AI Act: gli obblighi per le PMI dopo il Digital Omnibus
Dal 2 agosto 2026 l'AI Act (Regolamento UE 2024/1689) si applica in generale, ma il Digital Omnibus ha spostato al 2027 e al 2028 gli obblighi per i sistemi ad alto rischio. Ecco cosa vale già oggi per le piccole e medie imprese italiane, cosa arriva dopo e da dove cominciare.
15 settembre 2026 · aggiornato il 1 ottobre 2026 · 8 min di lettura · a cura del team aimybusiness
Il calendario aggiornato al Digital Omnibus
Il regolamento europeo sull'intelligenza artificiale è entrato in vigore il 1° agosto 2024 e si applica per fasi. Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull'IA, in vigore dal 27 luglio 2026, ha cambiato alcune date. Il calendario aggiornato:
- Dal 2 febbraio 2025: vietate le pratiche di IA a rischio inaccettabile (art. 5) e in vigore l'obbligo di alfabetizzazione IA del personale (art. 4).
- Dal 2 agosto 2025: regole su governance, autorità nazionali, modelli di IA per finalità generali (GPAI) e regime sanzionatorio.
- Dal 2 agosto 2026: applicazione generale del regolamento e obblighi di trasparenza dell'art. 50: chi offre un chatbot deve far sapere che si parla con un'IA, i deepfake vanno dichiarati, i contenuti generati vanno marcati.
- Dal 2 dicembre 2026: nuovo divieto sui sistemi che generano immagini intime non consensuali o materiale pedopornografico; termine per la marcatura dei contenuti generati dai sistemi già sul mercato.
- Dal 2 dicembre 2027 (prima era il 2 agosto 2026): obblighi per i sistemi ad alto rischio dell'Allegato III, come selezione del personale, valutazione del credito, istruzione, accesso ai servizi essenziali e biometria.
- Dal 2 agosto 2028 (prima era il 2 agosto 2027): obblighi per i sistemi ad alto rischio integrati in prodotti già regolamentati (Allegato I).
Per la maggior parte delle PMI italiane, quindi, oggi contano soprattutto tre cose: alfabetizzazione, trasparenza e una mappa chiara degli strumenti in uso. Il rinvio degli obblighi ad alto rischio non li cancella: chi usa l'IA per selezionare il personale o valutare clienti ha più tempo, non un'esenzione.
Chi è coinvolto, anche senza sviluppare intelligenza artificiale
Il regolamento distingue tra chi fornisce un sistema di IA (provider) e chi lo utilizza nella propria attività (deployer). La maggior parte delle PMI italiane rientra nella seconda categoria anche quando si limita a usare strumenti di terzi: un software di selezione CV con IA integrata, un sistema di scoring del credito, una piattaforma di videosorveglianza intelligente. Per i sistemi ad alto rischio, dal 2 dicembre 2027 essere deployer comporta obblighi precisi: uso conforme alle istruzioni del fornitore, sorveglianza umana, conservazione dei log, informazione ai lavoratori coinvolti, verifica che il fornitore abbia classificato correttamente il rischio.
Chi si limita a usare strumenti a rischio minimo, come un assistente di scrittura o un chatbot di supporto interno, ha obblighi più leggeri, concentrati soprattutto sulla trasparenza verso chi interagisce con il sistema.
Le quattro cose da fare prima delle prossime scadenze
- 1. Censire i sistemi di IA in uso — un registro semplice con nome del sistema, fornitore, processo aziendale coinvolto e dati trattati. È la base di qualunque audit successivo.
- 2. Classificarli per livello di rischio — vietato, alto rischio, rischio limitato (obblighi di trasparenza) o rischio minimo. La classificazione determina quali obblighi si applicano davvero.
- 3. Formare le persone che li usano — l'obbligo di alfabetizzazione IA (art. 4) è già in vigore dal febbraio 2025: è spesso il punto più trascurato, anche perché non ha una scadenza "visibile". Ne parliamo nel dettaglio nella guida dedicata.
