AI Act: cos'è, cosa prevede e le scadenze 2026 per le aziende

 In questa guida trovi tutto ciò che serve sapere: cos'è l'AI Act, come funziona la classificazione dei rischi, quali sistemi rientrano nell'Allegato III, cosa si sovrappone al GDPR, perché le sandbox normative sono un'opportunità concreta per le PMI e come adeguarsi in modo ordinato prima che arrivi agosto.

Cos'è l'AI Act e l'approccio basato sul rischio

Il Regolamento UE 2024/1689, noto come AI Act, è il primo atto legislativo al mondo a disciplinare in modo organico lo sviluppo, l'immissione sul mercato e l'utilizzo dei sistemi di intelligenza artificiale. È entrato in vigore il 1° agosto 2024 e si applica a tutte le organizzazioni che sviluppano o utilizzano sistemi AI nel mercato europeo, indipendentemente da dove hanno sede.

Il punto di partenza concettuale è uno solo: l'AI Act non vieta la tecnologia. La regola in base al potenziale danno che può causare ai diritti fondamentali, alla sicurezza e alla salute delle persone.

Questo si chiama approccio basato sul rischio (risk-based approach). La logica è lineare: più alto è il rischio che un sistema AI produce sull'utente finale, più severi sono gli obblighi per chi lo sviluppa e per chi lo usa. Un filtro antispam e un algoritmo che decide chi può accedere a un mutuo non sono la stessa cosa, e il regolamento li tratta in modo completamente diverso.

In Italia, il quadro si è completato il 23 settembre 2025 con l'approvazione della Legge n. 132/2025, entrata in vigore il 10 ottobre 2025, che recepisce l'AI Act e designa l'Agenzia per la Cybersicurezza Nazionale (ACN) come autorità nazionale competente.

Le 4 categorie di rischio previste dal regolamento UE

Il regolamento distribuisce tutti i sistemi AI in quattro livelli. La categoria determina gli obblighi: nessuno, leggeri, pesanti o divieto assoluto. Ecco la struttura completa.

Rischio inaccettabile: già vietato

Da febbraio 2025, alcuni usi dell'AI sono semplicemente proibiti. Tra questi: sistemi di social scoring da parte di soggetti pubblici o privati per valutare il comportamento delle persone, tecniche di manipolazione subliminale, sistemi di riconoscimento delle emozioni nei luoghi di lavoro e nelle scuole. Chi usa ancora queste applicazioni è già fuori legge.

Rischio alto: obblighi di conformità piena entro agosto 2026

È la categoria più rilevante per le PMI italiane e quella che richiede l'intervento più urgente. I sistemi ad alto rischio possono essere usati, ma solo nel rispetto di un insieme preciso di obblighi: valutazione d'impatto sui diritti fondamentali, governance dei dati di addestramento, meccanismi di sorveglianza umana e misure di cybersecurity documentate. La scadenza per la conformità piena è il 2 agosto 2026.

Rischio limitato: obblighi di trasparenza

Un chatbot deve dichiarare di essere un sistema automatizzato. Un contenuto generato da AI deve essere contrassegnato come tale. Un deepfake deve essere identificabile come tale. La regola è semplice: l'utente ha il diritto di sapere quando interagisce con un'intelligenza artificiale.

Rischio minimo: nessun obbligo

La grande maggioranza dei sistemi AI usati quotidianamente rientra qui. Filtri antispam, sistemi di raccomandazione dei prodotti, strumenti di produttività generici. Nessun obbligo di conformità specifico, fatta salva l'applicazione del GDPR dove si trattano dati personali.

AI Security Readiness: sei pronto per la rivoluzione AI della cybersecurity?

SCARICA IL SELF ASSESSMENT TOOL

Sistemi AI ad alto rischio: cosa fare entro agosto 2026

Il 2 agosto 2026 è stata la scadenza più rilevante per le PMI italiane. Da quella data, chi utilizza o fornisce sistemi AI classificati ad alto rischio deve dimostrare la piena conformità al regolamento.

Gli obblighi per i sistemi ad alto rischio sono quattro e si cumulano tra loro.

• Valutazione d'impatto sui diritti fondamentali (FRIA): prima di mettere in uso un sistema ad alto rischio, chi lo utilizza deve condurre una valutazione strutturata degli impatti potenziali sui diritti delle persone interessate. È l'equivalente della DPIA del GDPR, ma applicata all'AI.
• Governance dei dati: i dataset usati per addestrare o alimentare il sistema devono essere rilevanti, rappresentativi e privi di bias sistematici. Questo include anche i dati che il sistema usa in fase operativa.
• Sorveglianza umana: i sistemi ad alto rischio non possono operare senza che un essere umano possa intervenire, correggerli o disattivarli. Il meccanismo di controllo deve essere documentato e funzionante.
• Cybersecurity robusta: i sistemi AI ad alto rischio devono essere protetti contro manipolazioni, avvelenamento dei dati e accessi non autorizzati. La sicurezza dell'AI è parte integrante della compliance normativa.

Cinque mesi mancano alla scadenza. Per le PMI che non hanno ancora avviato una gap analysis, ogni settimana conta.

