L’AI Act entra pienamente in vigore

Dal 2 agosto 2026 il Regolamento europeo sull’intelligenza artificiale — il Regolamento (UE) 2024/1689, meglio noto come AI Act — diventa pienamente applicabile. Dietro il linguaggio tecnico c’è un principio che chiunque può capire al volo: da quella data ognuno di noi ha il diritto di sapere, in modo chiaro ed esplicito, se ciò che legge, ascolta o guarda è opera di una persona o di una macchina.

Per le imprese, anche le più piccole, non è un dettaglio. È il momento in cui l’intelligenza artificiale smette di essere una zona grigia e diventa un ambito regolato, con obblighi precisi e sanzioni concrete.

Un percorso annunciato da due anni

Il 2 agosto non arriva a sorpresa. L’AI Act è entrato in vigore il 1° agosto 2024 e da allora la sua applicazione procede a tappe. Dal 2 febbraio 2025 sono vietate le pratiche a “rischio inaccettabile” — come il social scoring o la sorveglianza di massa — ed è già operativo l’obbligo di alfabetizzazione all’IA (art. 4): chi mette l’intelligenza artificiale nelle mani dei propri collaboratori deve assicurarsi che sappiano usarla con consapevolezza. Dal 2 agosto 2025 si applicano le regole sui modelli di IA per finalità generali, la governance europea e l’apparato sanzionatorio.

Il 2 agosto 2026 è però lo spartiacque vero: da questa data si applica il resto del regolamento, ovvero il pacchetto di obblighi che coinvolge la platea più ampia di soggetti. Ulteriori scadenze seguiranno tra il 2027 e il 2030 per i sistemi ad alto rischio integrati in prodotti regolamentati e per i sistemi già sul mercato, ma per la stragrande maggioranza delle aziende il conto alla rovescia finisce adesso.

Il cuore della novità: l’articolo 50 e la trasparenza

L’impatto più immediato per le imprese arriva dagli obblighi di trasparenza dell’articolo 50. E su questa scadenza non conviene sperare in rinvii: mentre il pacchetto Digital Omnibus ha rimodulato alcuni termini del regolamento, il 2 agosto 2026 è rimasto fermo. La Commissione europea ha anzi pubblicato le linee guida definitive per accompagnare fornitori e utilizzatori nell’applicazione pratica di questi obblighi — un segnale chiaro che la fase di attesa è finita.

Gli obblighi si possono riassumere in quattro regole.

1. I chatbot devono dichiararsi. Se la tua azienda usa un assistente virtuale, un chatbot per l’assistenza clienti, un sistema vocale per le prenotazioni o uno strumento automatico di primo contatto commerciale, quel sistema deve essere progettato in modo che l’utente capisca subito, senza ambiguità, di stare parlando con una macchina. L’unica eccezione è il caso in cui la natura artificiale sia già evidente dal contesto. In pratica: vanno riviste schermate, messaggi di benvenuto, risposte vocali e percorsi cliente.

2. I contenuti sintetici vanno marcati. Testi, immagini, audio e video generati dall’IA devono essere riconoscibili come artificiali, con una marcatura in formato leggibile dalle macchine, nei limiti della fattibilità tecnica. Per i sistemi già sul mercato prima del 2 agosto 2026 c’è una finestra di adeguamento in più: il pacchetto Digital Omnibus, approvato di recente a livello europeo, sposta il termine fino al 2 dicembre. Chi integra strumenti di generazione di contenuti farebbe bene a chiedere fin d’ora ai propri fornitori quali marcature offrono e quanto resistono alle modifiche successive.

3. I deepfake vanno etichettati. Chi usa sistemi che creano o alterano immagini, audio o video con effetto realistico deve dichiarare che il contenuto è stato generato o manipolato artificialmente. Restano escluse le opere chiaramente artistiche, satiriche o creative.

4. L’informazione generata dall’IA va dichiarata. Se pubblichi testi prodotti dall’intelligenza artificiale per informare il pubblico su temi di interesse generale, l’uso dell’IA va reso esplicito — a meno che il contenuto non sia passato attraverso un controllo umano ed editoriale, con una persona che se ne assuma la responsabilità. L’obiettivo non è frenare la tecnologia, ma costruire una catena di responsabilità chiara: chi approva, chi controlla, chi risponde.

