Se nella tua azienda qualcuno usa ChatGPT, Copilot, Gemini o qualsiasi altro tool con funzioni di intelligenza artificiale, l'AI Act ti riguarda già.
Non perché tu abbia sviluppato qualcosa. Non perché tu sia una grande azienda tech. Ma perché la normativa europea non distingue tra chi crea l'AI e chi la usa: se la usi in un contesto professionale, hai obblighi concreti, di cui alcuni già esigibili.
La maggior parte delle PMI italiane lo sa. Non sa ancora cosa fare esattamente. Questa guida risponde a quella domanda in modo chiaro, semplice e diretto.
Nota: questa guida offre una panoramica educativa. Per un'analisi specifica della tua situazione, la consulenza di un esperto è il punto di partenza corretto.
Cosa trovi in questa guida
- Cos'è l'AI Act — in una frase
- I 4 livelli di rischio: dove si posiziona la tua azienda
- Provider o deployer? La distinzione che cambia tutto
- AI Act + GDPR + Legge 132/2025: si sommano, non si escludono
- I tuoi dipendenti usano AI? Ecco cosa cambia
- Le 5 cose concrete da fare prima del 2 agosto 2026
- FAQ — Le domande più frequenti
Cos'è l'AI Act
L'AI Act (Regolamento UE 2024/1689) è il primo quadro normativo al mondo sull'intelligenza artificiale. Pubblicato nella Gazzetta Ufficiale dell'UE il 12 luglio 2024, è entrato in vigore il 1°
agosto 2024 e si applica progressivamente a tutte le organizzazioni che sviluppano, distribuiscono o utilizzano sistemi AI nell'Unione Europea.
Scopri il calendario completo aggiornato dopo il Digital Omnibus
In Italia si affianca alla Legge 132 del 23 settembre 2025 (GU Serie Generale n. 223 del 25 settembre 2025, in vigore dal 10 ottobre 2025), che recepisce e specifica gli obblighi per le organizzazioni italiane: designa AgID e ACN come autorità nazionali di vigilanza, introduce norme specifiche per la pubblica amministrazione e delega al Governo l'adeguamento progressivo della normativa nazionale al Regolamento europeo.
L'obiettivo non è bloccare l'uso dell'AI. È garantire che venga usata in modo responsabile, trasparente e rispettoso delle persone.
La cosa più importante da capire: l'AI Act non classifica i modelli AI. Classifica gli usi. Lo stesso strumento può essere a rischio minimo o ad alto rischio a seconda di cosa ci fai. Usare ChatGPT per scrivere una bozza di email è rischio minimo. Usarlo per filtrare automaticamente i CV dei candidati è alto rischio.
Questa distinzione, semplice in apparenza ma rilevante nella pratica, è il punto di partenza per qualsiasi percorso di adeguamento serio.
I 4 livelli di rischio: dove si posiziona la tua azienda
L'AI Act organizza tutti gli usi dell'AI in quattro categorie. Capire in quale rientra la tua azienda è il primo passo operativo.
Rischio inaccettabile
Vietato dal 2 febbraio 2025
Pratiche vietate senza eccezioni perché incompatibili con i diritti fondamentali.
Le principali: sistemi che manipolano il comportamento umano in modo subliminale causando danni, "social scoring" basato sul comportamento generale delle persone, riconoscimento biometrico in tempo reale in spazi pubblici (con limitate eccezioni per le forze dell'ordine), sistemi che sfruttano vulnerabilità legate all'età o alla disabilità.
Per la maggior parte delle PMI queste pratiche non sono rilevanti, ma vale la pena verificarlo, soprattutto per chi opera in HR, retail, hospitality o gestisce sistemi di analisi comportamentale dei clienti.
Dal 2 dicembre 2026 il Digital Omnibus, approvato definitivamente dal Consiglio UE il 29 giugno 2026, aggiunge due nuovi divieti all'Art. 5: sistemi AI che generano immagini intime non consensuali di persone reali (le cosiddette app di nudificazione) e sistemi che producono materiale di abuso sessuale su minori. Il divieto vale sia per i provider che per i deployer. Per chi opera in advertising, moda e produzione di contenuti visivi, è un punto da verificare subito.
Alto rischio
Obblighi stringenti
Sistemi AI che impattano su decisioni importanti che riguardano le persone.
I casi più frequenti per le PMI italiane:
- Recruiting e selezione del personale: qualsiasi sistema che filtra, valuta o classifica candidati automaticamente
- Valutazione delle performance dei dipendenti tramite sistemi AI
- Scoring creditizio e valutazione del merito finanziario dei clienti
- Sistemi di sicurezza in infrastrutture critiche
I sistemi ad alto rischio richiedono documentazione tecnica specifica, supervisione umana documentata, informativa dettagliata alle persone coinvolte e — in molti casi — registrazione in una banca dati UE.
Rischio limitato
Obblighi di trasparenza
Chatbot, contenuti generati con AI, immagini e video sintetici.
