L’AI Act è già applicabile. La parte che riguarda voi è più piccola di quanto sembra.

Il 2 agosto 2026 è diventato applicabile l’articolo 50 del Regolamento europeo sull’intelligenza artificiale. Da quel giorno una quantità di imprese italiane usa strumenti che rientrano nel perimetro senza sapere di essere dentro un perimetro. La parte utile sta in una distinzione di ruolo che quasi nessuno spiega, e che riduce gli obblighi di una piccola impresa a quattro cose.

Questo pezzo sta accanto al glossario dell’AI e dell’automazione e alla pagina di trasparenza AI, dove Itria dichiara quali sistemi usa e come. È scritto per chi dirige un’impresa, e finisce dove comincia il lavoro di un avvocato.

Cosa è scattato il 2 agosto

L’AI Act non è entrato in vigore tutto insieme. Arriva a scaglioni, e il 2 agosto 2026 è toccato all’articolo 50, quello sulla trasparenza. È l’articolo che riguarda il numero più alto di imprese ordinarie, perché non parla di sistemi ad alto rischio o di riconoscimento biometrico in strada. Parla di una cosa sola: quando una persona ha davanti un’intelligenza artificiale, deve poterlo sapere.

Si applica a tutti i sistemi in perimetro, a prescindere dalla data in cui sono stati immessi sul mercato.

Quella riga è la parte che sorprende. Non esiste un diritto acquisito per il chatbot installato sul sito nel 2024. Se rientra nel perimetro oggi, oggi va dichiarato. L’unica proroga riguarda la marcatura tecnica dei contenuti generati, quella leggibile dalle macchine, e solo per i sistemi già presenti prima del 2 agosto: per quelli la scadenza è il 2 dicembre 2026. Tutti gli altri obblighi dell’articolo valgono da subito.

La distinzione che cambia tutto: chi fornisce e chi usa

Qui casca la maggior parte delle conversazioni che iniziano con “quindi adesso dobbiamo fare la conformità dell’AI”. Il regolamento distingue due ruoli, e li tratta in modo molto diverso.

Il fornitore è chi sviluppa un sistema di intelligenza artificiale e lo immette sul mercato con il proprio nome. Su di lui pesa il grosso del regolamento: documentazione tecnica, valutazione di conformità, gestione del rischio, registrazione.

Il deployer, cioè l’utilizzatore, è chi prende uno di quei sistemi e lo usa nella propria attività. Un’azienda che mette un assistente sul sito, che genera testi con un modello, che fa trascrivere le chiamate. Nella quasi totalità dei casi, una PMI italiana sta qui. E gli obblighi dell’utilizzatore, per l’articolo 50, sono essenzialmente obblighi di informazione.

Non è una scappatoia e non è un cavillo. È l’architettura del regolamento: il peso sta su chi costruisce lo strumento, la trasparenza sta su chi lo punta verso una persona.

I ruoli previsti sono però sei, non due, e uno di essi si eredita senza firmare niente: chi appone il proprio marchio su un sistema ad alto rischio ne diventa il fornitore. La mappa completa sta nella pagina su a chi si applica l’AI Act e con quale ruolo, e la classificazione dei sistemi in quella sui livelli di rischio.

I tre casi che toccano davvero una piccola impresa

Il perimetro dell’articolo 50 è più ampio, ma per un’impresa di servizi, un produttore o un’attività ricettiva si riduce quasi sempre a tre situazioni.

