AI Act: cosa cambia per una media impresa che usa l'AI

Usi un assistente per scrivere le email, un modello che legge gli ordini o un sistema che smista le richieste dei clienti? Per l'AI Act, il Regolamento (UE) 2024/1689, la tua azienda è quasi sempre un "deployer": chi usa un sistema di AI sotto la propria responsabilità, senza averlo costruito.

La risposta breve: per una media impresa che usa l'AI nei processi d'ufficio gli obblighi sono pochi. Oggi si applicano le misure di alfabetizzazione del personale e i divieti sulle pratiche vietate. Dal 2 agosto 2026 contano le regole di trasparenza. Gli obblighi pesanti, quelli per i sistemi ad alto rischio, sono stati spostati al 2027 e al 2028. Questo articolo informa e non è consulenza legale: per il tuo caso specifico serve un parere di chi conosce la tua situazione.

Sei un deployer o un provider?

L'AI Act distingue due ruoli. Il provider sviluppa un sistema di AI, o lo fa sviluppare, e lo mette sul mercato con il proprio nome. Il deployer, all'articolo 3, punto 4, è una persona fisica o giuridica, un'autorità pubblica o un altro organismo che usa un sistema di AI sotto la propria autorità, tranne che per attività personali non professionali.

Una media impresa che compra o configura uno strumento di AI e lo usa nei propri processi è quindi un deployer. Diventa anche provider se mette in commercio un sistema con il proprio marchio, per esempio un assistente integrato in un prodotto venduto ai clienti. Il caso più comune è il primo, ed è quello di cui parliamo qui.

Che cosa vale già oggi?

Secondo l'articolo 113, i capi I e II del Regolamento si applicano dal 2 febbraio 2025. Ci rientrano due cose:

• I divieti. Alcune pratiche sono vietate in assoluto, come certi usi della classificazione biometrica o della manipolazione di persone. Non riguardano i processi d'ufficio come ordini, fatture o preventivi.
• L'alfabetizzazione in materia di AI. L'articolo 4 chiede a provider e deployer di adottare misure per sostenere lo sviluppo delle competenze sull'AI del personale e delle altre persone che usano i sistemi per loro conto.

Sull'articolo 4 c'è una novità. Dopo la modifica del 2026, il testo non richiede più di garantire un livello specifico di competenza: chiede misure adeguate. Il resto dell'obbligo resta. Un pomeriggio di formazione una tantum, senza legame con gli strumenti che le persone usano davvero, è un modo debole di rispettarlo. Ne parleremo meglio in un articolo dedicato.

Cosa è cambiato con il Digital Omnibus?

Nel luglio 2026 è entrato in vigore il cosiddetto Digital Omnibus sull'AI, indicato dagli studi legali che lo commentano come Regolamento (UE) 2026/1744. Non riscrive l'AI Act, ma ne sposta alcune scadenze. Secondo l'analisi di Orrick del 29 luglio 2026:

• i sistemi ad alto rischio dell'allegato III, quelli autonomi usati per esempio nella selezione del personale, nel merito di credito o nell'accesso a servizi essenziali, si applicano dal 2 dicembre 2027 invece che dal 2 agosto 2026;
• i sistemi ad alto rischio incorporati in prodotti regolati (allegato I) si applicano dal 2 agosto 2028;
• per i sistemi destinati alle autorità pubbliche la data è il 2 agosto 2030;
• compaiono nuovi divieti, applicabili dal 2 dicembre 2026, su immagini intime non consensuali e app che "spogliano" le persone nelle foto;
• le misure di favore per le PMI si estendono alle "small mid-cap", imprese non PMI con meno di 750 dipendenti e fatturato fino a 150 milioni di euro o totale di bilancio fino a 129 milioni.

Non è stato rinviato l'articolo 50 sulla trasparenza, che si applica dal 2 agosto 2026, come ricorda lo studio Jones Walker. Per i sistemi che generano contenuti già sul mercato prima di quella data, l'obbligo di marcatura leggibile dalle macchine, in capo al provider, slitta al 2 dicembre 2026.

Una precisazione sulle fonti: non siamo riusciti a consultare il testo del Regolamento 2026/1744 su EUR-Lex. Per questa parte ci siamo basati sul testo consolidato dell'AI Act e sul commento di due studi legali. Prima di prendere decisioni, verifica le date sul testo ufficiale.

Quali obblighi riguardano un deployer?

Sono tre gruppi, con date diverse.

1. Alfabetizzazione (articolo 4). Già in vigore, come visto sopra.
2. Trasparenza (articolo 50), dal 2 agosto 2026. I chatbot e gli altri sistemi che interagiscono con le persone devono far capire che si parla con una macchina: l'obbligo di progettazione è del provider. Per il deployer restano due casi: informare le persone esposte a sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, e dichiarare i contenuti audio, video o immagine generati o modificati dall'AI in modo da sembrare autentici (i cosiddetti deepfake). Chi pubblica testi generati dall'AI per informare il pubblico su temi di interesse pubblico deve dichiararlo, salvo revisione umana con responsabilità editoriale.
3. Alto rischio (articolo 26), dal 2 dicembre 2027 per l'allegato III. Chi usa un sistema ad alto rischio deve seguire le istruzioni del fornitore, affidare la sorveglianza a persone con competenza e autorità, controllare che i dati in ingresso siano pertinenti, monitorare il funzionamento e segnalare i rischi, conservare i log generati per almeno sei mesi e informare i lavoratori prima di usare il sistema sul lavoro.

Per capire se un sistema è ad alto rischio si parte dall'elenco dell'allegato III. Un agente che legge ordini, abbina fatture o smista email non è in quell'elenco. Lo sarebbe uno strumento che valuta candidati o decide l'accesso al credito di persone fisiche.

Quattro cose da fare adesso

Non servono grandi progetti. Servono quattro verifiche, che richiedono poche ore.

1. Fai l'elenco degli strumenti di AI in uso, compresi quelli che i dipendenti usano per conto proprio ma per lavoro. Senza elenco non si sa da dove cominciare.
2. Per ognuno, scrivi a cosa serve. Se tocca candidati, dipendenti o l'accesso a servizi per persone, ricontrolla con attenzione l'allegato III.
3. Controlla dove le persone parlano con una macchina: assistenti sul sito, risposte automatiche ai clienti. Dal 2 agosto 2026 deve essere chiaro che non è una persona.
4. Definisci le misure di formazione dell'articolo 4, legate agli strumenti e alle eccezioni di ciascun processo, e tieni traccia di cosa è stato fatto.

Se vuoi mettere ordine tra i processi in cui l'AI può servire e quelli in cui è meglio non usarla, trovi il metodo in come scegliere il primo processo da automatizzare. Per la direzione, la pagina soluzioni per la direzione descrive dove interveniamo, e con l'assessment mappiamo insieme a te i processi e gli strumenti in uso.

Cosa preparare per la prossima scadenza

Il 2 dicembre 2026 è la data a breve termine: riguarda i nuovi divieti e la marcatura dei contenuti generati dai sistemi già sul mercato. Per una media impresa che usa l'AI per ordini, documenti e amministrazione, la scadenza più utile da tenere in agenda è un'altra: fissare una verifica annuale dell'elenco degli strumenti e delle loro finalità. L'AI Act cambia ancora, come ha mostrato il 2026, e un elenco aggiornato ti permette di rispondere in fretta a chiunque ti chieda cosa usi e perché.