chi si aspettava, da ieri, di dover avere pronto un intero sistema di gestione del rischio per l’IA usata in selezione del personale può quindi tirare un sospiro di sollievo: quella parte è stata rimandata di sedici mesi. Chi invece pubblica contenuti generati con l’intelligenza artificiale, usa un chatbot sul proprio sito o produce immagini e video con strumenti di IA generativa, da ieri ha nuovi obblighi concreti — ed è di questo che ci occupiamo soprattutto in questo articolo.

Non tutti festeggiano il rinvio: le critiche al Digital Omnibus

Prima di proseguire con gli aspetti operativi, è giusto raccontare anche l’altra faccia della medaglia, perché il rinvio degli obblighi sull’alto rischio non è stato accolto con sollievo unanime. Nelle settimane precedenti l’approvazione definitiva, decine di organizzazioni per i diritti digitali, sindacati e associazioni di consumatori hanno criticato apertamente il Digital Omnibus, definendolo un arretramento rispetto alle tutele che l’Unione europea si era data con il testo originario del 2024. NOYB, l’organizzazione fondata dall’attivista austriaco Max Schrems — già protagonista di alcune delle pronunce più rilevanti in materia di protezione dei dati personali in Europa — ha definito il pacchetto di semplificazione “il più grande attacco ai diritti digitali degli europei degli ultimi anni”, mentre la rete Liberties ha sottolineato come l’accordo finale indebolisca diverse tutele previste dal testo originario, non solo sui tempi ma anche nel merito di alcuni obblighi.

Il timore principale espresso da queste organizzazioni è che il rinvio lasci per anni, soprattutto nel settore pubblico, sistemi di IA ad alto rischio già operativi ma privi delle tutele previste dal capo dedicato del Regolamento — pensiamo a strumenti già in uso per la gestione di pratiche amministrative o per la valutazione di richieste di prestazioni sociali. Anche il Parlamento europeo, pur avendo approvato il testo, ha voluto mettere agli atti che la semplificazione normativa è un obiettivo legittimo, ma non può essere perseguita a scapito della coerenza del quadro giuridico e della protezione dei diritti digitali dei cittadini. Per una PMI che si limita a usare un chatbot o a generare qualche immagine per il proprio e-commerce, questo dibattito può sembrare lontano dalla quotidianità, ma è un contesto utile per capire perché, come raccontato più avanti in questo articolo, il rinvio riguardi solo una parte del Regolamento e non sia affatto la fine della vigilanza europea sull’intelligenza artificiale.

Cosa è entrato davvero in vigore il 2 agosto 2026

Gli obblighi di trasparenza dell’articolo 50

L’articolo 50 dell’AI Act riguarda quattro tipi di contenuto: audio, video, immagini e testo. Le linee guida della Commissione europea pubblicate a fine luglio 2026 hanno chiarito nel dettaglio come applicarlo, distinguendo due obblighi che vengono spesso confusi tra loro, anche dagli addetti ai lavori.

Il primo è la “marcatura” (marking), un segnale tecnico leggibile da una macchina — un watermark, un metadato, un’impronta digitale nel file — che rende il contenuto riconoscibile come generato o manipolato dall’IA. Questo obbligo ricade su chi fornisce il sistema di IA (il “provider”): se sviluppate voi stessi un generatore di immagini, tocca a voi. Se invece usate Midjourney, DALL-E o Gemini, la marcatura tecnica è già una responsabilità del fornitore dello strumento, non vostra.

Il secondo è l'”etichettatura” (labelling), cioè l’informazione visibile che comunica agli utenti che quel contenuto è stato generato o modificato dall’IA. Questo obbligo ricade su chi usa lo strumento per produrre e diffondere il contenuto (il “deployer”) — e qui, per la stragrande maggioranza delle PMI italiane che si affidano a strumenti di terze parti, si gioca la partita vera. Se pubblicate un articolo del blog scritto con ChatGPT, un’immagine prodotta con Midjourney per una campagna pubblicitaria o un video promozionale generato con Sora, l’obbligo di segnalarlo agli utenti è vostro, non del fornitore dello strumento.

Chi fa cosa secondo l’articolo 50 dell’AI Act.

Per i deepfake — materiale che riproduce persone, luoghi o eventi reali in modo talmente realistico da apparire autentico — la dichiarazione dell’origine sintetica è dovuta a prescindere dall’intenzione di ingannare qualcuno, salvo eccezioni per usi investigativi o di prevenzione dei reati previste dalla norma. Per le opere dichiaratamente artistiche, satiriche o di fantasia, invece, l’obbligo si attenua: basta una segnalazione che non comprometta la fruizione dell’opera, ad esempio in coda ai credits di un video o in una didascalia poco invasiva.

Il chatbot che avete sul sito rientra nell’obbligo?

Sì, quasi sempre. L’AI Act prevede che chi utilizza un chatbot o un assistente conversazionale debba informare l’utente che sta interagendo con un sistema di intelligenza artificiale, a meno che questo non sia già evidente dal contesto d’uso — per esempio perché il chatbot si presenta esplicitamente come tale fin dal primo messaggio (“Ciao, sono l’assistente virtuale di…”). Se il vostro sito ha un widget di customer service basato su IA che finora si è limitato a rispondere senza mai chiarire la propria natura, questo è uno dei primi punti da sistemare, ed è anche uno dei più semplici: basta una riga nel messaggio di benvenuto del bot.

Le sanzioni: la parte che rende tutto questo concreto

Fino a ieri, per larga parte dei casi, l’AI Act era più che altro un impegno morale: le norme esistevano ma il sistema sanzionatorio pieno non era ancora operativo per tutti gli ambiti. Dal 2 agosto 2026 questo cambia. Il Regolamento prevede tre fasce di sanzioni, a seconda della gravità della violazione:

• fino a 35 milioni di euro o il 7% del fatturato globale annuo per le pratiche vietate (ad esempio sistemi di manipolazione subliminale o social scoring);
• fino a 15 milioni di euro o il 3% del fatturato per la non conformità agli altri obblighi del Regolamento, trasparenza compresa;
• fino a 7,5 milioni di euro o l’1,5% del fatturato per aver fornito informazioni false o fuorvianti alle autorità di vigilanza.

In tutti i casi si applica il valore più alto tra l’importo fisso e la percentuale — tranne che per le PMI e le startup, per le quali vale il meccanismo opposto: tra l’importo fisso e la percentuale sul fatturato si applica il valore più basso, una tutela pensata proprio per evitare che una multa “assoluta” pensata per una multinazionale schiacci un’impresa da poche decine di dipendenti. Per i modelli di IA per finalità generali (i cosiddetti GPAI, come i grandi modelli linguistici) la sanzione viene decisa direttamente dalla Commissione europea tramite l’AI Office, mentre per gli altri ambiti la vigilanza in Italia è affidata all’Agenzia per la Cybersicurezza Nazionale, con AGID nel ruolo di autorità di notifica.

Va detto con onestà: nelle prime settimane è improbabile che l’Agenzia per la Cybersicurezza Nazionale si metta a fare controlli a tappeto sulle partite IVA che non hanno scritto “contenuto generato con IA” sotto un post di Instagram. Le sanzioni pesanti, storicamente, colpiscono prima i casi eclatanti o le segnalazioni specifiche. Ma “improbabile nell’immediato” non significa “senza conseguenze”: un’etichettatura mancante può diventare un problema in caso di contenzioso con un cliente, di verifica su segnalazione di un concorrente o, più banalmente, di un controllo a campione quando il sistema sanzionatorio sarà a regime. Mettersi in regola adesso, quando gli adempimenti richiesti sono ancora relativamente semplici, costa molto meno che rincorrere la conformità dopo una contestazione, quando magari bisogna anche rivedere mesi di contenuti pubblicati senza la dicitura corretta, con un dispendio di tempo decisamente superiore a quello richiesto per farlo bene fin dall’inizio.

