AI Act: che cosa deve fare davvero la vostra azienda, e quando

Il regolamento europeo sull'intelligenza artificiale non impone gli stessi obblighi a tutti. La prima cosa da stabilire non e' che cosa dovete fare, ma in quale ruolo vi trovate: da li' discende tutto il resto, e quasi tutta la confusione nasce dal saltare questo passaggio.

Il ruolo, prima di tutto

• Fornitore: chi sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato con il proprio nome. Anche personalizzare in modo sostanziale un sistema altrui e metterci il vostro marchio vi puo' far diventare fornitori.
• Utilizzatore (deployer): chi impiega un sistema sotto la propria autorita' nell'ambito della propria attivita'. E' il ruolo della stragrande maggioranza delle aziende italiane.

La differenza e' sostanziale: il fornitore risponde della conformita' del sistema, l'utilizzatore risponde di come lo usa. Comprare da un fornitore conforme non azzera i vostri obblighi, li cambia.

Che cosa e' gia' in vigore

• Dal 2 febbraio 2025: il divieto delle pratiche inaccettabili e l'obbligo di alfabetizzazione. Quest'ultimo riguarda anche gli utilizzatori e non ha eccezioni per dimensione: chi usa sistemi di AI deve avere un livello di competenza adeguato al contesto e ai rischi.
• Dal 2 agosto 2025: gli obblighi per i modelli per finalita' generali e l'impianto di governance e sanzionatorio.
• Dal 2 agosto 2026: l'applicabilita' generale, compresi gli obblighi di trasparenza verso le persone — dichiarare che si sta interagendo con un sistema automatico, marcare i contenuti generati artificialmente.

Che cosa e' stato rinviato

Il regolamento di modifica noto come Digital Omnibus, Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, ha spostato in avanti gli obblighi sui sistemi ad alto rischio: 2 dicembre 2027 per i sistemi autonomi elencati nell'allegato, 2 agosto 2028 per quelli che sono componenti di sicurezza di prodotti gia' regolati da normativa settoriale.

Attenzione a come si legge questa notizia. Non e' un alleggerimento generale: e' uno spostamento delle scadenze lontane. Divieti, sanzioni, alfabetizzazione e obblighi di trasparenza restano dove erano. Se qualcuno vi ha detto «l'AI Act e' slittato», vi ha detto una cosa vera per una parte del regolamento e falsa per la parte che vi riguarda oggi.

I quattro adempimenti che non aspettano

1. Censire che cosa gira gia'. Quasi tutte le aziende hanno piu' sistemi di AI di quanti pensino: funzioni attivate dentro gestionali, CRM, strumenti di posta e di recruiting. Un elenco con il responsabile di ciascuno e' il documento di base, e non lo ha quasi nessuno.
2. Formare chi li usa, e conservarne traccia. E' un obbligo in vigore, ed e' anche cio' che vi consente di dimostrare la diligenza se qualcosa va storto.
3. Scrivere la regola d'uso: che cosa si puo' e non si puo' mettere negli strumenti esterni. Una pagina, purche' esista e sia stata comunicata.
4. Verificare la trasparenza verso il pubblico: assistenti automatici che si dichiarano, contenuti generati marcati.

Se poi vi trovate a usare sistemi nelle aree ad alto rischio — selezione del personale, accesso a servizi essenziali, credito — il rinvio vi da' tempo per prepararvi, non un motivo per non farlo. Il modo di stabilirlo e' in AI Act: come classificare in pratica i vostri sistemi.