Allegato III: quali sistemi rientrano nell'alto rischio?

L'Allegato III del regolamento elenca per settore i sistemi AI classificati automaticamente ad alto rischio. Non si tratta di categorie astratte: molti di questi sistemi sono già in uso nelle PMI italiane.

Per le PMI il punto di attenzione più diretto riguarda il settore HR e occupazione: qualsiasi software che analizza automaticamente i curriculum, assegna punteggi ai candidati o supporta decisioni di assunzione è classificato ad alto rischio. Lo stesso vale per i sistemi di scoring creditizio usati da istituti finanziari o da chi concede credito commerciale.

AI Act e GDPR: le differenze e i punti di contatto

Molte aziende che conoscono già il GDPR si chiedono se l'AI Act sia un'estensione dello stesso o una normativa separata. La risposta è: entrambe le cose.

I due regolamenti operano su piani diversi ma si sovrappongono frequentemente.

La sovrapposizione più rilevante riguarda le decisioni automatizzate sui dati personali. Un sistema AI che profila i clienti per finalità commerciali può violare sia l'Art. 22 del GDPR (diritto a non essere sottoposti a decisioni automatizzate) sia le norme AI Act sulla trasparenza e la supervisione umana. Non è raro che una singola non conformità generi contestazioni su entrambi i fronti.

Il consiglio dal punto di vista operativo è trattare GDPR e AI Act come un sistema integrato, non come due audit separati. Chi ha già un processo DPIA attivo ha una base solida da cui partire per la valutazione d'impatto AI richiesta dall'Allegato III.

Perché l'AI Act prevede misure per favorire l'innovazione

L'AI Act non è costruito solo su obblighi e sanzioni. Contiene anche strumenti pensati esplicitamente per non soffocare la sperimentazione, in particolare per le PMI e le startup.

Lo strumento principale si chiama sandbox normativa (regulatory sandbox). Si tratta di ambienti controllati, istituiti dalle autorità nazionali, in cui le aziende possono sviluppare, testare e validare sistemi AI innovativi prima di immetterli sul mercato, operando in una condizione di temporanea flessibilità regolamentare.

Il funzionamento pratico è questo: l'azienda presenta la propria soluzione all'autorità competente, che valuta l'ammissibilità al programma. Se accettata, può sperimentare senza rischiare sanzioni immediate per i requisiti ancora non soddisfatti, purché operi in buona fede e rispetti le condizioni del piano di test concordato.

Per le PMI italiane, l'accesso alle sandbox rappresenta un modo concreto per sviluppare competenze AI conformi senza sostenere da subito i costi di una compliance piena su sistemi ancora in fase sperimentale. ACN è l'ente designato a istituire e gestire le sandbox in Italia.

L'obbligo di AI literacy: formare i dipendenti non è opzionale

L'Art. 4 dell'AI Act introduce un obbligo che molte aziende stanno ancora sottovalutando: la cosiddetta AI Literacy, ovvero l'obbligo di garantire che il personale che usa sistemi AI disponga di un livello adeguato di competenza e consapevolezza.

Questo obbligo è già in vigore dal 2 febbraio 2025. Non riguarda solo chi sviluppa sistemi AI: riguarda anche chi li usa. Un dipendente che utilizza ChatGPT per redigere proposte commerciali, o un manager che interpreta le raccomandazioni di un sistema predittivo, è soggetto a questo requisito.

Il regolamento non prescrive un programma di formazione standard. L'Art. 4 è inteso a fornire la formazione e gli orientamenti più appropriati sulla base del livello e del tipo di conoscenza di ciascun operatore. Questo significa che il percorso formativo deve essere calibrato sui ruoli: diverso per chi decide, per chi implementa e per chi usa operativamente.

Gli aspetti da coprire in un programma di AI Literacy compliant includono:

• comprensione del funzionamento di base dei sistemi AI in uso;
• riconoscimento dei limiti e dei possibili errori dell'AI;
• consapevolezza dei rischi per i diritti fondamentali;
• capacità di esercitare la supervisione umana prevista dalla norma;
• conoscenza delle responsabilità legali connesse all'uso dell'AI.

La formazione deve essere documentata. In caso di ispezione o contenzioso, dimostrare di aver erogato percorsi coerenti con l'Art. 4 è parte integrante della difesa della conformità aziendale.

Sanzioni e conseguenze: cosa rischia la tua azienda

Il sistema sanzionatorio dell'AI Act si articola in tre fasce, calibrate sulla gravità della violazione.

In tutti i casi si applica il valore maggiore tra l'importo fisso e la percentuale del fatturato. Per le PMI con fatturati contenuti, la percentuale è spesso la voce più significativa.

I valori indicati sono i massimali europei: la Legge n. 132/2025 stabilirà il sistema sanzionatorio nazionale definitivo nei limiti fissati dal regolamento. ACN avrà il potere di disporre ispezioni, richiedere documenti, ordinare la sospensione temporanea o definitiva dei sistemi non conformi.