Come siamo arrivati fin qui: la cronologia che spiega perché oggi è un giorno diverso dagli altri

Per chi non ha seguito l’AI Act passo dopo passo negli ultimi due anni, vale la pena ricostruire brevemente il percorso, perché aiuta a capire perché il 2 agosto ricorra così spesso come data-cardine e perché non sia la prima né sarà l’ultima scadenza rilevante. Il Regolamento (UE) 2024/1689 è entrato in vigore il 1° agosto 2024, ma — a differenza di molte norme nazionali che diventano pienamente operative dall’oggi al domani — l’AI Act è stato costruito con un’applicazione differita e scaglionata, proprio per dare tempo a imprese e pubbliche amministrazioni di adeguarsi gradualmente a un impianto normativo enorme, il primo al mondo a regolare l’intelligenza artificiale in modo organico.

La prima scadenza è arrivata dopo appena sei mesi: dal 2 febbraio 2025 sono diventati operativi i divieti sulle pratiche di IA considerate inaccettabili — manipolazione subliminale o ingannevole delle persone, sfruttamento delle vulnerabilità di specifici gruppi (minori, persone con disabilità, situazioni di difficoltà economica), sistemi di “social scoring” da parte di autorità pubbliche, riconoscimento delle emozioni sul posto di lavoro o negli istituti scolastici (salvo eccezioni mediche o di sicurezza), e categorizzazione biometrica per dedurre orientamento sessuale, opinioni politiche o convinzioni religiose. Da quella data è scattato anche l’obbligo di “alfabetizzazione IA” per fornitori e utilizzatori di sistemi di intelligenza artificiale, quello che oggi torna utile per giustificare il Passo 6 della guida pratica più avanti in questo articolo.

Sei mesi dopo, dal 2 agosto 2025, sono partiti gli obblighi per i modelli di IA per finalità generali (i “GPAI”, general purpose AI, la categoria in cui rientrano i grandi modelli linguistici come GPT, Claude o Gemini) e le regole di governance, con la designazione delle autorità nazionali competenti in ciascuno Stato membro. Da quel momento, i fornitori di questi modelli devono mantenere una documentazione tecnica aggiornata, fornire informazioni ai fornitori a valle che integrano il modello nei propri prodotti, adottare una politica per il rispetto del diritto d’autore europeo nell’addestramento e pubblicare un riepilogo sufficientemente dettagliato dei contenuti usati per l’addestramento. Per i modelli classificati a “rischio sistemico” — quelli con capacità computazionale particolarmente elevata — si aggiungono obblighi di valutazione dei rischi, red-teaming e segnalazione di incidenti gravi. È una parte dell’AI Act che riguarda direttamente OpenAI, Google, Anthropic, Meta e pochi altri grandi attori, non le PMI italiane che quei modelli li usano soltanto: ma è importante saperla collocare nel tempo, perché è il tassello che ha reso possibile, un anno dopo, l’entrata in vigore degli obblighi di trasparenza di cui parliamo in questo articolo.

Il 2 agosto 2026, dunque, non è un punto di partenza isolato: è il terzo gradino di una scala che l’Unione europea sta costruendo dal 2024, e sarà seguito da un quarto gradino — quello sui sistemi ad alto rischio — che il Digital Omnibus ha spostato più avanti nel tempo senza però toccare gli obblighi già consolidati nei gradini precedenti. Chi in questi giorni ha letto che “l’AI Act slitta” ha quindi ricevuto un’informazione parziale: slitta una parte, la più complessa dal punto di vista organizzativo, mentre tutto il resto dell’impianto — divieti, alfabetizzazione, obblighi GPAI, trasparenza, sanzioni — resta fermo dove era stato originariamente previsto.

Il Digital Omnibus: perché Bruxelles ha frenato sull’alto rischio

Per capire perché l’Unione europea abbia deciso, a pochi mesi dalla scadenza, di rinviare una parte così importante del Regolamento, bisogna guardare all’iter che ha portato al Digital Omnibus. La proposta di modifica è arrivata dalla Commissione europea il 19 novembre 2025, in un contesto di pressione crescente da parte delle imprese europee — soprattutto tedesche e francesi — che lamentavano il rischio di un doppio svantaggio competitivo rispetto a Stati Uniti e Cina: da un lato regole più severe sull’IA, dall’altro un mercato interno ancora frammentato su standard tecnici e certificazioni. L’accordo politico tra Parlamento europeo, Consiglio e Commissione (il cosiddetto “trilogo”) è arrivato il 7 maggio 2026; il Parlamento ha votato il testo definitivo il 16 giugno 2026 e il Consiglio lo ha adottato il 29 giugno 2026. Il regolamento di modifica, il n. 2026/1744, è stato pubblicato in Gazzetta Ufficiale dell’UE l’8 luglio 2026 ed è entrato in vigore il terzo giorno successivo alla pubblicazione — con largo anticipo, quindi, rispetto alla scadenza del 2 agosto che avrebbe altrimenti reso applicabili le vecchie regole sull’alto rischio.

Il cuore della modifica riguarda gli obblighi più onerosi previsti per i sistemi ad alto rischio: valutazione di conformità, sistema di gestione della qualità, sorveglianza umana strutturata, gestione degli incidenti e registrazione in un database europeo. Sono adempimenti pensati soprattutto per chi sviluppa o distribuisce sistemi di IA usati, per esempio, per selezionare candidati in una procedura di assunzione, valutare l’affidabilità creditizia di un cliente o gestire l’accesso a prestazioni sociali. Il legislatore europeo ha riconosciuto che né le imprese né gli enti di certificazione erano pronti a rendere operative queste procedure entro l’estate 2026, anche perché mancavano ancora molte delle norme tecniche armonizzate necessarie per applicarle in modo uniforme in tutti gli Stati membri. Da qui il rinvio di sedici mesi per l’Allegato III e di dodici mesi per l’Allegato I.

È importante sottolineare che il rinvio riguarda gli obblighi più strutturati e complessi, non un azzeramento delle responsabilità legali per chi usa l’IA in ambiti sensibili. Se la vostra azienda utilizza un software di screening dei curriculum basato su intelligenza artificiale, resta comunque valido tutto l’impianto di responsabilità già esistente — dal GDPR alle norme antidiscriminazione — anche se le procedure di conformità specifiche dell’AI Act per quel tipo di sistema arriveranno più avanti. Il rinvio è un respiro, non un’esenzione permanente, ed è bene che chi opera in questi settori lo tenga a mente mentre pianifica gli investimenti tecnologici dei prossimi due anni, invece di considerare la questione definitivamente archiviata.

Il Codice di condotta sulla trasparenza: aderire o dimostrare da soli

Uno degli aspetti più pratici chiariti dalle linee guida della Commissione europea pubblicate a fine luglio riguarda il modo in cui un’azienda può dimostrare di essere in regola con l’articolo 50. La via più semplice, per chi userà con continuità strumenti di IA generativa nella propria comunicazione, è aderire al Codice di condotta sulla trasparenza dei contenuti generati dall’intelligenza artificiale, riconosciuto dalla Commissione e dall’AI Board come mezzo volontario adeguato per attestare la conformità. Aderire a un codice di condotta non è un obbligo, ma porta con sé un vantaggio concreto: chi aderisce beneficia di una presunzione di conformità che semplifica non poco la vita in caso di verifica, perché sposta l’onere della prova dall’azienda al codice stesso, già validato dalle autorità europee.