L'obbligo principale è uno: dichiarare che si usa AI. La scadenza per l'obbligo pieno è il 2 agosto 2026.
Questa è la categoria più rilevante per chi fa marketing, gestisce un sito con chatbot o produce contenuti con supporto AI.
Vuoi approfondire? Leggi la guida completa: Dichiarare l'AI nel marketing
Rischio minimo
Nessun obbligo specifico AI Act
Filtri antispam, AI nei videogiochi, sistemi di raccomandazione non critici.
Attenzione: il GDPR si applica comunque se il sistema tratta dati personali - e quasi sempre lo fa.
Approfondisci il perimetro normativo AI Act, GDPR e Codice del Consumo
Provider o deployer? La distinzione che cambia tutto
L'AI Act distingue due ruoli fondamentali, con obblighi completamente diversi.
Il provider è chi sviluppa o immette sul mercato un sistema AI. OpenAI per ChatGPT, Microsoft per Copilot, Google per Gemini. Gli obblighi del provider - documentazione tecnica, test di conformità, registrazione - sono i più stringenti.
Il deployer è chi usa un sistema AI sviluppato da altri per uno scopo specifico in un contesto professionale. La quasi totalità delle PMI italiane è deployer.
Essere deployer non significa essere esenti da obblighi. Significa avere obblighi diversi: formare il personale che usa il sistema, garantire supervisione umana per i sistemi ad alto
rischio, aggiornare informative e registri dei trattamenti GDPR, implementare disclosure per i contenuti AI-generated.
Il caso che cambia il ruolo: un'azienda che integra un modello AI (anche di terze parti) all'interno di un proprio prodotto o servizio, con logica proprietaria, prompt personalizzati e/o processi specifici, può diventare a tutti gli effetti provider, con obblighi corrispondentemente più pesanti. Questo succede più spesso di quanto si pensi nelle aziende che stanno sviluppando chatbot interni, tool di automazione commerciale o sistemi di analisi dati personalizzati.
Il perimetro normativo completo: AI Act + GDPR + Legge 132/2025
Uno degli errori più comuni è pensare che l'AI Act sostituisca o semplifichi il GDPR. Non è così. Si applicano insieme, e la Legge 132/2025 aggiunge un terzo strato specifico per il contesto italiano.
Il modo più preciso per tenere in mente il quadro è questo:
L'AI Act dice "non devi." Stabilisce le pratiche vietate, classifica i sistemi per rischio, definisce gli obblighi di trasparenza. È il perimetro generale.
Il GDPR dice "devi davvero." Si applica ogni volta che un sistema AI tratta dati personali (e lo fa quasi sempre). Richiede base giuridica documentata, informativa aggiornata, registro dei trattamenti integrato, eventuale DPIA per i trattamenti ad alto rischio.
Il Codice del Consumo dice "meglio se lo fai." L'AGCM sanziona le pratiche commerciali ingannevoli da vent'anni, con o senza AI. Le sanzioni vanno da 5.000 a 10.000.000€, raddoppiate in caso di inottemperanza. Quando il Codice del Consumo e l'AI Act confliggono su come proteggere il consumatore, vince il Codice del Consumo.
Le piattaforme dicono "altrimenti ti spengo." Meta, Google, TikTok hanno policy sull'AI nei contenuti pubblicitari spesso più stringenti delle norme UE, e le fanno rispettare immediatamente, senza procedimento formale. Per molte aziende il rischio più immediato non è la sanzione AI Act: è la sospensione delle campagne paid.
Questi quattro livelli non sono quattro compliance separati. Sono strati dello stesso problema e richiedono un unico framework che risponda a tutti.
Per approfondire
AI Act, GDPR e Codice del Consumo
AI tra te e i tuoi clienti: come cambia la visibilità online
I tuoi dipendenti usano AI? Ecco cosa cambia
Molti imprenditori pensano che l'AI Act riguardi chi sviluppa AI. Non è così. Riguarda anche chi la usa. E nella maggior parte delle PMI italiane, i dipendenti usano tool AI ogni giorno spesso senza regole, senza formazione, senza che nessuno sappia esattamente cosa stanno facendo.
Il rischio concreto non è astratto: un dipendente può inserire dati aziendali riservati in un prompt, produrre informazioni errate senza verificarle, usare l'AI per prendere decisioni su persone senza la supervisione richiesta. In tutti questi casi, la responsabilità è dell'azienda e non del software.
L'articolo 4 del Regolamento UE 2024/1689 stabilisce che i provider e i deployer devono adottare misure per garantire un livello sufficiente di alfabetizzazione AI al personale che opera con sistemi AI. Questo obbligo è applicabile dal 2 febbraio 2025. Non è una scadenza futura: chi non ha ancora formato i propri dipendenti è già in ritardo.
Non significa che ogni dipendente debba diventare un esperto. Significa che chi usa AI in azienda deve sapere cosa può fare, cosa non deve fare e cosa deve dichiarare.
Lo spieghiamo qui: Formare i dipendenti sull'AI
Le 5 cose concrete da fare prima del 2 agosto 2026
- Mappare i tool AI che usi in azienda.
