AI Act: cosa devono fare davvero le imprese sarde nel 2026

Il calendario aggiornato a ottobre 2026

L'AI Act è il Regolamento (UE) 2024/1689 e si applica a tappe. Il pacchetto di semplificazione chiamato AI Omnibus, in vigore dal 27 luglio 2026, ha spostato le date dell'alto rischio. Oggi il quadro, secondo la Commissione europea, è questo:

• 2 febbraio 2025: valgono le pratiche vietate e l'obbligo di alfabetizzazione in materia di IA (art. 4);
• 2 agosto 2025: governance e regole per i modelli di IA di uso generale;
• 2 agosto 2026: si applica la maggior parte delle regole, compresa la trasparenza dell'art. 50, e le autorità iniziano a vigilare;
• 2 dicembre 2026: scattano due nuovi divieti, sui contenuti sessuali intimi non consensuali e sul materiale pedopornografico generati con l'IA;
• 2 dicembre 2027: regole per i sistemi ad alto rischio dell'Allegato III, per esempio quelli per selezionare il personale;
• 2 agosto 2028: alto rischio nei prodotti regolati dell'Allegato I, come giocattoli e ascensori.

Alfabetizzazione: l'obbligo che hai già

L'art. 4 chiede a chi usa sistemi di IA di adottare misure per far crescere le competenze del proprio personale e di chi lavora per suo conto. Con l'AI Omnibus il testo è cambiato: l'obbligo resta, ma non devi garantire un livello preciso di competenza a ogni persona. Contano le misure che prendi, in proporzione al ruolo, all'esperienza e agli strumenti usati.

La Commissione precisa che non serve alcun certificato: basta un registro interno delle formazioni o delle altre iniziative. Non serve nemmeno un responsabile dell'IA. Chi usa un assistente di IA generativa per scrivere o tradurre deve conoscere almeno i rischi principali, come le allucinazioni. Per organizzare la formazione c'è la guida dedicata (Formazione IA in azienda: l'obbligo dell'AI Act e come organizzarla).

Pratiche vietate: poche, ma da conoscere

L'art. 5 vieta usi dell'IA che in una piccola impresa sono rari ma non impossibili. Per un datore di lavoro contano soprattutto tre divieti: dedurre le emozioni delle persone sul luogo di lavoro o nelle scuole, salvo motivi medici o di sicurezza; classificare le persone con un punteggio sociale che porta a un trattamento sfavorevole ingiustificato; usare tecniche manipolative che distorcono il comportamento e causano danni significativi.

Se un fornitore ti propone un software che legge l'umore di dipendenti o candidati da voce o volto, fermati e chiedi un parere prima di attivarlo.

Trasparenza (art. 50): cosa tocca a chi usa l'IA

L'art. 50 si applica dal 2 agosto 2026. Buona parte degli obblighi è del fornitore dello strumento: il chatbot deve far capire che parli con una macchina e i contenuti generati devono essere marcati in formato leggibile dalle macchine. Chi usa lo strumento, il deployer, ha due obblighi principali:

• dichiarare che un'immagine, un audio o un video che costituisce un deep fake è stato generato o manipolato con l'IA; per le opere evidentemente artistiche, creative o satiriche basta un'indicazione che non ne impedisca la fruizione;
• dichiarare che un testo è stato generato o manipolato con l'IA, quando lo pubblichi per informare il pubblico su questioni di interesse pubblico, a meno che una persona lo abbia rivisto o sia sotto controllo editoriale con un responsabile.

Cosa conta come deep fake e cosa no

Per il Regolamento un deep fake è un contenuto generato o manipolato con l'IA che assomiglia a persone, oggetti, luoghi o eventi esistenti e potrebbe sembrare autentico a chi lo guarda. La dichiarazione va data in modo chiaro e distinguibile, al più tardi alla prima esposizione.

Le mail ai clienti e le descrizioni di prodotto non rientrano nella seconda ipotesi, che parla solo di testi pubblicati per informare su questioni di interesse pubblico. Se produci immagini o video con l'IA, valuta caso per caso se possano passare per autentici.