Chi non aderisce al codice non è automaticamente fuori norma, ma deve poter dimostrare il rispetto degli obblighi di marcatura ed etichettatura attraverso strumenti alternativi equivalenti: per esempio conservando la documentazione sulle diciture usate, sulle policy interne di etichettatura definite al Passo 3 della guida pratica, e su come queste vengono applicate in modo sistematico. Per una PMI che pubblica contenuti in modo occasionale, questa seconda strada — cioè semplicemente fare le cose per bene e tenerne traccia — è spesso più che sufficiente, e non richiede l’adesione formale a nessun codice esterno. Il codice di condotta diventa invece interessante per chi produce grandi volumi di contenuti generati dall’IA su base quotidiana, ad esempio agenzie di comunicazione, media locali o e-commerce con cataloghi molto ampi.

Glossario minimo: i termini che troverai citati ovunque parlando di AI Act

Prima di entrare nella parte più operativa dell’articolo, vale la pena fermarsi un momento su alcuni termini tecnici che tornano continuamente in questo genere di discussioni e che, se non sono chiari, rendono difficile seguire il filo del discorso. Non è un vezzo da giuristi: sono le parole che userete anche voi se dovrete mai spiegare a un cliente, a un socio o a un dipendente perché avete cambiato una procedura interna, e conoscerle vi eviterà di annuire senza capire la prossima volta che le sentirete citare in una riunione o in un articolo di settore.

Provider (fornitore) è chi sviluppa un sistema di IA o lo fa sviluppare da altri con l’intenzione di immetterlo sul mercato o metterlo in servizio, con il proprio nome o marchio. Deployer (utilizzatore o distribuzione) è chi usa un sistema di IA sotto la propria autorità nell’ambito della propria attività professionale, senza esserne il fornitore originario: è la categoria in cui rientra la stragrande maggioranza delle PMI italiane che utilizzano strumenti come ChatGPT, Claude o Midjourney senza averli sviluppati.

GPAI (General Purpose AI, IA per finalità generali) indica i modelli di intelligenza artificiale addestrati su grandi quantità di dati, capaci di svolgere una vasta gamma di compiti diversi e di essere integrati in molteplici applicazioni a valle: è la categoria a cui appartengono i grandi modelli linguistici come GPT, Claude, Gemini e Llama. Tra i GPAI, quelli che superano determinate soglie di capacità computazionale vengono classificati come modelli a “rischio sistemico” e sono soggetti a obblighi rafforzati di valutazione e mitigazione dei rischi.

Sistema ad alto rischio è un sistema di IA usato in ambiti specificamente elencati dal Regolamento, perché il suo malfunzionamento o un suo uso scorretto può avere conseguenze significative sulla salute, la sicurezza o i diritti fondamentali delle persone. Questi ambiti sono raccolti in due allegati distinti: l’Allegato III elenca gli usi “per ambito” (selezione del personale, valutazione del credito, accesso a prestazioni pubbliche essenziali, giustizia, migrazione, biometria, istruzione), mentre l’Allegato I elenca i prodotti già regolamentati da normative di sicurezza europee preesistenti in cui l’IA viene incorporata come componente (dispositivi medici, macchinari, giocattoli, ascensori, aeromobili e simili).

AI Office è l’ufficio istituito presso la Commissione europea con il compito di sorvegliare, in particolare, i modelli GPAI a livello centralizzato in tutta l’Unione, mentre la vigilanza sugli altri ambiti resta affidata alle autorità nazionali di ciascuno Stato membro — in Italia, come visto, l’Agenzia per la Cybersicurezza Nazionale insieme ad AGID.

Guida pratica: come mettere in regola la tua PMI in una settimana

Quello che segue è un percorso realistico, pensato per un’impresa di piccole o medie dimensioni che non ha (e probabilmente non avrà mai) un responsabile IA dedicato a tempo pieno. Non serve un progetto di compliance in stile enterprise: serve un pomeriggio di lavoro concentrato e un documento che riassuma le scelte fatte, così da poterlo mostrare se qualcuno dovesse chiedere conto.

Il percorso in sintesi: gli 8 passi descritti in dettaglio qui sotto.

Passo 1 — Fai la mappa degli strumenti di IA che usi davvero

Prendi un foglio di calcolo e annota, per ogni reparto o funzione aziendale, quali strumenti di intelligenza artificiale generativa vengono usati: ChatGPT per le email, Canva con la sua IA integrata per i social, un chatbot di customer service, un plugin di IA nel gestionale, un tool per trascrivere le riunioni. È un esercizio che raramente le PMI hanno mai fatto in modo sistematico, e spesso la sorpresa è scoprire quanti strumenti diversi convivono senza che nessuno li abbia mai “autorizzati” formalmente.

Passo 2 — Per ciascuno strumento, stabilisci se sei fornitore o utilizzatore (deployer)

Nella stragrande maggioranza dei casi, una PMI italiana è “deployer”: usa strumenti sviluppati da altri (OpenAI, Google, Anthropic, Microsoft, Adobe) senza modificarne il funzionamento interno. Questo è rassicurante, perché gli obblighi più tecnici (marcatura, valutazione di conformità) restano in capo al fornitore dello strumento. Diventa “fornitore” solo chi sviluppa un proprio sistema di IA, per esempio un chatbot personalizzato costruito su un modello open source, oppure chi modifica sostanzialmente uno strumento di terzi al punto da renderlo un prodotto diverso.

Passo 3 — Definisci uno standard di etichettatura e applicalo ovunque

Scegli una formula breve e coerente da usare su sito, social, newsletter e materiali commerciali quando pubblichi contenuti generati o significativamente assistiti dall’IA. Non serve inventare nulla di complicato: una dicitura semplice come “Immagine generata con intelligenza artificiale” sotto una grafica, o “Contenuto scritto con l’assistenza di strumenti di IA, rivisto dalla redazione” in calce a un articolo, soddisfa lo spirito della norma. L’importante è la coerenza: se oggi lo scrivi su un post e domani lo dimentichi su un altro, in caso di controllo la disomogeneità pesa contro di te.

Passo 4 — Sistema il chatbot del sito (se ce l’hai)

Apri la chat del tuo sito e leggi il primo messaggio che un utente riceve. Se non è già chiaro che sta parlando con un sistema automatico, aggiungi una riga esplicita all’inizio della conversazione. Nella maggior parte delle piattaforme di customer service (Intercom, Tidio, Zendesk, i plugin nativi di WordPress) questo si modifica dal pannello di configurazione del messaggio di benvenuto, senza bisogno di un tecnico.

Passo 5 — Rivedi le informative privacy se usi l’IA su dati di clienti o dipendenti

Se un tool di intelligenza artificiale elabora dati personali — anche solo trascrivendo una telefonata con un cliente o analizzando i CV ricevuti — verifica che l’informativa privacy del sito o del modulo di raccolta dati menzioni esplicitamente questo trattamento. Il Garante per la protezione dei dati personali ha più volte ribadito, con provvedimenti relativi a diversi casi aziendali, che l’uso di strumenti di IA su dati personali richiede una base giuridica chiara e un’informativa aggiornata: l’AI Act si affianca al GDPR, non lo sostituisce.

Esempio di frase da aggiungere all’informativa privacy: “Per l’erogazione di alcuni servizi (es. assistenza clienti tramite chatbot, analisi delle richieste ricevute via modulo di contatto) ci avvaliamo di strumenti basati su intelligenza artificiale forniti da terze parti. I dati trattati tramite questi strumenti sono soggetti alle finalità e alle basi giuridiche indicate nella presente informativa e non vengono utilizzati dal fornitore dello strumento per l’addestramento dei propri modelli, ove tecnicamente disabilitato tramite le impostazioni disponibili.” Va naturalmente adattata alla realtà specifica di ogni azienda e agli strumenti effettivamente in uso, ma dà l’idea del livello di dettaglio richiesto: non generico, ma nemmeno un trattato.

