Intelligenza artificiale

AI Act e legge italiana sull’intelligenza artificiale: che cosa deve fare una PMI

Il Digital Omnibus ha spostato al 2027 le regole sui sistemi ad alto rischio, ma formazione del personale e trasparenza valgono già. Ecco il quadro aggiornato e i passi concreti per una PMI.

Luca Bartolini 13 agosto 2026 8 min di lettura

AI Act e legge italiana sull’intelligenza artificiale: che cosa deve fare una PMI

Con il Digital Omnibus l’Unione europea ha rinviato gli obblighi sui sistemi di intelligenza artificiale ad alto rischio, ma alfabetizzazione del personale e trasparenza sono già in vigore. In Italia si aggiungono la legge 132/2025 e i decreti attuativi approvati ad agosto: ecco che cosa conta davvero per una PMI.

Il quadro in tre livelli

Il primo livello è il Regolamento (UE) 2024/1689, l’AI Act, entrato in vigore il 1° agosto 2024 con un’applicazione scaglionata nel tempo.

Il secondo è il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull’intelligenza artificiale, che modifica l’AI Act. La Commissione lo aveva proposto il 19 novembre 2025; Parlamento e Consiglio hanno raggiunto l’accordo politico il 7 maggio 2026, il Parlamento lo ha votato il 16 giugno e il Consiglio lo ha adottato il 29 giugno. Pubblicato in Gazzetta ufficiale dell’Unione il 24 luglio, è in vigore dal 27 luglio 2026, pochi giorni prima della data di applicazione generale dell’AI Act.

Il terzo è nazionale: la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, e i due decreti legislativi con cui il Governo ha adeguato l’ordinamento italiano all’AI Act, approvati in via definitiva dal Consiglio dei ministri il 4 agosto 2026.

Che cosa è già obbligatorio

Il calendario dell’AI Act è partito da tempo. Dal 2 febbraio 2025 si applicano i divieti sulle pratiche considerate inaccettabili e l’obbligo di alfabetizzazione del personale. Dal 2 agosto 2025 valgono gli obblighi per i fornitori di modelli di intelligenza artificiale per finalità generali: riguardano chi sviluppa i grandi modelli, non l’impresa che li usa. Dal 2 agosto 2026 si applicano gli obblighi di trasparenza e l’impianto di vigilanza affidato alle autorità nazionali.

Il Digital Omnibus ha aggiunto un nuovo divieto: i sistemi che generano contenuti sessuali o intimi non consensuali e materiale pedopornografico.

Per una PMI tipica, che usa assistenti generativi per scrivere testi, ha un chatbot sul sito o crea immagini per i canali social, gli obblighi concreti oggi sono essenzialmente due: formare chi usa questi strumenti e rispettare le regole di trasparenza.

Alfabetizzazione: un obbligo di mezzi, non un esame

L’articolo 4 dell’AI Act è stato riscritto dal Digital Omnibus. Nella versione originale fornitori e utilizzatori dovevano adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione del personale. Nella versione attuale devono adottare misure per sostenere lo sviluppo di quella alfabetizzazione, e il testo chiarisce che non è richiesto di assicurare un livello specifico per ciascuna persona. Commissione e Stati membri, a loro volta, devono sostenere le imprese, in particolare le PMI.

La sostanza, quindi, è dimostrare di aver fatto qualcosa di adeguato, non di aver certificato ogni dipendente. Le domande e risposte della Commissione sono esplicite su alcuni punti pratici:

non serve un certificato: basta tenere un registro interno delle attività formative o di orientamento;
l’obbligo riguarda anche chi usa strumenti generici come ChatGPT, e il personale va informato dei rischi specifici, per esempio le cosiddette allucinazioni;
tra le persone coinvolte possono rientrare, a seconda del contesto, anche collaboratori esterni e fornitori che operano sui sistemi per conto dell’impresa.

Un esempio proporzionato per un’azienda di trenta persone: una ricognizione di chi usa quali strumenti, una sessione breve sui limiti dei modelli e sulla riservatezza dei dati, una policy interna di una o due pagine, un registro con date, partecipanti e contenuti. Chi decide con il supporto dell’AI, per esempio nelle risorse umane, merita un approfondimento specifico.

Trasparenza: chatbot, contenuti sintetici, deepfake

L’articolo 50 dell’AI Act distingue i ruoli.

Il fornitore di un sistema che interagisce con le persone deve progettarlo in modo che l’utente sappia di parlare con una macchina, salvo che sia evidente. I fornitori di sistemi generativi devono inoltre marcare i contenuti prodotti in un formato leggibile dalle macchine. Per i sistemi già sul mercato prima del 2 agosto 2026, il Digital Omnibus concede tempo fino al 2 dicembre 2026 per adeguare la marcatura.

L’utilizzatore, cioè l’impresa che impiega il sistema, ha obblighi propri:

se usa l’AI per creare un deepfake (immagini, audio o video che ritraggono in modo realistico persone, luoghi o fatti) deve dichiarare che il contenuto è stato generato o manipolato;
se pubblica testi generati dall’AI per informare il pubblico su questioni di interesse pubblico deve dichiararlo, a meno che il testo sia passato da una revisione umana e qualcuno ne abbia la responsabilità editoriale;
se usa sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone esposte.

Il 10 giugno 2026 la Commissione ha pubblicato il Codice di buone pratiche sulla trasparenza dei contenuti generati dall’AI: è volontario, ma è stato riconosciuto come strumento adeguato per dimostrare la conformità all’articolo 50.