Un elemento da considerare: le sanzioni dell'AI Act si cumulano con quelle del GDPR nei casi in cui la non conformità riguardi anche il trattamento di dati personali. Un sistema HR non conforme su entrambi i fronti espone l'azienda a contestazioni parallele da due autorità diverse.

Come adeguarsi all'AI Act

L'adeguamento all'AI Act non è un progetto monolitico. Si costruisce per fasi, partendo da un'analisi di quello che c'è già in azienda.

• Inventario dei sistemi AI in uso: il primo passo è sapere cosa stai usando. Molti strumenti SaaS integrano componenti di AI senza che l'azienda ne abbia piena consapevolezza: software HR, CRM con lead scoring, sistemi di analisi finanziaria. L'inventario è il presupposto di qualsiasi valutazione successiva.
• Gap analysis normativa: una volta identificati i sistemi, si valuta la loro classificazione secondo le categorie di rischio. Per quelli ad alto rischio, si verifica lo stato attuale rispetto agli obblighi dell'Allegato III: valutazione d'impatto, governance dei dati, supervisione umana, cybersecurity.
• Formazione AI Literacy: l'obbligo dell'Art. 4 è già in vigore. Progettare e erogare percorsi formativi adeguati ai diversi ruoli aziendali è il secondo intervento prioritario, indipendentemente dalla classificazione dei sistemi in uso.
• Messa in sicurezza dei sistemi ad alto rischio: per i sistemi che rientrano nell'Allegato III, la compliance tecnica include la protezione contro manipolazioni e accessi non autorizzati. La cybersecurity dell'AI non è un tema separato dalla compliance normativa: è una delle condizioni esplicite richieste dal regolamento.
• Documentazione e governance continuativa: la conformità non è un risultato puntuale ma un processo. Il registro dei sistemi AI, le valutazioni d'impatto, i log di supervisione e le evidenze della formazione devono essere mantenuti aggiornati nel tempo.

Con 25+ anni di esperienza e 200+ clienti attivi nel settore della sicurezza informatica per le PMI lombarde, i nostri consulenti affiancano le aziende nell'intero percorso: dall'inventario iniziale alla formazione AI Literacy, fino alla messa in sicurezza tecnica dei sistemi ad alto rischio. Se non sai ancora da dove partire, parla con un nostro esperto: un'ora di analisi è spesso sufficiente per capire dove sei e cosa ti manca per arrivare ad agosto 2026 senza sorprese.

FAQ: domande frequenti sull'AI Act

Cos'è l'AI Act?

È il Regolamento UE 2024/1689, il primo atto legislativo al mondo che disciplina lo sviluppo, l'immissione sul mercato e l'utilizzo dei sistemi di intelligenza artificiale nell'Unione Europea. Adotta un approccio basato sul rischio: più alto è il potenziale danno del sistema, più severi sono gli obblighi per chi lo sviluppa e per chi lo usa. Si applica a tutte le organizzazioni che operano nel mercato UE, indipendentemente dalla loro sede.

Qual è la differenza tra AI Act e GDPR?

Il GDPR protegge i dati personali degli individui e regola come vengono raccolti, trattati e conservati. L'AI Act protegge i diritti fondamentali e la sicurezza delle persone dai rischi prodotti dai sistemi AI. I due regolamenti si sovrappongono frequentemente, in particolare nei casi di profilazione, decisioni automatizzate e trattamento di dati biometrici. Non sono alternativi: si applicano contemporaneamente e una singola non conformità può generare contestazioni su entrambi i fronti.

Quale sistema di IA è escluso dal regolamento AI Act?

Sono esclusi i sistemi AI sviluppati e usati esclusivamente per scopi militari o di difesa nazionale, quelli usati per ricerca scientifica pura (con limitazioni) e i sistemi di AI a uso personale non professionale. I sistemi open source sono parzialmente esclusi dai requisiti sui fornitori, ma non da quelli sui deployer (chi li usa in contesto professionale). In pratica, la stragrande maggioranza dei sistemi AI usati in contesti aziendali rientra nel perimetro del regolamento.

Perché l'AI Act prevede misure per favorire l'innovazione?

Il regolamento ha introdotto le sandbox normative, ambienti controllati gestiti dalle autorità nazionali in cui le aziende, in particolare PMI e startup, possono testare sistemi AI innovativi prima del lancio commerciale, con una temporanea flessibilità regolamentare. L'obiettivo è evitare che il carico di compliance paralizzi l'innovazione nelle fasi di sperimentazione, permettendo alle aziende di sviluppare soluzioni conformi in modo graduale e monitorato.

Conclusione

L'AI Act non è una minaccia da aspettare: è un quadro normativo già parzialmente in vigore che richiede azioni concrete adesso. I divieti sono operativi, la formazione dei dipendenti è obbligatoria, e il 2 agosto 2026 si avvicina. Le PMI italiane che hanno già avviato l'inventario dei sistemi in uso e un percorso di AI Literacy sono in vantaggio. Quelle che aspettano avranno meno tempo e meno margine di manovra. Se vuoi sapere dove si colloca la tua azienda rispetto alle scadenze, richiedi una consulenza gratuita: iniziamo dall'analisi di quello che hai già in uso e costruiamo un piano di adeguamento concreto.