Passo 6 — Forma chi in azienda usa l’IA, anche solo con un documento interno

L’articolo 4 dell’AI Act, in vigore già dal febbraio 2025, impone ai fornitori e agli utilizzatori di sistemi di IA di garantire un livello adeguato di alfabetizzazione in materia di intelligenza artificiale al proprio personale. Non serve un corso certificato: basta una riunione di trenta minuti e un breve documento condiviso che spieghi quali strumenti si possono usare, per cosa, e quali sono le regole di etichettatura decise al Passo 3.

Esempio di agenda per la riunione di trenta minuti del Passo 6: primi cinque minuti per elencare insieme quali strumenti di IA vengono già usati informalmente da ciascuno; dieci minuti per condividere lo standard di etichettatura scelto e mostrare due o tre esempi pratici già applicati; dieci minuti per spiegare, in parole semplici, la differenza tra fornitore e utilizzatore e perché riguarda l’azienda; cinque minuti finali per rispondere a domande e raccogliere eventuali strumenti di IA che qualcuno usa già ma che non erano ancora emersi nella mappatura del Passo 1. Non serve altro: l’obiettivo non è formare degli esperti di diritto digitale, ma allineare il team su regole condivise.

Passo 7 — Metti tutto per iscritto in un documento di due pagine

Raccogli le decisioni prese nei passi precedenti in un documento interno, anche semplice: elenco degli strumenti di IA usati, ruolo (fornitore o deployer) per ciascuno, standard di etichettatura adottato, data di revisione. Non è un adempimento richiesto esplicitamente dalla norma nella forma di un “registro obbligatorio” per le PMI non ad alto rischio, ma è la prova più semplice ed economica che l’azienda ha affrontato la questione con diligenza, utile sia in caso di controllo sia, più praticamente, per non perdere il filo quando cambiano gli strumenti usati.

Passo 8 — Rivedi il calendario e segna la prossima scadenza rilevante

Se la tua azienda non usa sistemi di IA per selezione del personale, valutazione del credito o altri ambiti dell’Allegato III, la scadenza del 2 dicembre 2027 non ti riguarda direttamente e puoi concentrarti sugli obblighi di trasparenza appena descritti. Se invece rientri in uno di questi ambiti, segna già ora una verifica per la primavera 2027: sedici mesi sembrano tanti, ma le procedure di conformità richiedono tempo per essere impostate correttamente.

Cosa fanno già per te i principali strumenti di IA (e cosa devi fare tu comunque)

Una domanda che ci viene posta spesso è se i grandi fornitori di IA abbiano già risolto il problema della trasparenza a monte, rendendo superfluo qualunque intervento da parte di chi usa i loro strumenti. La risposta è: in parte sì, ma non basta. Ogni fornitore ha implementato meccanismi tecnici di marcatura diversi, con caratteristiche e limiti diversi, ed è utile conoscerli per capire cosa arriva già “marcato” e cosa invece resta sotto la vostra responsabilità di etichettatura visibile.

OpenAI (ChatGPT e DALL-E)

Le immagini generate tramite DALL-E e tramite le funzioni di generazione immagini integrate in ChatGPT includono metadati C2PA (Coalition for Content Provenance and Authenticity), uno standard tecnico che permette di verificare l’origine sintetica di un file tramite strumenti compatibili, anche se l’immagine viene poi modificata o ricompressa. Questo soddisfa in buona parte l’obbligo tecnico di marcatura che ricade sul fornitore. Resta però a vostro carico l’etichettatura visibile quando pubblicate il contenuto: i metadati C2PA non sono immediatamente visibili a un utente che guarda un post su Instagram o una pagina del vostro sito, quindi la dicitura esplicita resta necessaria.

Google (Gemini e Imagen)

Google utilizza SynthID, un sistema di watermarking che inserisce un pattern impercettibile all’occhio umano nei pixel delle immagini generate con Imagen e nei fotogrammi dei video generati con Veo, rilevabile con strumenti dedicati anche dopo modifiche moderate al file. Anche in questo caso si tratta di marcatura tecnica lato fornitore: l’etichettatura visibile per il pubblico resta un compito vostro come deployer.

Anthropic (Claude)

Claude, non essendo primariamente un generatore di immagini o video, è meno esposto agli obblighi di marcatura tecnica dell’articolo 50 nella sua declinazione più stringente, ma resta pienamente soggetto agli obblighi generali di trasparenza quando i testi che produce vengono pubblicati senza revisione umana sostanziale. La buona pratica, per chi usa Claude nella produzione di contenuti editoriali, resta la stessa: revisione umana e dicitura di trasparenza in calce ai contenuti pubblicati.

Microsoft Copilot

Copilot eredita in parte i meccanismi di provenienza dei contenuti di OpenAI (per la parte testuale e di generazione immagini basata su DALL-E) e aggiunge, nell’ecosistema Microsoft 365, indicatori nativi che segnalano quando un documento, una email o una presentazione sono stati generati o modificati con l’assistenza dell’IA — utili internamente per la vostra tracciabilità, ma anche qui non sostitutivi dell’etichettatura verso il pubblico quando il contenuto finale viene diffuso esternamente.

Midjourney e altri generatori di immagini specializzati

Midjourney, a differenza dei tre fornitori precedenti, ha storicamente offerto un supporto più limitato ai metadati di provenienza standardizzati, anche se lo strumento si è progressivamente adeguato nel corso del 2025 e del 2026 in risposta proprio all’evoluzione normativa europea. Prima di considerare “automaticamente risolto” l’obbligo di marcatura per le immagini generate con questo o altri strumenti meno noti, è buona norma verificare la documentazione tecnica aggiornata del fornitore: se la marcatura tecnica non è garantita a monte, la responsabilità di rendere comunque riconoscibile il contenuto come sintetico ricade più pesantemente su di voi come utilizzatori.

Strumento	Marcatura tecnica nativa	Etichettatura visibile richiesta a te	Uso tipico in una PMI
ChatGPT / DALL-E (OpenAI)	Metadati C2PA su immagini generate	Sì, sempre in pubblicazione esterna	Testi, email, bozze, immagini per social
Gemini / Imagen / Veo (Google)	Watermark SynthID su immagini e video	Sì, sempre in pubblicazione esterna	Testi, immagini, video brevi
Claude (Anthropic)	Non applicabile in modo esteso (modello prevalentemente testuale)	Sì, se il testo è pubblicato senza revisione sostanziale	Scrittura, analisi, assistenza clienti
Microsoft Copilot	Indicatori di provenienza in ecosistema Microsoft 365; eredita C2PA per immagini DALL-E	Sì, per contenuti diffusi esternamente	Documenti, presentazioni, email
Midjourney	Supporto a standard di provenienza in evoluzione, da verificare caso per caso	Sì, in modo rafforzato se non c’è marcatura tecnica garantita	Immagini creative, grafica pubblicitaria

Fonte dati: documentazione ufficiale dei fornitori (OpenAI, Google, Anthropic, Microsoft) e linee guida della Commissione europea sull’articolo 50 dell’AI Act, come sintetizzate in Altalex, “AI Act, articolo 50: linee guida trasparenza contenuti AI” e Meteora Web Agency, “Articolo 50 AI Act: trasparenza contenuti AI-generated — guida operativa”.

Guida rapida: come etichettare un contenuto generato con ChatGPT o Claude in tre minuti

Per chi non l’ha mai fatto, ecco un esempio concreto applicato a un caso reale: la pubblicazione di un articolo del blog aziendale scritto con l’assistenza di un modello linguistico.

