Il 2 agosto 2026 rappresenta una data importante per l’applicazione dell’AI Act, il regolamento europeo sull’intelligenza artificiale. Da questa data diventano infatti applicabili gran parte delle disposizioni previste dal regolamento e, in particolare, gli obblighi di trasparenza relativi a chatbot, deepfake e alcuni contenuti generati o modificati con sistemi di intelligenza artificiale.
L’AI Act, tuttavia, non entra in vigore il 2 agosto 2026. Il regolamento europeo è già entrato ufficialmente in vigore il 1° agosto 2024, ma ha previsto un’applicazione graduale delle diverse regole.
Alcuni obblighi sono quindi già attivi, mentre altri entreranno in applicazione solamente nel 2027 o nel 2028.
Per le imprese, comprese le PMI, diventa essenziale comprendere quali strumenti di intelligenza artificiale vengono utilizzati, con quali finalità e con quali possibili conseguenze per clienti, lavoratori e utenti.
Sommario
Che cos’è l’AI Act
L’AI Act è il regolamento con cui l’Unione europea ha introdotto un quadro normativo comune per lo sviluppo, la commercializzazione e l’utilizzo dei sistemi di intelligenza artificiale.
Si tratta del Regolamento europeo 2024/1689, approvato con l’obiettivo di favorire lo sviluppo di un’intelligenza artificiale affidabile, tutelando contemporaneamente la sicurezza, i diritti fondamentali e le persone.
L’AI Act in Europa si applica sia alle organizzazioni che sviluppano e commercializzano sistemi di intelligenza artificiale, sia alle aziende che li utilizzano nell’ambito della propria attività professionale.
AI Act: cosa prevede in base al livello di rischio
L’AI Act non impone gli stessi obblighi a tutti i sistemi di intelligenza artificiale: le regole dipendono dalla finalità concreta per cui viene utilizzata la tecnologia e dal rischio che tale utilizzo può comportare.
Sistemi a rischio inaccettabile
Sono sistemi o pratiche considerati incompatibili con i valori e i diritti tutelati dall’Unione europea, e quindi vietati.
Rientrano in questa categoria, per esempio, alcune tecniche manipolative, il social scoring e alcune forme di identificazione o categorizzazione biometrica.
Sistemi ad alto rischio
Sono sistemi utilizzati in contesti in cui una decisione automatizzata può incidere in modo significativo sulla sicurezza, sui diritti o sulle opportunità di una persona.
Possono rientrare in questa categoria alcuni sistemi utilizzati per:
- selezionare o valutare candidati durante un processo di assunzione;
- monitorare o valutare le prestazioni dei lavoratori;
- stabilire l’accesso a determinati servizi essenziali;
- valutare l’affidabilità creditizia delle persone;
- gestire infrastrutture critiche;
- supportare decisioni in ambito scolastico, giudiziario o sanitario;
- controllare componenti di sicurezza integrate in determinati prodotti.
Per questi sistemi sono previsti obblighi più rigorosi in materia di gestione del rischio, qualità dei dati, documentazione, tracciabilità, supervisione umana, accuratezza e sicurezza.
Sistemi soggetti a obblighi di trasparenza
Questa categoria comprende sistemi che possono indurre una persona a credere di interagire con un essere umano oppure di trovarsi davanti a un contenuto autentico.
È il caso, per esempio, dei chatbot, degli assistenti virtuali, dei deepfake e di alcuni contenuti prodotti con l’intelligenza artificiale generativa.
Le principali disposizioni di questa categoria si applicano dal 2 agosto 2026.
Sistemi a rischio minimo o limitato
Molti strumenti utilizzati quotidianamente dalle aziende rientrano nella categoria a rischio minimo.
L’utilizzo dell’AI per creare una prima bozza di un’e-mail, riassumere un documento, tradurre un testo o generare idee non comporta automaticamente obblighi complessi.
Anche in questi casi, tuttavia, l’azienda dovrebbe definire regole interne per evitare l’inserimento di dati riservati e verificare i risultati generati.
Quali obblighi dell’AI Act sono già in vigore per le aziende
Formazione e AI literacy
Dal 2 febbraio 2025, i fornitori e gli utilizzatori professionali di sistemi AI devono adottare misure per garantire un livello adeguato di conoscenza e consapevolezza da parte del personale che utilizza tali strumenti.
Non è necessariamente richiesto un corso certificato o un percorso uguale per tutte le aziende; una PMI che utilizza ChatGPT solamente per preparare testi commerciali avrà esigenze differenti rispetto a un’impresa che impiega un sistema AI per valutare curriculum, analizzare dati sanitari o prendere decisioni sui lavoratori.
Divieto di alcune pratiche AI
Le aziende devono inoltre verificare di non utilizzare strumenti che rientrino tra le pratiche vietate.
Un esempio particolarmente rilevante per il mondo del lavoro riguarda i sistemi che dichiarano di riconoscere o dedurre le emozioni dei dipendenti attraverso il volto, la voce o altri dati biometrici.
Salvo circostanze particolari previste dalla normativa, come determinate finalità mediche o di sicurezza, il riconoscimento delle emozioni nei luoghi di lavoro è vietato.
Cosa cambia dal 2 agosto 2026: gli obblighi di trasparenza
L’articolo 50 dell’AI Act introduce specifici obblighi di trasparenza per consentire alle persone di capire quando stanno interagendo con un sistema AI oppure quando sono esposte a contenuti generati o manipolati artificialmente.