- 4. Definire policy interne e responsabilità — chi approva l'uso di un nuovo strumento di IA in azienda, chi ne controlla l'impiego, come si gestisce un errore o una segnalazione.
La Legge italiana 132/2025: cosa aggiunge al quadro europeo
Il regolamento europeo lascia agli Stati membri il compito di individuare le autorità di vigilanza e di definire alcuni aspetti applicativi. In Italia questo è avvenuto con la Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, che affianca al regolamento UE alcuni principi generali (centralità della persona, uso proporzionato e trasparente dell'IA), regole specifiche per settori sensibili come sanità, lavoro e giustizia, e sanzioni penali per alcuni usi illeciti, tra cui la diffusione di contenuti generati con IA senza le dovute cautele (i cosiddetti deepfake). Per le aziende due obblighi sono immediati: informare per iscritto i lavoratori sull'uso di sistemi di IA che incidono sul rapporto di lavoro (art. 11) e, per i professionisti, informare i clienti sugli strumenti di IA usati nella prestazione (art. 13).
Da dove iniziare
Un audit di conformità AI Act richiede in genere poche settimane: censimento dei sistemi, classificazione del rischio, gap analysis rispetto agli obblighi e un piano d'azione con priorità realistiche. Non serve bloccare l'uso dell'IA in attesa di essere "a posto al 100%": la maggior parte delle non conformità si risolve con policy chiare e qualche accorgimento tecnico, non con investimenti importanti. Per una prima fotografia in cinque minuti c'è la nostra autovalutazione AI Act gratuita; per il percorso completo, il servizio di Governance & AI Act.
Domande frequenti
Q.1Le sanzioni per il mancato rispetto del regolamento si applicano già oggi?
Il regime sanzionatorio si applica dal 2 agosto 2025: per le pratiche vietate le sanzioni arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale (per le PMI vale l'importo più basso). Le sanzioni sugli obblighi di trasparenza valgono dal 2 agosto 2026; quelle sui sistemi ad alto rischio seguiranno le nuove date del Digital Omnibus.
Q.2Cosa ha cambiato il Digital Omnibus per le PMI?
Ha rinviato gli obblighi per i sistemi ad alto rischio (Allegato III al 2 dicembre 2027, Allegato I al 2 agosto 2028), ha trasformato l'alfabetizzazione IA in un obbligo di adottare misure senza garantire un livello specifico, ha esteso alcune semplificazioni alle small mid-cap e ha aggiunto il divieto sui sistemi che generano immagini intime non consensuali. Gli obblighi di trasparenza sono rimasti al 2 agosto 2026.
Q.3Vale anche se in azienda usiamo solo strumenti generici come ChatGPT o Copilot?
Sì. Anche gli strumenti di IA generativa generici rientrano nel perimetro del regolamento come sistemi a rischio minimo o limitato: l'obbligo principale è la trasparenza verso chi interagisce con l'output, oltre all'alfabetizzazione di chi li usa per lavoro.
Q.4Bastano delle policy scritte per essere in regola?
Sono un punto di partenza necessario ma non sufficiente. Vanno accompagnate da un registro dei sistemi realmente aggiornato, dalla formazione del personale e, per i sistemi ad alto rischio, da una valutazione documentata.
Fonti
- Regolamento (UE) 2024/1689 (AI Act), EUR-Lex
- Regolamento (UE) 2026/1744 (Digital Omnibus sull'IA), EUR-Lex
- Legge 23 settembre 2025, n. 132, Gazzetta Ufficiale n. 223 del 25 settembre 2025
Questo articolo ha uno scopo informativo generale e non costituisce consulenza legale. Per una valutazione specifica della vostra azienda, il nostro team effettua un audit dedicato.
Testo redatto con il supporto dell'intelligenza artificiale e rivisto dal team aimybusiness, che ne ha la responsabilità editoriale.
Non sapete da quale servizio partire?
Il colloquio con preanalisi è gratuito: individuiamo insieme a voi i processi in cui l'IA può essere integrata portando un beneficio concreto, e da dove conviene iniziare.