AI Act dopo il 2 agosto 2026: cosa deve fare davvero una PMI

Ad agosto ho letto di tutto sull’AI Act e le PMI. C’era chi diceva che era stato rinviato tutto e chi parlava di sanzioni milionarie in arrivo domani mattina. Come spesso succede, la verità sta nel mezzo. E siccome in azienda mi occupo anche della governance dell’intelligenza artificiale, mi sono messo a fare ordine.

Premessa doverosa: non sono un avvocato. Questo è il punto di vista di chi l’AI la deve far usare bene a 90 colleghi. Per i casi specifici, un legale ci vuole.

Cosa ha cambiato il Digital Omnibus

Il pacchetto chiamato Digital Omnibus è diventato il Regolamento (UE) 2026/1744, pubblicato il 24 luglio ed entrato in vigore il 27 luglio 2026. Non sospende l’AI Act: sposta in avanti gli obblighi più pesanti, cioè quelli sui sistemi ad alto rischio, e lascia in piedi quasi tutto il resto.

Secondo la ricostruzione di Digitalic, i sistemi ad alto rischio elencati nell’Allegato III passano dal 2 agosto 2026 al 2 dicembre 2027. Sono quelli usati per esempio nella selezione del personale, nella gestione dei lavoratori, nell’istruzione e nella biometria. I sistemi integrati in prodotti già regolati, come dispositivi medici o macchinari, slittano invece al 2 agosto 2028.

Cosa vale già oggi per una PMI

Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell’articolo 50. In pratica: chi parla con un chatbot deve sapere che sta parlando con un’AI, e i contenuti sintetici e i deepfake vanno resi riconoscibili come tali. Per la marcatura tecnica dei contenuti generati c’è un po’ di margine in più: i sistemi già sul mercato hanno tempo fino al 2 dicembre 2026. Le sanzioni per chi non rispetta questi obblighi arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale.

Poi c’è l’alfabetizzazione sull’AI, l’articolo 4, che si applica dal 2 febbraio 2025. Qui le letture non sono tutte uguali. L’Omnibus ne ha ammorbidito la formulazione, ma secondo Agenda Digitale non l’ha eliminata. Il mio consiglio è semplice: considera la formazione delle persone una priorità comunque. Non tanto per paura delle sanzioni, quanto perché il rischio vero è un collega che incolla un contratto riservato in un chatbot gratuito.

Come ho impostato la policy AI in azienda

Nella realtà in cui lavoro la situazione di partenza era quella di tante PMI: ognuno usava lo strumento che preferiva, con il proprio account personale, senza regole. Il primo passo è stato scegliere uno strumento standard per tutti. Noi siamo passati da ChatGPT a Gemini, che era già dentro il nostro Google Workspace e quindi sotto il controllo dell’amministrazione. Claude è rimasto disponibile per richieste specifiche, approvate dal management.

Il secondo passo è stato scrivere una policy interna vera. Adesso sto preparando il documento di compliance collegato, che passerà anche da una revisione legale esterna. Non ti serve un documento di trenta pagine per partire. Secondo me una buona policy AI per una PMI risponde a poche domande chiare.

• Quali strumenti si possono usare, e con quale account.
• Quali dati non devono mai finire in un prompt: dati personali, contratti, offerte, informazioni dei clienti.
• Chi approva le eccezioni e i nuovi strumenti.
• Quando un contenuto generato va dichiarato come tale.
• Come e quando si fa formazione alle persone.

Il resto viene dopo. La cosa importante è che le regole siano scritte, conosciute e sensate, perché una policy che nessuno legge vale zero.

AI Act e PMI: da dove partire questa settimana

Se sei in una PMI e non hai ancora fatto niente, non farti prendere dal panico. Parti da una mappatura veloce: quali strumenti AI usano davvero le persone, per fare cosa, e con quali dati. Ti sorprenderà, te lo garantisco. Poi scegli uno strumento ufficiale, scrivi due pagine di regole e organizza un’ora di formazione. Se hai un chatbot sul sito, controlla che dica chiaramente di essere un’AI.

L’AI Act per le PMI non è un mostro, ma nemmeno una cosa da rimandare al 2027 solo perché qualcuno ha scritto “rinvio” nel titolo. Di sicurezza e compliance parlo spesso nella categoria Sicurezza & Compliance, mentre per l’AI usata sul lavoro c’è la categoria Intelligenza Artificiale.