Un concetto attraversa tutte e quattro le regole: la trasparenza non è un’etichetta da incollare al prodotto finito. È un requisito da assumere fin dalla progettazione del sistema — trasparenza by design — esattamente come è avvenuto con la privacy nel GDPR. Chi sceglie o integra oggi uno strumento di IA dovrebbe valutarlo anche su questo.

Il quinto obbligo di cui si parla poco: emozioni e biometria

C’è un adempimento che nella maggior parte dei riassunti passa in secondo piano. Chi impiega sistemi di riconoscimento delle emozioni o di categorizzazione biometrica — ad esempio a fini di marketing, nel retail, agli eventi o nella sicurezza privata — deve informare le persone esposte del funzionamento di questi strumenti, e il trattamento dei dati deve rispettare in pieno le regole europee sulla protezione dei dati personali. È un tema che tocca da vicino negozi, luoghi di lavoro e servizi al pubblico, spesso senza che chi ha adottato la tecnologia se ne sia reso conto.

“Ma io non sviluppo IA”: perché riguarda anche te

Un equivoco frequente: pensare che l’AI Act riguardi solo chi costruisce sistemi di intelligenza artificiale. Il regolamento distingue tra fornitori (chi sviluppa e immette sul mercato) e deployer (chi utilizza sistemi di IA nella propria attività). La PMI che ha attivato il chatbot incluso nel gestionale, che genera immagini per i social o che usa un assistente vocale per le prenotazioni rientra nel perimetro come utilizzatore, anche se non ha scritto una riga di codice. Obblighi diversi, ma comunque obblighi.

Sanzioni — e non solo

Le violazioni degli obblighi di trasparenza possono costare fino a 15 milioni di euro o al 3% del fatturato annuo mondiale, prendendo l’importo più alto tra i due, con soglie proporzionate per PMI e startup. Ma ridurre il rischio alle multe sarebbe un errore di prospettiva: la responsabilità connessa all’uso dell’IA è già una realtà, come dimostrano i primi casi di professionisti italiani sanzionati per aver depositato documenti contenenti errori generati da strumenti di intelligenza artificiale. La domanda non è “quanto rischio di pagare”, ma “so rispondere di ciò che i miei strumenti producono?”.

Il vero problema non sono le multe: è la mappa che manca

Il quadro dell’adeguamento in Italia viaggia a due velocità. Le organizzazioni più strutturate hanno già censito i sistemi in uso, adottato policy interne e definito controlli. Molte piccole imprese e molti professionisti, invece, non dispongono ancora nemmeno di una mappatura degli strumenti di IA che utilizzano ogni giorno — spesso perché l’IA è arrivata “di lato”, dentro software e servizi già in uso.

E qui sta il punto: non si può mettere in regola ciò che non si è ancora messo a fuoco.

Da dove partire

Il primo passo non richiede consulenze faraoniche. Richiede metodo:

1. Censire: gli strumenti di IA effettivamente in uso in azienda, compresi quelli integrati in software di terzi.
2. Classificare: quali interagiscono con le persone? Quali generano contenuti? Quali trattano dati biometrici o emozionali?
3. Verificare: quali obblighi dell’articolo 50 si applicano a ciascuno.
4. Adeguare: interfacce, informative, disclaimer e marcature, coinvolgendo i fornitori.
5. Formalizzare: una policy interna sull’uso dell’IA: chi può usare cosa, per quali finalità, con quali controlli e approvazioni.
6. Formare: le persone: l’alfabetizzazione all’IA non è un optional, è già un obbligo dal febbraio 2025.

Da lì, l’adeguamento diventa un percorso gestibile — non un’emergenza.

Il nostro approccio

Come Società Benefit, in FinGreenTech crediamo che la tecnologia debba essere adottata in modo responsabile e trasparente — che è esattamente lo spirito dell’AI Act. Per questo partiamo sempre dalla mappatura: capire quali sistemi usi, dove l’IA entra nei tuoi processi e cosa va dichiarato. Se vuoi arrivare al 2 agosto sapendo dove sei, il primo confronto è gratuito.