Non solo ChatGPT, anche i tool con AI integrata come CRM con scoring, ATS per il recruiting, software di produttività con funzioni AI (Copilot in Microsoft 365, Gemini in Google Workspace). Per ogni sistema: chi lo usa, per cosa, su quali dati. Questo inventario è il punto di partenza obbligatorio di qualsiasi percorso di compliance. - Formare i dipendenti.
Obbligo normativo attivo dal febbraio 2025. Non richiede un corso di settimane: bastano 2-3 ore strutturate su cosa si può e non si può fare, con un registro presenze firmato come documentazione. - Scrivere una policy AI aziendale.
Un documento di 5-10 pagine che definisce quali tool sono autorizzati, come si usano, cosa non si inserisce mai in un prompt, chi approva gli usi non standard. Non serve un avvocato per scriverla, quello che serve è avere un framework chiaro e firmato da chi la usa. - Aggiornare le informative GDPR.
Se usi AI su dati personali, le informative devono menzionarlo esplicitamente: quali sistemi AI utilizzi come strumenti di trattamento, chi sono i fornitori (Anthropic, OpenAI, Microsoft, Google) nella loro veste di responsabili del trattamento. Il Garante Privacy italiano è già attivo su questo punto. - Strutturare la disclosure per i contenuti AI.
Se produci contenuti con AI come testi, immagini, post, video ecc. devi dichiararlo. Dal 2 agosto 2026 è obbligatorio. Strutturare un sistema di disclosure coerente richiede tempo: formule standard, policy interna, adattamenti per canale. Meglio farlo adesso con calma.
Leggi anche:
Pubblicità dentro le AI: cosa sta per succedere
Come fare in modo che ChatGPT citi la tua azienda
FAQ Le domande più frequenti sull'AI Act per le PMI
L'AI Act riguarda anche le piccole aziende?
Sì. Non esiste una soglia dimensionale minima. Se usi sistemi AI in un contesto professionale nell'UE, sei nel perimetro della norma.
Se uso solo ChatGPT, sono soggetto all'AI Act?
Dipende da come lo usi. Per scrivere bozze di testi: rischio minimo, nessun obbligo specifico AI Act (ma il GDPR si applica se inserisci dati personali). Per selezionare candidati o valutare dipendenti: alto rischio, obblighi stringenti.
Cosa succede se non mi adeguo?
Le sanzioni AI Act possono arrivare fino al 3% del fatturato globale annuo per le violazioni degli obblighi di trasparenza (art. 50) e per i sistemi ad alto rischio, fino al 7% per le violazioni delle pratiche vietate (art. 5).
Ho già fatto il GDPR. Devo fare qualcosa di nuovo?
Sì. L'AI Act aggiunge un nuovo strato. Se usi AI su dati personali, le informative GDPR vanno aggiornate, il registro dei trattamenti va integrato con i sistemi AI utilizzati, e per i sistemi ad alto rischio potrebbe essere necessaria una nuova DPIA.
Cosa significa "grandfathering" del Digital Omnibus?
Il Regolamento Digital Omnibus, approvato nel 2026, ha introdotto un regime transitorio per i sistemi AI già operativi prima dell'entrata in vigore delle scadenze di conformità: questi sistemi beneficiano di un periodo di adeguamento esteso. I sistemi nuovi adottati dopo devono invece essere conformi fin dall'adozione. I sistemi ad alto rischio già operativi prima delle scadenze beneficiano di un periodo transitorio: le nuove scadenze sono il 2 dicembre 2027 per i sistemi ad alto rischio autonomi e il 2 agosto 2028 per quelli integrati in prodotti. I sistemi nuovi adottati dopo devono essere conformi fin dall'adozione. Se stai valutando di implementare sistemi AI per HR, scoring o valutazione, farlo adesso, con consapevolezza del profilo di compliance, è più gestibile che farlo tra un anno.
Da dove inizio?
Dal webinar che trovi qui. 90 minuti, con Roberto Cazzaro (CEO Unique) e Andrea Testa (esperto AI Act, professore IULM). È costruito esattamente per rispondere a questa domanda, con casi concreti per le PMI italiane.
Il percorso con Unique
Unique non è uno studio legale o una piattaforma e-learning.
È il partner che prende una cosa complicata e la rende gestibile, costruendo un sistema di marketing per la crescita.
Formazione AI per il team, adeguamento normativo, consulenza marketing AI: tre filoni che in un'azienda strutturata devono parlare la stessa lingua e procedere insieme. Noi li coordiniamo.
Ecco tre link utili per iniziare:
→ Guarda il Webinar Gratuito
→ Scarica l'ebook: AI Act in Azienda
→ Parliamoci — 20 minuti gratuiti
Fonti primarie:
Regolamento (UE) 2024/1689 — eur-lex.europa.eu
Legge 23 settembre 2025, n. 132 — Gazzetta Ufficiale n. 223 del 25-09-2025
Commissione europea — digital-strategy.ec.europa.eu