Alto rischio: rinviato, non cancellato

L'Allegato III classifica come ad alto rischio i sistemi usati per selezionare candidati, decidere su condizioni di lavoro, promozioni o licenziamenti, assegnare compiti in base al comportamento o a tratti personali, monitorare e valutare le prestazioni. Per questi sistemi gli obblighi si applicano dal 2 dicembre 2027.

Da deployer dovrai usare il sistema secondo le istruzioni, affidare la sorveglianza a persone competenti, conservare per almeno sei mesi i log che controlli e informare i lavoratori e i loro rappresentanti prima di metterlo in servizio (art. 26). Un sistema dell'Allegato III può non essere ad alto rischio se non comporta un rischio significativo e non influenza materialmente l'esito della decisione (art. 6, par. 3). Se un fornitore sostiene questo, chiedigli per iscritto su quali basi.

In Italia: legge 132/2025 e decreto 179/2026

La legge 23 settembre 2025, n. 132 è in vigore dal 10 ottobre 2025. Per i datori di lavoro l'art. 11 prevede che l'IA sul lavoro sia sicura, affidabile e trasparente e che il lavoratore sia informato nei casi dell'art. 1-bis del D.Lgs. 152/1997. Per i professionisti l'art. 13 limita l'IA ad attività strumentali e di supporto e impone di comunicare al cliente, con linguaggio chiaro, semplice ed esaustivo, le informazioni sui sistemi usati.

L'8 ottobre 2026 è stato pubblicato in Gazzetta Ufficiale il D.Lgs. 7 ottobre 2026, n. 179, che adegua l'Italia all'AI Act. Indica ACN e AgID come autorità nazionali. All'art. 41 stabilisce che il datore di lavoro che usa l'IA non può prendere la decisione finale su costituzione, modifica o fine del rapporto solo con un trattamento automatizzato: decide una persona fisica, e le decisioni prese in violazione sono nulle. La ricerca e selezione delle candidature è esclusa da questo divieto.

Per le regole regionali c'è l'articolo dedicato (Legge sarda sull'intelligenza artificiale: cosa cambia per le imprese). Verifica con il tuo consulente legale la data di entrata in vigore del decreto.

Sanzioni, e cosa non serve fare

Le multe massime dell'art. 99 sono fino a 35 milioni di euro o il 7% del fatturato per le pratiche vietate, e fino a 15 milioni o il 3% per gli obblighi dei deployer di alto rischio e per la trasparenza dell'art. 50. Per le PMI si applica il valore più basso tra importo e percentuale. Il D.Lgs. 179/2026 riprende questi importi (art. 23) e permette, per violazioni di scarsa gravità, un ordine di eliminare l'infrazione al posto della multa (art. 22). L'art. 4 non compare nell'elenco delle multe, ma resta un obbligo, vigilato dalle autorità nazionali.

Per l'uso a basso rischio non devi fare tre cose:

• registrarti: l'art. 49 impone la registrazione nella banca dati europea ai fornitori di sistemi ad alto rischio e, tra gli utilizzatori, solo alle autorità pubbliche;
• ottenere un certificato di formazione o nominare un responsabile IA: la Commissione dice che non servono;
• pagare tasse o inviare documenti ad AgID o ACN: nei testi della legge 132/2025 e del decreto 179/2026 non risulta nulla del genere a carico delle imprese che usano l'IA.

I 5 passi da fare adesso

Per una piccola impresa il lavoro è soprattutto di organizzazione e di carta. Questo è l'ordine che consigliamo:

• Fai l'inventario degli strumenti di IA che usate, comprese le funzioni di IA dentro i gestionali: chi li usa, per cosa, con quali dati.
• Controlla i divieti: nessuno strumento deve dedurre le emozioni di dipendenti o classificare persone con punteggi che le penalizzano.
• Forma le persone e tieni un registro: data, argomenti, partecipanti. Calibra il livello sul ruolo di ciascuno.
• Scrivi due regole sulla trasparenza: chi rivede i testi che pubblichi e come dichiari immagini, audio e video generati. Se sei un professionista, decidi come informi il cliente (art. 13 della legge 132/2025).
• Verifica gli strumenti che toccano il personale: se aiutano a selezionare, valutare o assegnare compiti, parlane con il fornitore e prepara l'informativa ai lavoratori. Per chi può aiutarti a impostare la formazione c'è la pagina dedicata (Formazione AI e innovazione).

Domande frequenti