La Commissione europea distingue gli obblighi dei provider, cioè di chi sviluppa o commercializza un sistema con il proprio nome, da quelli dei deployer, cioè delle aziende che utilizzano il sistema sotto la propria responsabilità.
Nella maggior parte dei casi, una PMI che utilizza soluzioni sviluppate da terzi sarà considerata deployer. Un’azienda può però diventare provider quando sviluppa un sistema, lo fa sviluppare e lo commercializza con il proprio marchio oppure modifica in modo sostanziale una soluzione esistente.
Chatbot e assistenti virtuali
Quando un sistema AI interagisce direttamente con una persona, questa deve essere informata fin dall’inizio e in modo chiaro di stare comunicando con un’intelligenza artificiale.
Non è quindi sufficiente inserire l’indicazione solamente nelle condizioni generali del servizio o all’interno dell’informativa privacy.
Un chatbot utilizzato sul sito o nell’e-commerce potrebbe, per esempio, aprire la conversazione con una formula come:
“Ciao, sono l’assistente virtuale AI di [nome dell’azienda]. Come posso aiutarti?”
Deepfake: immagini, video e audio realistici
L’AI Act definisce deepfake un contenuto audio, visivo o video generato o manipolato dall’intelligenza artificiale che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti, plausibili o realmente verificabili e che potrebbe apparire autentico.
Il concetto non riguarda quindi solamente i video falsi di personaggi pubblici. Può essere necessario dichiarare l’utilizzo dell’AI anche nel caso di:
- una modella virtuale fotorealistica che indossa i prodotti di un e-commerce;
- una voce sintetica difficilmente distinguibile da una voce umana;
- la rappresentazione realistica di un edificio mai costruito;
- un ambiente aziendale creato artificialmente ma presentato come una fotografia;
- un prodotto inserito tramite AI all’interno di una scena realistica;
- un video che ricostruisce un evento mai avvenuto.
La valutazione dipende anche dal contesto e dalle aspettative del pubblico. Se il contenuto è chiaramente illustrativo, artistico, satirico o fantastico, la possibilità che venga interpretato come autentico diminuisce; quando invece l’immagine, il video o l’audio possono ragionevolmente essere scambiati per reali, il contenuto deve essere segnalato in modo chiaro.
Testi generati con l’intelligenza artificiale
Non tutti i testi scritti con ChatGPT o con altri strumenti generativi devono essere etichettati: l’obbligo riguarda i testi che vengono pubblicati con lo scopo di informare il pubblico su questioni di interesse generale.
Tra gli argomenti potenzialmente interessati rientrano:
- politica e processi democratici;
- pubblica amministrazione;
- giustizia e sicurezza pubblica;
- salute;
- tutela dell’ambiente;
- diritti fondamentali;
- sicurezza dei consumatori;
- sviluppi economici, finanziari, scientifici o culturali rilevanti per il dibattito pubblico.
L’etichettatura non è necessaria quando il testo è stato sottoposto a un’effettiva revisione umana e una persona o un’organizzazione si assume la responsabilità della pubblicazione.
La revisione deve riguardare la sostanza del contenuto e comprendere, quando necessario, il controllo dei fatti, delle fonti e dell’attendibilità delle informazioni. Una semplice correzione di refusi o grammatica non è considerata sufficiente.
Riconoscimento delle emozioni e categorizzazione biometrica
Le persone devono essere informate quando vengono esposte a sistemi AI di riconoscimento delle emozioni o di categorizzazione biometrica nei casi in cui tali sistemi siano consentiti.
Resta comunque necessario verificare preventivamente che il sistema non rientri tra gli utilizzi vietati dall’AI Act o che non sia soggetto anche alle disposizioni previste dal GDPR.
Cosa non si applica ancora: i sistemi ad alto rischio
Non tutte le regole sui sistemi ad alto rischio diventano applicabili il 2 agosto 2026.
Secondo il nuovo calendario concordato a livello europeo:
- le regole per i sistemi autonomi utilizzati in ambiti ad alto rischio, tra cui biometria, infrastrutture critiche, istruzione, occupazione, migrazione e controllo delle frontiere, si applicheranno dal 2 dicembre 2027;
- le regole per i sistemi AI integrati in prodotti regolamentati, come alcuni macchinari industriali, dispositivi o sistemi robotici, si applicheranno dal 2 agosto 2028.
Quali sono le sanzioni previste dall’AI Act
L’AI Act prevede sanzioni differenziate in base alla gravità della violazione.
Per l’utilizzo di pratiche vietate (rischio inaccettabile), le sanzioni possono raggiungere i 35 milioni di euro o il 7% del fatturato mondiale annuo dell’esercizio precedente.
Per la violazione di altri obblighi previsti dal regolamento, tra cui quelli di trasparenza, le sanzioni possono arrivare fino a 15 milioni di euro o al 3% del fatturato mondiale annuo.
Nell’applicazione delle sanzioni deve essere tenuto conto del principio di proporzionalità, anche in relazione alle piccole e medie imprese.
AI Act: un’opportunità per governare meglio l’intelligenza artificiale
Per molte aziende l’AI Act può rappresentare l’occasione per capire come l’intelligenza artificiale viene già utilizzata e per introdurla nei processi in modo più strutturato, sicuro e realmente utile.
AP Consulting affianca le PMI nella scelta delle tecnologie e nello sviluppo di soluzioni software personalizzate, anche basate sull’intelligenza artificiale. Il nostro obiettivo è progettare strumenti che migliorino concretamente il lavoro delle persone e i risultati dell’azienda.
