Il 90% dei webinar sull'AI Act parla solo dell'AI Act.
È comprensibile: è la norma nuova, quella di cui tutti parlano. Ma per una PMI italiana che deve decidere cosa fare concretamente, ragionare solo sull'AI Act significa capire un terzo del quadro — e costruire un adeguamento che non regge.
Il perimetro normativo reale per chi usa AI in azienda è composto da quattro livelli che si applicano insieme. Ignorarne anche solo uno significa trovarsi esposti da un lato anche quando si è coperti dall'altro.
Questa guida mappa il perimetro completo, aggiornato a luglio 2026, con le scadenze corrette dopo l'approvazione definitiva del Digital Omnibus.
Per un inquadramento generale su cosa significa usare AI in azienda sotto il profilo normativo, leggi prima la guida completa all'AI Act per le aziende.
Nota: questo articolo offre una panoramica operativa aggiornata. Per un'analisi specifica della tua situazione aziendale, il punto di partenza corretto è un percorso strutturato con un partner esperto.
Il perimetro in quattro livelli: come funzionano insieme
Il perimetro normativo per chi usa l’AI in azienda non è formato da regole alternative ma da regole che si sommano. Ogni livello risponde a una domanda diversa e lascia scoperto quello che gli altri coprono.
L'AI Act (Regolamento UE 2024/1689) risponde alla domanda: stai usando l'AI in modo sicuro e trasparente?
Stabilisce le pratiche vietate, classifica i sistemi per categoria di rischio, definisce gli obblighi di trasparenza per chi usa l’AI in contesti professionali(configurandosi come provider o deployer) e fissa le scadenze per l'adeguamento. È il quadro generale che vale per tutti.
Il GDPR (Regolamento UE 2016/679) risponde alla domanda: stai trattando i dati personali nel rispetto dei diritti delle persone?
Si applica ogni volta che un sistema AI tratta dati personali. E lo fa quasi sempre. Non è stato sostituito dall'AI Act: si applica in parallelo, con obblighi propri su base giuridica, informativa, registro dei trattamenti, eventuale DPIA e accordi con i responsabili del trattamento.
Il Codice del Consumo (D.Lgs. 206/2005, aggiornato con D.Lgs. 26/2023) risponde alla domanda: stai comunicando in modo corretto con i consumatori?
L'AGCM (Autorità Garante della Concorrenza e del Mercato) sanziona le pratiche commerciali ingannevoli e aggressive con o senza uso di AI. Le sanzioni aggiornate, dopo il recepimento della Direttiva Omnibus con il D.Lgs. 26/2023, arrivano da 5.000 a 10.000.000€, raddoppiate in caso di inottemperanza. Quando il Codice del Consumo e l'AI Act confliggono su come proteggere il consumatore, vince il Codice del Consumo (Art. 3, par. 9, AI Act).
Le piattaforme rispondono alla domanda: stai rispettando le nostre regole (se non lo fai, ti spengono)?
Meta, Google, TikTok hanno policy proprie sull'AI nei contenuti pubblicitari, spesso più stringenti delle norme UE, e le fanno rispettare in tempo reale, senza procedimento formale, senza preavviso. Per molte PMI, il rischio più immediato nel 2026 non è la sanzione normativa: è la sospensione delle campagne paid.
AI Act: le scadenze aggiornate dopo il Digital Omnibus
Questo è il punto dove più aziende stanno lavorando con informazioni datate. Il Digital Omnibus, approvato definitivamente dal Consiglio UE nel 2026, ha modificato il calendario originario dell'AI Act in modo rilevante.
Cosa rimane invariato:
- 2 febbraio 2025 - Divieto delle pratiche AI inaccettabili (Art. 5) e obbligo di alfabetizzazione AI del personale (Art. 4). Già in vigore.
- 2 agosto 2025 - Obblighi per i modelli AI per finalità generali (GPAI). Già in vigore.