1. Genera o rivedi il testo con lo strumento che preferisci (ChatGPT, Claude, Gemini, Copilot).
2. Rileggi integralmente il contenuto e correggi eventuali inesattezze: la responsabilità editoriale resta sempre tua, l’IA è uno strumento di assistenza, non un autore che si assume responsabilità legali.
3. Aggiungi in fondo all’articolo una dicitura breve, ad esempio: “Questo articolo è stato redatto con l’assistenza di strumenti di intelligenza artificiale generativa e revisionato dalla redazione.”
4. Se l’articolo include immagini generate con IA (Midjourney, DALL-E, strumenti integrati in Canva), aggiungi una didascalia specifica sotto ciascuna immagine, distinta dalla dicitura sul testo.
5. Salva una copia del prompt originale o degli appunti di revisione, se possibile: non è obbligatorio per legge in questo caso, ma è una buona pratica che aiuta a dimostrare il processo editoriale in caso di contestazioni su un contenuto specifico.

Le sanzioni AI Act in sintesi

La tabella seguente riassume le tre fasce sanzionatorie previste dal Regolamento (UE) 2024/1689 come modificato, con il meccanismo di attenuazione per PMI e startup.

Tipo di violazione	Sanzione massima (grandi imprese)	Meccanismo per PMI e startup	Autorità competente
Pratiche di IA vietate (es. manipolazione subliminale, social scoring)	Fino a 35 milioni di € o 7% del fatturato globale annuo (vale l’importo più alto)	Vale l’importo più basso tra fisso e percentuale	Autorità nazionali di vigilanza; ACN e AGID in Italia
Mancata conformità agli altri obblighi del Regolamento (incluso l’art. 50 sulla trasparenza)	Fino a 15 milioni di € o 3% del fatturato globale annuo (vale l’importo più alto)	Vale l’importo più basso tra fisso e percentuale	Autorità nazionali di vigilanza
Informazioni false o fuorvianti fornite alle autorità	Fino a 7,5 milioni di € o 1,5% del fatturato globale annuo (vale l’importo più alto)	Vale l’importo più basso tra fisso e percentuale	Autorità nazionali di vigilanza
Violazioni relative a modelli GPAI (IA per finalità generali)	Sanzione decisa direttamente dalla Commissione europea tramite l’AI Office	Non si applica lo stesso meccanismo attenuato, essendo modelli tipicamente sviluppati da grandi fornitori	Commissione europea / AI Office

Fonte dati: Regolamento (UE) 2024/1689, articoli 99-101, come descritto in Cyber Security 360, “AI Act 2026: guida a divieti, sanzioni e nuove scadenze di compliance” e Digitalic, “AI Act, conto alla rovescia: dal 2 agosto 2026 scattano le sanzioni”.

Le tre fasce sanzionatorie dell’AI Act. Fonte dati: Regolamento (UE) 2024/1689, articoli 99-101.

Il calendario completo, in un colpo d’occhio

Con tutte le date che si sono accumulate tra testo originario e Digital Omnibus, la cosa più utile è vedere il calendario per intero. Ecco la timeline aggiornata al 2 agosto 2026, con le date originarie e quelle rinviate:

Elaborazione italiawebdesign.com su dati del Regolamento (UE) 2024/1689 e del Regolamento (UE) 2026/1744 (Digital Omnibus on AI). Fonti: ADVANT Nctm, “Digital Omnibus on AI: il Consiglio adotta il Regolamento di semplificazione dell’AI Act”; Agenda Digitale, “AI Act, cosa entra in vigore dal 2 agosto 2026 e cosa slitta”.

IA e diritto d’autore: cosa potete usare per fini commerciali e cosa no

Un tema che si intreccia costantemente con l’AI Act, ma che in realtà si gioca su un piano giuridico distinto — quello del diritto d’autore — riguarda la possibilità di usare commercialmente contenuti generati dall’intelligenza artificiale. È una delle domande più frequenti da parte di chi gestisce un e-commerce o un’attività di comunicazione, e merita una risposta articolata perché “posso usarlo per lavoro?” nasconde in realtà tre domande diverse.

La prima è se il contenuto generato sia protetto da diritto d’autore in quanto tale. Nella maggior parte degli ordinamenti europei, incluso quello italiano, un’opera per essere tutelata dal diritto d’autore deve riflettere un apporto creativo umano: un’immagine generata interamente da un’IA con un prompt semplice, senza un intervento creativo sostanziale da parte vostra, tende a non essere considerata un’opera protetta in senso pieno, il che significa — paradossalmente — che anche i vostri concorrenti potrebbero, in teoria, riutilizzare la stessa immagine se riuscissero a generarla con un prompt simile. Questo non è un problema di conformità normativa, ma un limite pratico da tenere presente se contate su un’immagine generata dall’IA come asset di branding esclusivo.

La seconda domanda è se il materiale con cui il modello è stato addestrato possa creare un problema per voi come utilizzatori finali. Qui la responsabilità principale ricade sul fornitore del modello, che dal 2 agosto 2025 — come visto parlando degli obblighi GPAI — deve adottare una policy di rispetto del diritto d’autore europeo e pubblicare un riepilogo dei contenuti usati per l’addestramento. Come utilizzatori, il rischio residuo per voi è relativamente contenuto se usate strumenti dei principali fornitori (OpenAI, Google, Anthropic, Microsoft, Adobe), tutti sottoposti a questi obblighi; diventa più rilevante se usate strumenti minori, con sede fuori dall’Unione europea, la cui policy sul training dei dati non è sempre trasparente o verificabile.

La terza domanda, la più delicata, riguarda l’uso dell’IA per riprodurre lo stile riconoscibile di un artista, un fotografo o un illustratore specifico, vivente o recentemente scomparso. Anche quando il risultato non riproduce un’opera specifica ma “solo” uno stile, il tema è oggetto di contenzioso legale in diversi Paesi e la giurisprudenza europea è ancora in evoluzione: la raccomandazione pratica, per un uso commerciale sicuro, è evitare prompt che nominano esplicitamente artisti viventi o recentemente scomparsi e orientarsi su descrizioni stilistiche generiche (“stile acquarello”, “illustrazione minimalista”) piuttosto che sul nome di un autore specifico.

Il Garante Privacy italiano e l’intelligenza artificiale: cosa ha già chiarito

Accanto all’AI Act, che riguarda la sicurezza e l’affidabilità dei sistemi di IA in quanto tali, resta pienamente vigente tutto l’impianto del GDPR ogni volta che uno strumento di intelligenza artificiale elabora dati personali — di clienti, dipendenti, candidati a una posizione lavorativa. Il Garante per la protezione dei dati personali italiano è intervenuto più volte negli ultimi anni su casi specifici legati all’uso di strumenti di IA da parte di aziende ed enti pubblici, e da questi interventi emergono alcuni principi ricorrenti utili anche a una PMI.

Il primo principio è quello della base giuridica: prima di usare uno strumento di IA su dati personali (per esempio, trascrivere e analizzare automaticamente le telefonate con i clienti, o usare un software per filtrare i curriculum ricevuti), è necessario individuare una base giuridica valida secondo il GDPR — che sia il consenso esplicito, l’esecuzione di un contratto, un legittimo interesse adeguatamente bilanciato, o un obbligo di legge — e riportarla nell’informativa privacy in modo comprensibile, non nascosta in clausole generiche scritte in linguaggio tecnico-legale incomprensibile all’utente medio.

Il secondo principio riguarda la minimizzazione: usare uno strumento di IA che elabora più dati di quanto sia strettamente necessario per lo scopo dichiarato è una delle criticità più frequenti riscontrate nei provvedimenti del Garante, specialmente quando si utilizzano piattaforme di terze parti che, per impostazione predefinita, raccolgono e conservano più informazioni del necessario. Vale la pena, per ogni strumento di IA introdotto in azienda, verificare le impostazioni di privacy predefinite e disattivare la raccolta o il riutilizzo dei dati per l’addestramento dei modelli, quando questa opzione è disponibile — molti strumenti professionali, incluse le versioni a pagamento di ChatGPT e Claude per aziende, la offrono esplicitamente.