Situazione	Cosa serve	Dove si sbaglia
Interazione direttachatbot, assistente, risponditore	La persona deve sapere che sta parlando con un sistema, e deve saperlo prima di parlarci, non dopo. Basta una riga chiara all’apertura.	L’assistente con un nome di persona e una foto sorridente. Più sembra umano, più l’obbligo è stringente.
Contenuti generatitesti, immagini, audio	Marcatura leggibile dalle macchine quando il contenuto è generato o manipolato, e dichiarazione visibile quando è pubblicato per informare il pubblico su temi di interesse pubblico senza revisione umana.	Credere che riguardi ogni scheda prodotto. Una scheda riletta e approvata da una persona non ricade nel contenuto pubblicato senza controllo editoriale.
Voce e volto sinteticideepfake, voce clonata	Va dichiarato sul contenuto. Vale anche quando la voce clonata è la vostra e l’avete autorizzata voi.	Il video promozionale con voce generata e nessuna nota. È il caso più visibile e quello che un concorrente segnala per primo.

La legge italiana, e riguarda chi lavora con voi

Sopra al regolamento europeo l’Italia ha messo la propria norma: la Legge 23 settembre 2025 n. 132, in vigore dal 10 ottobre 2025. La parte che tocca un datore di lavoro sta nei processi interni, non nel rapporto col cliente.

Chiede tre cose, e sono ragionevoli. Informare chi lavora prima di introdurre un sistema AI in un processo, spiegando a cosa serve e quali dati tratta. Tenere una persona in grado di controllare e correggere ogni decisione presa o suggerita dal sistema. Tenerne traccia documentata, cioè sapere quali sistemi girano, dove, e chi ne risponde.

Chi ha già costruito le proprie automazioni con un passaggio umano sui punti sensibili si trova metà del lavoro fatta. Chi ha lasciato che un agente scrivesse ai clienti da solo, invece, ha un problema che non riguarda solo la norma.

La legge fa anche altre cinque cose che il regolamento europeo non fa, dal diritto d’autore a un reato nuovo nel codice penale: sono raccolte nella pagina sulla legge 132/2025 sull’intelligenza artificiale. Sul rapporto con la protezione dei dati c’è invece la pagina su AI Act e GDPR.

Le sanzioni, dette senza terrorismo

La violazione degli obblighi di trasparenza sta nella fascia intermedia del regime sanzionatorio: fino a 15 milioni di euro o il 3% del fatturato mondiale annuo, se superiore. La cifra circola molto e serve soprattutto a vendere corsi.

Aggiungiamo il pezzo che quasi nessuno cita: per le piccole e medie imprese si applica l’importo inferiore fra i due parametri, non il maggiore. Resta una cifra che nessuno vuole vedere, e resta molto lontana dal caso ordinario di un’azienda che ha dimenticato una riga sotto il chatbot. Il rischio realistico, per una PMI, non è la multa. È il cliente che scopre da solo di aver parlato con una macchina. Le tre fasce, i criteri con cui si arriva a una cifra e chi può applicarle in Italia stanno nella pagina sulle sanzioni dell’AI Act.

Gli obblighi dell’AI Act, azienda per azienda

La Commissione europea riassume l’articolo 50 in una riga: «Article 50 of the AI Act applies as from 2 August 2026». Gli obblighi che ne discendono sono quattro, e non ricadono tutti sullo stesso soggetto: due riguardano chi fornisce il sistema, due chi lo usa.

Obbligo	Chi riguarda	Da quando
Dire che è un’AIinterazione diretta	Il fornitore del sistema, che deve progettarlo in modo che la persona sia informata di stare interagendo con un sistema di intelligenza artificiale. Una PMI che usa un assistente di terzi lo eredita già conforme, e deve solo non nasconderlo.	2 agosto 2026
Marcare i contenuti sinteticiformato leggibile a macchina	Il fornitore del sistema che genera o manipola testo, immagini, audio o video, che deve renderli marcati e rilevabili come artificiali.	2 agosto 2026, con una finestra fino al 2 dicembre 2026 per i sistemi immessi sul mercato prima di agosto
Informare chi è espostoemozioni e biometria	Chi usa sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, che deve informare le persone esposte del loro funzionamento.	2 agosto 2026
Dichiarare i deepfakecontenuti manipolati	Chi usa il sistema per produrre contenuti manipolati, che deve dichiararlo in modo chiaro e distinguibile, al più tardi alla prima esposizione.	2 agosto 2026

Per la maggior parte delle piccole imprese italiane il conto finisce qui: si usano strumenti di terzi, quindi contano la terza e la quarta riga, e la prima solo nella misura in cui non va nascosta. Le due righe del fornitore riguardano chi costruisce il sistema, non chi lo compra.