- 2 agosto 2026 - Obblighi di trasparenza per chatbot, contenuti AI-generated e sistemi conversazionali (Art. 50 AI Act). Questa scadenza non è stata rinviata.
Cosa è stato rinviato dal Digital Omnibus:
- Sistemi ad alto rischio indipendenti (recruiting AI, scoring creditizio, sistemi di valutazione): dal 2 agosto 2026 al 2 dicembre 2027.
- Sistemi ad alto rischio integrati in prodotti (componenti di sicurezza): al 2 agosto 2028.
Cosa è stato anticipato:
- 2 dicembre 2026 - Divieto dei sistemi di nudificazione non consensuale (modifica Art. 5) e obbligo di marcatura machine-readable dei contenuti AI-generated da parte dei fornitori.
La lettura corretta del Digital Omnibus non è "ci siamo guadagnati tempo". È: gli obblighi di trasparenza del 2 agosto 2026 restano esigibili tra meno di un mese da ora, e i sistemi ad alto rischio che erano in produzione prima delle scadenze originarie hanno un periodo transitorio. I nuovi sistemi adottati dopo devono essere conformi fin dall'adozione.
Per il dettaglio di tutte le scadenze: Le 3 date AI Act che ogni imprenditore deve conoscere nel 2026
GDPR + AI Act: non sono due percorsi, sono due strati dello stesso problema
L'errore più comune che vediamo nelle aziende è trattare il GDPR e l'AI Act come due progetti separati, con due budget, due consulenti, due timeline. Non funziona così, e chi prova a farlo finisce per fare il doppio del lavoro con la metà della copertura.
Quando un sistema AI tratta dati personali - e quasi sempre lo fa, perché quasi ogni sistema AI riceve input che contengono o generano informazioni su persone - entrambi i regolamenti si attivano simultaneamente.
Un esempio concreto: un chatbot sul sito aziendale che risponde ai clienti.
Sotto l'AI Act (Art. 50): dal 2 agosto 2026 l'utente deve sapere che sta interagendo con un sistema AI, non con un essere umano. Obbligo del deployer - l'azienda che lo ha installato.
Sotto il GDPR (Art. 13): l'informativa privacy deve menzionare il chatbot come strumento di trattamento, il fornitore del sistema come responsabile del trattamento (Art. 28), la base giuridica del trattamento dei dati raccolti durante la conversazione.
Sotto il Codice del Consumo: se il chatbot risponde a domande su prodotti o prezzi, le risposte devono essere accurate e non ingannevoli, indipendentemente da chi o cosa le ha generate.
Tre normative, un solo chatbot, un solo adeguamento da fare.
Un aggiornamento recente da tenere presente: il 10 giugno 2026 la Commissione europea ha pubblicato il Code of Practice on Transparency of AI-Generated Content, redatto dall'AI Office. Non è vincolante come norma, ma chi vi aderisce può dimostrare più facilmente la conformità all'Art. 50 alle autorità di vigilanza. Per le PMI che producono contenuti con AI, aderire al codice è una scorciatoia pratica per documentare la compliance.
Per approfondire leggi l’articolo Dichiarare l'AI nel marketing: guida pratica
Il Codice del Consumo: il rischio che molti sottovalutano
L'AI Act viene percepito come la novità normativa più urgente. Il Codice del Consumo è quello che può colpirti più velocemente, perché l'AGCM è operativa da vent'anni e non aspetta nuove normative per intervenire.
Il principio è semplice: qualsiasi comunicazione commerciale che induca in errore il consumatore su caratteristiche del prodotto, prezzo, disponibilità o natura del contenuto è una pratica commerciale scorretta ai sensi degli articoli 20-23 del Codice del Consumo, sia che sia stata generata con o senza AI.
Se generi con l’AI un'immagine di prodotto che mostra una tonalità di colore diversa da quella reale: pratica ingannevole.
Se usi un testimonial sintetico che sembra reale senza dichiararlo: pratica ingannevole.
Se un chatbot risponde a domande sul prodotto con informazioni non accurate: pratica ingannevole.