In pratica: il chatbot installato sul sito tramite un fornitore va verificato, per assicurarsi che l’avviso compaia; una campagna con un testimonial ricreato digitalmente va etichettata; una newsletter commerciale scritta con l’aiuto dell’AI e rivista da una persona non richiede, di norma, alcuna dicitura.

Che cosa è stato rinviato

Il cuore del Digital Omnibus è il calendario dei sistemi ad alto rischio. Quelli elencati nell’allegato III dell’AI Act, che comprende tra gli altri biometria, infrastrutture critiche, istruzione, selezione e gestione del personale e valutazione del merito creditizio delle persone, dovranno rispettare le regole dal 2 dicembre 2027 anziché dal 2 agosto 2026. I sistemi ad alto rischio integrati in prodotti regolati dalla normativa di settore dell’allegato I passano al 2 agosto 2028.

Il rinvio non cancella gli obblighi. Un’azienda che già oggi usa un software per filtrare i curriculum o valutare le prestazioni dei dipendenti sta usando, con ogni probabilità, un sistema ad alto rischio. Dal dicembre 2027 dovrà affidare la sorveglianza umana a persone competenti e con l’autorità per intervenire, conservare i log generati dal sistema e informare i rappresentanti dei lavoratori e i lavoratori interessati prima della messa in servizio. Sono cambiamenti organizzativi, e un anno abbondante non è molto tempo per impostarli.

Il Digital Omnibus estende inoltre alle piccole imprese a media capitalizzazione le semplificazioni già previste per le PMI, per esempio sulla documentazione tecnica.

La legge italiana: che cosa aggiunge

La legge 132/2025 non duplica l’AI Act, ma introduce alcune regole che toccano direttamente le imprese.

Lavoro (articolo 11). Il datore di lavoro deve informare il lavoratore dell’uso di sistemi di intelligenza artificiale nei casi e con le modalità dell’articolo 1-bis del decreto legislativo 152/1997, cioè quando impiega sistemi decisionali o di monitoraggio automatizzati.

Professioni intellettuali (articolo 13). L’AI è ammessa solo come supporto, con prevalenza del lavoro intellettuale del professionista, che deve informare il cliente sui sistemi utilizzati con un linguaggio chiaro. Riguarda studi legali, commercialisti, consulenti del lavoro, progettisti.

Deepfake (articolo 612-quater del codice penale). È reato cagionare un danno ingiusto a una persona diffondendo senza consenso immagini, video o voci falsificati con l’AI e idonei a ingannare. È punito con la reclusione da uno a cinque anni e, di regola, si procede a querela della persona offesa.

I decreti attuativi approvati il 4 agosto 2026 completano il quadro. Secondo il comunicato del Governo, l’Agenzia per l’Italia digitale è autorità di notifica e l’Agenzia per la cybersicurezza nazionale è autorità di vigilanza del mercato. Le decisioni sulla costituzione, la modifica o la cessazione del rapporto di lavoro non possono basarsi unicamente su un trattamento automatizzato, e il licenziamento intimato in violazione è nullo. Il codice penale si arricchisce dell’articolo 437-bis sull’omessa adozione di misure di sicurezza nei sistemi ad alto rischio. Le sanzioni amministrative sono graduate, con massimi inferiori a quelli del regolamento europeo e la possibilità di misure non pecuniarie per le violazioni meno gravi. Il comunicato è una sintesi: per date e dettagli fa fede il testo dei decreti in Gazzetta Ufficiale.

Un piano concreto in cinque passi

Censire gli strumenti. Un elenco dei sistemi di AI in uso, compresi quelli integrati in gestionali, CRM e piattaforme di selezione, con indicazione di chi li usa, per quali attività e con quali dati.
Classificare gli usi. Separare l’uso generico (testi, sintesi, ricerca) dagli usi che toccano persone in ambiti sensibili, come assunzioni, valutazioni o affidabilità creditizia. I secondi vanno preparati per il 2027.
Formare e registrare. Una formazione proporzionata ai ruoli, documentata in un registro interno, con aggiornamenti quando cambiano gli strumenti.
Fissare le regole di trasparenza. Una policy su come etichettare deepfake e contenuti sintetici, la verifica degli avvisi sui chatbot, l’informativa ai lavoratori dove serve e, negli studi professionali, quella ai clienti.
Rivedere contratti e responsabilità. Chiedere ai fornitori documentazione, garanzie sulla marcatura dei contenuti e chiarezza su dove finiscono i dati; stabilire per iscritto che le decisioni sulle persone restano in mano a una persona.

Il rischio concreto per una PMI non è tanto la sanzione quanto l’uso disordinato di strumenti che nessuno ha mai censito.

In sintesi

Dal 2025 valgono i divieti e l’obbligo di alfabetizzazione; dal 2 agosto 2026 la trasparenza e la vigilanza delle autorità nazionali.
Con il Digital Omnibus l’alfabetizzazione è diventata un obbligo di mezzi: nessun certificato, ma misure adeguate e documentate.
I sistemi ad alto rischio dell’allegato III slittano al 2 dicembre 2027, quelli integrati nei prodotti al 2 agosto 2028: rinviati, non cancellati.
Deepfake e testi di interesse pubblico generati dall’AI vanno dichiarati, salvo revisione umana con responsabilità editoriale per i testi.
In Italia contano l’informativa ai lavoratori, l’informativa ai clienti dei professionisti e il divieto di decisioni sul rapporto di lavoro prese solo in automatico.

Mettere ordine in questi adempimenti è più semplice quando l’intelligenza artificiale entra in azienda con un disegno preciso: quali processi, quali strumenti, quali responsabilità. È il tipo di lavoro che descriviamo nella pagina dedicata alla consulenza sull’intelligenza artificiale per le imprese.