Il terzo principio, più generale, è che l’assenza di un intervento umano significativo nelle decisioni che producono effetti giuridici o similmente rilevanti su una persona — per esempio, un sistema automatizzato che respinge una candidatura di lavoro senza alcuna revisione umana — resta un tema delicato indipendentemente dalla fase di applicazione dell’AI Act sui sistemi ad alto rischio: il diritto a non essere sottoposti a una decisione basata unicamente su un trattamento automatizzato è già previsto dall’articolo 22 del GDPR, in vigore ininterrottamente dal 2018.

Prepararsi comunque all’alto rischio: chi dovrebbe iniziare già ora

Anche se gli obblighi sui sistemi ad alto rischio dell’Allegato III sono stati rinviati al 2 dicembre 2027, non tutte le aziende possono permettersi di ignorare completamente il tema fino ad allora. Se la vostra impresa sviluppa o personalizza in modo sostanziale un sistema di selezione del personale basato su IA, un sistema di scoring creditizio, o strumenti di valutazione destinati alla scuola o alla formazione professionale, conviene comunque iniziare a familiarizzare con i requisiti previsti — sistema di gestione della qualità, tracciabilità delle decisioni, documentazione tecnica, sorveglianza umana strutturata — perché mettere in piedi questi processi da zero richiede tipicamente più tempo di quanto ci si aspetti, specialmente per un’organizzazione che non ha mai gestito una certificazione di questo tipo.

Per la maggior parte delle PMI italiane che non sviluppano sistemi di questo tipo ma li acquistano da fornitori terzi (per esempio un software gestionale con moduli di IA per lo screening dei candidati), la responsabilità principale in quanto “deployer” di un sistema ad alto rischio, quando gli obblighi diventeranno operativi, riguarderà soprattutto la verifica che il fornitore abbia ottenuto la certificazione di conformità richiesta, l’uso del sistema secondo le istruzioni fornite dal produttore, e il mantenimento di un adeguato livello di sorveglianza umana sulle decisioni assistite dal sistema. È un buon motivo, quando rinnovate o scegliete oggi un fornitore di software che include componenti di IA per uno di questi ambiti, per chiedere esplicitamente quali sono i suoi piani di adeguamento all’AI Act, anche se la scadenza formale è ancora lontana.

Casi pratici: tre PMI italiane e cosa cambia per loro

Lo studio di commercialisti che usa l’IA per le bozze di bilancio

Uno studio di consulenza che utilizza Copilot o ChatGPT per velocizzare la stesura di relazioni, bozze di bilancio o comunicazioni ai clienti resta pienamente responsabile del contenuto finale: l’AI Act non tocca la responsabilità professionale già prevista dall’ordinamento. L’unico intervento concreto richiesto è, se lo studio pubblica contenuti (articoli, guide fiscali) generati con assistenza IA sul proprio sito, aggiungere la dicitura di trasparenza descritta sopra. Se lo studio usa un software di IA per valutare il rischio di credito dei clienti in ottica di consulenza finanziaria, quello sì potrebbe rientrare nell’Allegato III — ma con gli obblighi rinviati a dicembre 2027, c’è tempo per prepararsi con calma.

Il negozio online che genera immagini prodotto con l’IA

Un e-commerce che usa strumenti come Midjourney o le funzioni di IA generativa di Adobe per creare ambientazioni fotografiche dei prodotti deve semplicemente segnalare, dove i contenuti vengono pubblicati, che si tratta di immagini generate o modificate dall’IA — una didascalia o una nota nella pagina prodotto è sufficiente. Attenzione particolare va posta se le immagini generate ritraggono persone che sembrano reali indossare i prodotti: se il risultato è così realistico da poter essere scambiato per una fotografia autentica, la segnalazione diventa più stringente, in linea con le regole sui contenuti “deepfake-like”.

L’agenzia di comunicazione che gestisce chatbot per i clienti

Un’agenzia che sviluppa e gestisce chatbot di customer service per conto di altre aziende ha una responsabilità doppia: deve assicurarsi che ogni chatbot dichiari la propria natura artificiale ai rispettivi utenti finali, e deve informare i propri clienti (i deployer finali) di questo obbligo, magari inserendolo esplicitamente nei contratti di fornitura del servizio. È un buon esempio di come, lungo la catena fornitore-cliente-utente finale, la trasparenza debba essere garantita a ogni passaggio.

Il bar-ristorante che usa l’IA per i social e il menu

Anche le attività più piccole, quelle in cui “IA” sembra un argomento lontano dalla quotidianità, sono in realtà già dentro il perimetro della norma non appena pubblicano un post Instagram con un’immagine generata da un’app di editing basata su intelligenza artificiale, o quando usano un servizio online per tradurre e impaginare il menu in altre lingue. In questi casi l’adeguamento richiede davvero pochi minuti: una dicitura generica nella bio dei social o una nota nel footer del sito (“le immagini dei nostri contenuti social possono essere realizzate con l’ausilio di strumenti di intelligenza artificiale”) copre la quasi totalità dei casi d’uso di questo tipo, senza bisogno di etichettare ogni singolo post.

Uno sguardo oltre confine: come si muovono Stati Uniti e Regno Unito

Capire come altri Paesi stanno affrontando lo stesso tema aiuta a inquadrare meglio il contesto in cui si muove una PMI italiana che magari vende anche all’estero o usa fornitori di IA con sede fuori dall’Unione europea. Gli Stati Uniti, a differenza dell’UE, non hanno un regolamento federale organico paragonabile all’AI Act: la regolamentazione dell’intelligenza artificiale procede a livello di singoli Stati, con la California che ha adottato negli ultimi anni diverse leggi settoriali su trasparenza dei contenuti generati, deepfake in ambito elettorale e responsabilità algoritmica, mentre altri Stati si sono mossi con provvedimenti più limitati o non si sono ancora mossi affatto. Questo crea, per le aziende americane, un mosaico di regole diverse da Stato a Stato — l’esatto contrario dell’approccio europeo, che punta a un mercato unico digitale con regole uniformi in tutti i 27 Stati membri.

Il Regno Unito, uscito dall’Unione europea, ha scelto finora un approccio volutamente più leggero e “pro-innovazione”, affidando la vigilanza sull’IA ai regolatori settoriali già esistenti (quello per la protezione dei dati, quello per le comunicazioni, quello per la concorrenza) piuttosto che introdurre una legge orizzontale sul modello europeo. Questa scelta ha attirato sia consensi da parte di chi teme un eccesso di regolamentazione, sia critiche da parte di chi sottolinea come l’assenza di regole chiare lasci maggiore incertezza alle imprese nel lungo periodo.

Tre modelli regolatori a confronto.

Per una PMI italiana, la conseguenza pratica di questo scenario è che l’AI Act si applica in base al luogo in cui i vostri contenuti e servizi raggiungono il pubblico, non in base a dove ha sede il fornitore dello strumento che usate: se vendete online anche a clienti europei, le regole di trasparenza valgono comunque, indipendentemente dal fatto che lo strumento di IA che usate sia sviluppato da un’azienda americana. È un principio di applicazione extraterritoriale che l’AI Act condivide, non a caso, con il GDPR.