Vale anche per chi sta fuori dall’Unione: la stessa fonte precisa che i fornitori stabiliti o situati al di fuori dell’Unione europea sono soggetti alle disposizioni dell’AI Act se l’output del loro sistema viene usato nell’Unione.

Le quattro cose da sistemare

Tolta la teoria, l’adeguamento di una piccola impresa che usa strumenti di terzi sta in quattro passaggi. Nessuno richiede un consulente per essere iniziato.

Passo	Cosa si fa	Quanto costa
01 · La listamezza giornata	Scrivere quali sistemi AI girano in azienda, chi li ha attivati, su quali dati lavorano e dove stanno quei dati.	Un foglio. È anche il documento che la 132/2025 chiede di poter mostrare.
02 · Le dichiarazioniun pomeriggio	Una riga sotto ogni punto di contatto automatico, e una nota sui contenuti generati dove serve.	Testo. Il costo vero è decidere come dirlo senza sembrare un avviso legale.
03 · La pagina pubblicaun giorno	Una pagina che dichiara i sistemi in uso, la finalità e dove stanno i dati. In questa forma non è obbligatoria, ed è il modo più economico di dimostrare che il resto è stato fatto.	Vedere la nostra, che è scritta esattamente così.
04 · Il punto umanocontinuo	Su ogni processo automatico che tocca un cliente, i soldi o una comunicazione in uscita, una persona approva prima che parta.	Zero, se il sistema è stato progettato così. Molto, se va rifatto dopo.

C’è un quinto punto che non compare in questa lista perché non nasce dall’articolo 50: l’articolo 4 chiede di occuparsi delle competenze di chi usa i sistemi, e si applica dal 2 febbraio 2025. Il dettaglio sta nella pagina sull’obbligo di formazione sull’intelligenza artificiale.

Le date, in ordine

2 febbraio 2025, si applicano i Capi I e II: l’obbligo di occuparsi delle competenze di chi usa i sistemi, all’articolo 4, e i divieti dell’articolo 5. 10 ottobre 2025, entra in vigore la Legge 132/2025 e con essa gli obblighi verso i lavoratori. 2 agosto 2026, diventa applicabile l’articolo 50, per tutti i sistemi in perimetro a prescindere da quando sono stati immessi sul mercato.

2 dicembre 2026, scade la proroga sulla sola marcatura dei contenuti per i sistemi già esistenti prima di agosto, e nello stesso giorno entrano in applicazione due nuove pratiche vietate aggiunte all’articolo 5. 10 ottobre 2026, scade invece una data italiana: la delega dell’articolo 24 della legge 132/2025 per i decreti che assegnano i poteri sanzionatori.

Le date dei sistemi ad alto rischio sono state spostate. Il Regolamento (UE) 2026/1744 del 24 luglio 2026 ha riscritto l’articolo 113 e ha portato il Capo III, sezioni 1, 2 e 3, al 2 dicembre 2027 per i sistemi dell’allegato III e al 2 agosto 2028 per quelli dell’allegato I. Il rinvio non tocca i divieti, l’alfabetizzazione e la trasparenza, quindi una piccola impresa non ha guadagnato tempo su niente di quello che la riguarda. Il quadro completo sta nel calendario aggiornato delle scadenze dell’AI Act.

Domande frequenti

Questo articolo è una ricognizione operativa, non un parere legale. Sulle situazioni specifiche, e in particolare sui modelli di organizzazione e sui rapporti di lavoro, la risposta la dà un professionista che guarda la vostra azienda.