Se pubblichi recensioni generate con AI senza dichiararlo: pratica ingannevole (e potenzialmente anche violazione dell'Art. 50 AI Act).
Le sanzioni aggiornate dal D.Lgs. 26/2023 sono:
- Da 5.000 a 10.000.000€ per pratiche commerciali scorrette
- Fino al 4% del fatturato realizzato in Italia per operatori transfrontalieri
- Sanzioni raddoppiate in caso di inottemperanza ai provvedimenti
Il caso Trustpilot sanzionato dall'AGCM nel marzo 2026 per meccanismi ingannevoli nella gestione delle recensioni è un segnale recente e concreto: l'Autorità sta guardando con attenzione le pratiche digitali che alterano la percezione del consumatore, e l'AI aggiunge strati nuovi di complessità a questo rischio.
Le piattaforme: il quarto livello che agisce in tempo reale
Meta, Google e TikTok non aspettano le autorità nazionali. Le loro policy sull'AI nei contenuti pubblicitari vengono applicate algoritmicamente, con effetti immediati sulle campagne.
Le aree di attenzione concrete nel 2026:
Meta
Richiede la dichiarazione di contenuti AI-generated nelle inserzioni che includono immagini, video o audio creati o significativamente modificati con AI, con particolare attenzione ai contenuti che riguardano temi sociali o politici. La mancata dichiarazione comporta il rifiuto dell'inserzione o la sospensione dell'account.
Ha aggiornato le policy su contenuti AI e annunci politici nel settembre 2025. Per le PMI che non operano in ambito politico, l'area di attenzione principale riguarda i contenuti che potrebbero essere considerati deepfake o misrepresentation (immagini di prodotti generate con AI che non corrispondono al prodotto reale).
TikTok
Richiede etichettatura esplicita per i contenuti AI-generated, sia organici che paid.
La logica operativa Le piattaforme si adeguano spesso in anticipo rispetto alle norme, e lo fanno in modo più diretto, senza procedimenti formali. Una PMI che struttura il proprio sistema di disclosure pensando solo alle scadenze AI Act potrebbe scoprire che Meta o Google hanno già cambiato le regole del gioco.
Leggi anche: Pubblicità dentro le AI: cosa sta per succedere
Cosa fare in concreto: un framework integrato, non quattro progetti
La risposta giusta al perimetro in quattro livelli non è avere quattro consulenze separate. È definire un unico framework che risponde a tutti e quattro insieme.
In pratica, per una PMI che parte da zero, il percorso ha questa sequenza:
- Gap analysis integrata. Mappare tutti i sistemi AI in uso (inclusi quelli con AI embedded come Copilot in Microsoft 365), classificarli per categoria di rischio AI Act, verificare i trattamenti di dati personali coinvolti, e identificare i contenuti di marketing AI-generated o AI-assisted. Un inventario, non quattro.
- Aggiornamento GDPR. Integrare i sistemi AI nel registro dei trattamenti, aggiornare le informative con riferimento ai fornitori AI come responsabili del trattamento (Art. 28 GDPR), verificare le DPA con i provider, valutare DPIA per i trattamenti ad alto rischio.
- Policy AI interna. Un documento operativo che definisce quali tool sono autorizzati, come si usano, cosa non si inserisce mai in un prompt, chi approva gli usi non standard. Coerente con AI Act, GDPR e Codice del Consumo insieme.
- Sistema di disclosure per i contenuti AI. Formule standard per canale (sito, email, social, paid), adattate alle policy delle singole piattaforme. Da strutturare e implementare prima del 2 agosto 2026.
- Formazione del personale. Art. 4 AI Act, già esigibile dal febbraio 2025. Non un corso teorico sulla normativa ma una sessione pratica su cosa si fa e cosa non si fa, con esempi concreti dal lavoro quotidiano dei partecipanti.