Perché conviene muoversi anche prima che partano i controlli a tappeto

Una domanda legittima, a questo punto, è: visto che è improbabile un controllo immediato su una piccola impresa, perché investire tempo adesso? Ci sono almeno tre ragioni pratiche, al di là del rischio sanzionatorio in sé. La prima è reputazionale: sempre più consumatori, soprattutto nelle fasce più giovani, apprezzano la trasparenza sui contenuti generati dall’IA e la considerano un segnale di correttezza, non un limite. Dichiarare apertamente l’uso di questi strumenti, quando è fatto bene, rafforza la fiducia invece di comprometterla. La seconda è contrattuale: se lavorate come fornitori per aziende più grandi (agenzie, e-commerce strutturati, enti pubblici), è sempre più frequente trovare clausole contrattuali che richiedono esplicitamente la conformità all’AI Act come requisito per la fornitura di servizi, e non poterla dimostrare può significare perdere una gara o un contratto. La terza è organizzativa: mappare gli strumenti di IA usati in azienda, come suggerito al Passo 1, spesso fa emergere inefficienze o duplicazioni di cui nessuno si era accorto — un beneficio collaterale che va oltre la pura conformità normativa.

Domande frequenti

Devo etichettare anche un’email scritta con l’aiuto di ChatGPT?
No. Gli obblighi di trasparenza dell’articolo 50 riguardano la comunicazione al pubblico e i contenuti destinati alla diffusione, non la corrispondenza privata o interna. Una email a un cliente scritta con l’assistenza dell’IA non richiede alcuna dicitura specifica.

E se uso l’IA solo per tradurre un testo che ho già scritto io?
La traduzione assistita da IA di un contenuto originale umano non rientra tipicamente negli obblighi di etichettatura previsti per i contenuti generati o sostanzialmente modificati dall’intelligenza artificiale, perché il contenuto informativo resta quello originale. Resta comunque buona norma, se il testo tradotto viene pubblicato su larga scala, menzionare l’uso di strumenti di traduzione assistita nelle note editoriali del sito, più per trasparenza generale che per obbligo specifico.

Rischio qualcosa se in passato ho pubblicato contenuti IA senza etichettarli?
L’obbligo decorre dal 2 agosto 2026: i contenuti pubblicati prima di questa data non sono retroattivamente sanzionabili per la loro mancata etichettatura all’epoca della pubblicazione. Se però quei contenuti restano online e continuano a essere fruibili dal pubblico, è comunque consigliabile rivederli e aggiornarli con la dicitura corretta, sia per coerenza sia perché un contenuto “sempreverde” pubblicato anni fa ma ancora online oggi si trova, di fatto, nello stesso perimetro di un contenuto pubblicato oggi.

Il rinvio del Digital Omnibus riguarda anche gli obblighi di trasparenza?
No. Il rinvio riguarda specificamente gli obblighi sui sistemi ad alto rischio dell’Allegato III (al 2 dicembre 2027) e dell’Allegato I (al 2 agosto 2028). Gli obblighi di trasparenza dell’articolo 50 e il regime sanzionatorio generale sono pienamente in vigore dal 2 agosto 2026, senza modifiche legate al Digital Omnibus.

Chi controlla concretamente il rispetto di queste regole in Italia?
Per i modelli GPAI la vigilanza è accentrata a livello europeo, tramite l’AI Office della Commissione. Per gli altri ambiti, in Italia la vigilanza di mercato è affidata all’Agenzia per la Cybersicurezza Nazionale, con AGID nel ruolo di autorità di notifica per la valutazione di conformità. Resta inoltre pienamente attivo, in parallelo, il ruolo del Garante per la protezione dei dati personali su tutto ciò che riguarda il trattamento di dati personali tramite sistemi di intelligenza artificiale, un ambito che si sovrappone spesso, senza coincidere, con quello dell’AI Act.

Un libero professionista con partita IVA individuale è soggetto alle stesse regole di una società strutturata?
Sì, l’AI Act non distingue in base alla forma giuridica ma in base al ruolo svolto (fornitore o utilizzatore) e alla dimensione dell’impresa ai fini del meccanismo sanzionatorio attenuato per PMI e microimprese. Un libero professionista che pubblica contenuti generati con l’IA sul proprio sito o sui propri canali social rientra a pieno titolo negli obblighi di trasparenza descritti in questo articolo, con la stessa logica di una società strutturata, semplicemente su una scala più contenuta.

Devo aggiornare i contratti con i miei fornitori di servizi digitali?
Non è un obbligo esplicito dell’AI Act per una PMI in quanto tale, ma è una buona pratica contrattuale in crescita: se vi affidate a un’agenzia esterna per la gestione dei social media o del sito, vale la pena chiedere esplicitamente come gestiscono l’etichettatura dei contenuti generati con IA per vostro conto, ed eventualmente formalizzarlo in una clausola contrattuale, così da avere una responsabilità chiaramente distribuita in caso di verifica.

Qual è la differenza tra una pratica “vietata” e un sistema “ad alto rischio”?
Sono due categorie completamente diverse e vale la pena non confonderle, perché generano obblighi molto differenti. Le pratiche vietate (manipolazione subliminale, social scoring, riconoscimento delle emozioni sul lavoro, e le altre elencate all’inizio di questo articolo) non si possono usare in alcun modo, da nessuno, indipendentemente dalle dimensioni dell’azienda: sono in vigore dal febbraio 2025 e non sono state toccate dal Digital Omnibus. I sistemi ad alto rischio, invece, non sono vietati: sono sistemi che si possono usare, ma solo rispettando una serie di requisiti di conformità, gestione del rischio e sorveglianza umana — ed è solo questa seconda categoria di obblighi ad essere stata rinviata al 2027 e al 2028.

Cosa succede in pratica se ricevi una richiesta di chiarimenti dall’autorità

È utile, prima di chiudere, spiegare cosa significherebbe concretamente essere contattati da un’autorità di vigilanza, perché l’immaginario collettivo tende a saltare direttamente all’idea della multa, mentre nella realtà il percorso è quasi sempre più graduale. Nella maggior parte dei sistemi di vigilanza europei, incluso quello previsto per l’AI Act, una prima segnalazione o un controllo a campione si traduce tipicamente in una richiesta di informazioni: l’autorità chiede all’azienda di spiegare come tratta un determinato aspetto — nel nostro caso, come etichetta i contenuti generati dall’IA — e di fornire la documentazione a supporto. È esattamente in questo momento che il documento interno suggerito al Passo 7 della guida pratica dimostra il suo valore: avere già per iscritto quali strumenti usate, da quando, con quale standard di etichettatura e con quali revisioni, trasforma una richiesta potenzialmente stressante in una formalità che si esaurisce in una email di risposta con gli allegati giusti.

Se dalla verifica emerge una violazione, la prassi delle autorità di vigilanza europee — anche in altri ambiti normativi consolidati come la protezione dei dati — prevede quasi sempre, per le prime infrazioni non gravi, un termine per adeguarsi prima di procedere con sanzioni pecuniarie, salvo i casi di violazioni gravi, reiterate o commesse in mala fede. Questo non è un motivo per procrastinare l’adeguamento, ma un elemento realistico da tenere presente per calibrare l’ansia: il rischio più concreto, nel breve periodo, non è la sanzione economica improvvisa, ma la perdita di tempo e la scomodità organizzativa di dover ricostruire in fretta e furia una conformità che si sarebbe potuta costruire con calma, magari proprio seguendo gli otto passi descritti in questo articolo.