Approfondisci leggendo Formare i dipendenti sull'AI: cosa dice la legge e come farlo
Come fare in modo che ChatGPT citi la tua azienda
In sintesi
- Il perimetro normativo per chi usa l’AI in azienda è composto da quattro livelli: AI Act, GDPR, Codice del Consumo e policy delle piattaforme. Si applicano insieme, non in alternativa.
- Le sanzioni AGCM per pratiche commerciali scorrette arrivano fino a 10.000.000€ dopo l'aggiornamento del D.Lgs. 26/2023 - non il vecchio range 30.000-500.000€.
- Il Digital Omnibus ha rinviato gli obblighi sui sistemi ad alto rischio al 2027-2028, ma gli obblighi di trasparenza dell'Art. 50 restano al 2 agosto 2026.
- Il Code of Practice on Transparency of AI-Generated Content, pubblicato il 10 giugno 2026, offre un percorso pratico per documentare la conformità all'Art. 50.
- La risposta alle nuove norme è un framework integrato che mappa i sistemi AI, aggiorna il GDPR, produce una policy interna e struttura la disclosure — tutto insieme.
FAQ
L'AI Act sostituisce il GDPR?
No. Sono due regolamenti distinti con oggetti diversi: il GDPR protegge i dati personali delle persone, l'AI Act garantisce che i sistemi AI siano sicuri e trasparenti. Quando un sistema AI tratta dati personali - quasi sempre - si applicano entrambi simultaneamente. In caso di conflitto su specifiche disposizioni, prevale il GDPR (Art. 2, par. 7, AI Act).
L'AGCM può sanzionarmi per come uso l'AI nel marketing?
Sì, indipendentemente dall'AI Act. Il Codice del Consumo si applica a qualsiasi pratica commerciale scorretta, AI o non AI. Le sanzioni aggiornate arrivano fino a 10.000.000€. Se un contenuto AI-generated inganna il consumatore su caratteristiche del prodotto, prezzo o natura del contenuto, è una pratica ingannevole ai sensi degli articoli 21-22 del Codice del Consumo.
Le policy delle piattaforme sono obbligatorie come le leggi?
Sul piano normativo, no. Sul piano operativo, sì: violarle comporta il rifiuto delle inserzioni o la sospensione dell'account, con effetti immediati sul business e senza procedimento formale o preavviso. Per molte PMI che dipendono dal paid advertising, il rischio piattaforma è più immediato del rischio sanzionatorio normativo.
Il Digital Omnibus ha rinviato la scadenza del 2 agosto 2026?
No. Il Digital Omnibus ha rinviato gli obblighi sui sistemi ad alto rischio (recruiting AI, scoring creditizio, ecc.) al 2027-2028. Gli obblighi di trasparenza dell'Art. 50 - chatbot, contenuti AI-generated, sistemi conversazionali - restano al 2 agosto 2026. Questa è la scadenza più rilevante per la maggior parte delle PMI italiane.
Cosa devo dichiarare concretamente dal 2 agosto 2026?
Tre cose, ai sensi dell'Art. 50 del Regolamento UE 2024/1689: (1) che un chatbot o assistente virtuale è un sistema AI e non un essere umano; (2) che un contenuto audio, video o immagine che assomiglia a persone o situazioni reali è stato generato o modificato con AI (deepfake); (3) che un testo pubblicato su questioni di interesse pubblico è stato generato con AI, salvo che sia stato revisionato da una persona fisica che ne assume la responsabilità editoriale.
Ho già fatto il GDPR tre anni fa. Devo fare qualcosa di nuovo?
Sì. Se nella tua azienda si usano sistemi AI che trattano dati personali, il GDPR già in vigore richiede aggiornamenti specifici: le informative privacy devono menzionare i sistemi AI come strumenti di trattamento, i fornitori AI vanno inseriti nel registro come responsabili del trattamento con DPA firmati (Art. 28 GDPR), e per i sistemi ad alto rischio potrebbe essere necessaria una nuova DPIA. Il GDPR del 2018 non prevedeva questi casi, quindi l'aggiornamento è necessario.