Gli errori più comuni che abbiamo visto in queste settimane

Parlando con diverse aziende clienti nelle ultime settimane, gli errori di interpretazione più frequenti sono stati sostanzialmente tre. Il primo è credere che il rinvio del Digital Omnibus riguardi tutto l’AI Act: non è così, riguarda solo la parte sui sistemi ad alto rischio degli Allegati I e III, mentre trasparenza e sanzioni sono comunque scattate. Il secondo è pensare che, se lo strumento di IA lo fornisce un grande nome (Google, Microsoft, OpenAI), la responsabilità di conformità sia sempre e solo del fornitore: come spiegato sopra, l’etichettatura dei contenuti che pubblicate resta un vostro obbligo di “deployer”, indipendentemente da chi ha sviluppato lo strumento. Il terzo, forse il più insidioso, è confondere gli obblighi dell’AI Act con quelli del GDPR: sono due regolamenti distinti che si applicano insieme, e mettersi in regola con uno non esime automaticamente dall’altro. Un chatbot può essere perfettamente etichettato secondo l’AI Act e allo stesso tempo trattare dati personali senza una base giuridica adeguata secondo il GDPR: sono due verifiche separate.

Un’ultima osservazione pratica, prima della checklist riassuntiva: molte delle otto azioni descritte in questa guida si sovrappongono, in parte, a lavoro che probabilmente avete già fatto per il GDPR negli anni scorsi — la mappatura dei trattamenti, la formazione del personale, l’aggiornamento delle informative. Non ripartite da zero: recuperate quei documenti, verificate cosa manca specificamente per l’intelligenza artificiale e integrateli, invece di costruire un impianto parallelo scollegato da quello che già esiste. È il modo più rapido, ed è anche quello che rende più coerente, agli occhi di chiunque debba verificarlo, l’intero impianto di conformità della vostra azienda.

Checklist finale da stampare (o salvare nei preferiti)

1. Ho fatto l’elenco di tutti gli strumenti di IA generativa usati in azienda.
2. Per ciascuno strumento so se sono “fornitore” o “utilizzatore” (deployer) ai sensi dell’AI Act.
3. Ho definito e applicato in modo coerente una dicitura di etichettatura per i contenuti generati con IA.
4. Il chatbot del mio sito dichiara esplicitamente di essere un sistema automatico.
5. Ho verificato che l’informativa privacy menzioni l’uso di strumenti di IA su dati personali, se applicabile.
6. Ho condiviso con il personale, anche informalmente, le regole su come e quando usare l’IA in azienda.
7. Ho un documento interno, anche breve, che riassume queste scelte e la data in cui sono state prese.
8. So se la mia azienda rientra nell’Allegato III (alto rischio) e, in caso affermativo, ho segnato una verifica per la primavera 2027.

Se avete risposto “sì” alla maggior parte di questi punti, siete già più avanti di molte aziende ben più strutturate della vostra, comprese alcune multinazionali che, complice il rinvio del Digital Omnibus, hanno probabilmente rimandato ogni riflessione sul tema a data da destinarsi. L’AI Act, nella sua applicazione concreta per una PMI, non è il mostro burocratico che i titoli allarmistici di questi giorni hanno lasciato intendere: è, per la maggior parte dei casi, una questione di buon senso messo per iscritto. Il rischio reale non è tanto la sanzione in sé, quanto l’abitudine — comprensibile, ma pericolosa — di rimandare all’infinito una mezza giornata di lavoro che, fatta oggi con calma, evita ore di rincorsa più avanti.

Se il tuo sito lo gestisce un’agenzia esterna: chi fa cosa

Chiudiamo con un punto che riguarda da vicino chi legge questo articolo su un blog aziendale di un’agenzia di web design, perché la domanda “chi deve etichettare cosa” diventa meno ovvia quando il sito, i testi e le immagini non li producete direttamente voi ma un fornitore esterno. La logica dell’AI Act, come visto, distingue fornitore e utilizzatore dello strumento di IA, non chi materialmente pubblica il contenuto sul sito: se la vostra agenzia usa ChatGPT o Midjourney per produrre testi e immagini del vostro sito web su vostro incarico, l’agenzia agisce come deployer per conto vostro, ma la responsabilità finale di garantire che quei contenuti siano correttamente etichettati resta comunque riconducibile a chi pubblica il sito con il proprio nome e la propria attività commerciale — cioè voi.

Questo non significa che dobbiate diventare esperti di AI Act per commissionare un sito web: significa semplicemente chiedere, in fase di incarico o di rinnovo del contratto con la vostra agenzia, come vengono gestiti i contenuti generati con l’intelligenza artificiale e se lo standard di etichettatura scelto viene applicato in modo coerente. Un’agenzia seria, nel 2026, dovrebbe avere già una risposta pronta a questa domanda, perché se la sta ponendo — o dovrebbe porsela — per tutti i propri clienti, non solo per voi. Ed è esattamente lo stesso principio, ribaltato, che deve valere per l’agenzia stessa quando pubblica contenuti sul proprio blog aziendale: la trasparenza richiesta ai clienti vale, a maggior ragione, anche per chi quella trasparenza la predica.

Un’ultima cosa, prima di chiudere

Chi segue l’AI Act da quando era ancora una proposta di legge sa già che questo non sarà l’ultimo articolo che scriveremo sull’argomento, e probabilmente nemmeno l’ultimo rinvio che racconteremo. Il Digital Omnibus non è un episodio isolato: fa parte di un più ampio pacchetto di semplificazione normativa su cui la Commissione europea sta lavorando anche per altri regolamenti digitali, dal GDPR alle norme sulla cybersicurezza, in risposta alle pressioni di un tessuto imprenditoriale europeo che chiede regole chiare ma non soffocanti. È ragionevole aspettarsi ulteriori aggiustamenti man mano che ci si avvicina alle prossime scadenze del 2027 e del 2028, ed è altrettanto ragionevole non aspettare l’ennesimo comunicato stampa per mettersi in regola con la parte che, dal 2 agosto 2026, non è più rinviabile.

Se c’è un messaggio da portare a casa da queste oltre diecimila parole, è che l’AI Act — nella sua applicazione concreta a una piccola o media impresa italiana — è molto meno spaventoso di come viene raccontato nei titoli ansiogeni che si vedono in giro in questi giorni, e molto più gestibile di quanto la parola “regolamento europeo” lasci intuire. Non serve un ufficio legale dedicato: serve mezza giornata di lavoro concentrato, buon senso, e la volontà di scrivere nero su bianco delle regole che, probabilmente, la vostra azienda sta già in parte seguendo in modo informale. Il resto — le certificazioni, i sistemi di gestione della qualità, gli audit strutturati — arriverà quando arriverà, con più tempo per prepararsi di quanto sembrasse fino a poche settimane fa.

Fonti

• Il Sole 24 Ore — “AI Act, dal 2 agosto debuttano la vigilanza e i doveri di trasparenza”
• Agenda Digitale — “AI Act, cosa entra in vigore dal 2 agosto 2026 e cosa slitta”
• Altalex — “AI Act: che cosa cambia davvero dal 2 agosto 2026 per imprese e professionisti”
• Altalex — “AI Act, articolo 50: linee guida trasparenza contenuti AI”
• Digitalic — “AI Act, conto alla rovescia: dal 2 agosto 2026 scattano le sanzioni”
• Cyber Security 360 — “AI Act 2026: guida a divieti, sanzioni e nuove scadenze di compliance”
• ADVANT Nctm — “Digital Omnibus on AI: il Consiglio adotta il Regolamento di semplificazione dell’AI Act”
• Stefanelli & Stefanelli Studio Legale — “Omnibus digitale sull’IA: il Consiglio UE adotta il regolamento, slittano le scadenze dell’alto rischio”
• Agenda Digitale — “Obblighi di trasparenza AI Act: cosa devono fare le aziende dal 2 agosto 2026”
• Agenda Digitale — “AI Act, obblighi dal 2 agosto: come adeguarsi”
• Internazionale — “La retromarcia dell’AI Act si chiama Digital Omnibus”
• IRPA — “Digital Omnibus: semplificazione normativa o erosione dei diritti fondamentali?”
• Meteora Web Agency — “Articolo 50 AI Act: trasparenza contenuti AI-generated — guida operativa”