L’AI Act è il regolamento europeo che disciplina lo sviluppo, l’immissione sul mercato e l’utilizzo dei sistemi di intelligenza artificiale nell’Unione europea.
Quando si parla di AI Act ed entrata in vigore, però, bisogna distinguere due momenti: il regolamento è entrato formalmente in vigore il 1° agosto 2024, mentre la sua applicazione è stata distribuita nel tempo attraverso un calendario progressivo. Dal 2 agosto 2026 la maggior parte delle disposizioni è applicabile, ma alcuni obblighi erano già operativi dal 2025 e altre norme entreranno pienamente in gioco tra il 2027 e il 2028, secondo il quadro normativo europeo sull’AI Act.
Per un’azienda, quindi, la domanda utile non è soltanto:
“L’AI Act è già in vigore?”
ma:
“Quali obblighi si applicano oggi ai sistemi di AI che utilizziamo e quale ruolo ricopre la nostra organizzazione?”
AI Act: entrata in vigore e calendario di applicazione
Il calendario oggi rilevante può essere riassunto così:
| Data | Cosa cambia |
|---|---|
| 1 agosto 2024 | Entrata in vigore dell’AI Act |
| 2 febbraio 2025 | Definizioni, primi divieti e AI literacy |
| 2 agosto 2025 | Governance europea e obblighi per i modelli GPAI |
| 27 luglio 2026 | Entrata in vigore delle modifiche introdotte dall’AI Omnibus |
| 2 agosto 2026 | Applicazione generale, trasparenza ed enforcement per le disposizioni applicabili |
| 2 dicembre 2026 | Ulteriori divieti e termine transitorio per specifici obblighi dell’articolo 50(2) |
| 2 dicembre 2027 | Regole high-risk per i sistemi dell’Allegato III |
| 2 agosto 2028 | Regole high-risk per sistemi incorporati nei prodotti regolamentati dell’Allegato I |
Il testo consolidato dell’AI Act e il calendario ufficiale dell’Unione europea confermano il rinvio delle disposizioni high-risk rispettivamente al 2027 e al 2028.
Cosa cambia per le imprese dal 2 agosto 2026?
Il 2 agosto 2026 rappresenta uno dei passaggi più importanti del regolamento.
Da questa data sono diventati applicabili ed effettivamente azionabili, tra gli altri, gli obblighi di trasparenza per determinate categorie di sistemi AI, le regole relative ai modelli di AI per finalità generali e i poteri di enforcement delle autorità competenti, come riepilogato nelle FAQ ufficiali sull’applicazione dell’AI Act.
Questo interessa direttamente aziende che utilizzano, per esempio:
- chatbot rivolti al pubblico;
- assistenti virtuali;
- sistemi generativi;
- strumenti che producono immagini, audio o video sintetici;
- software AI inseriti nei processi aziendali.
Non significa però che ogni impresa debba rispettare lo stesso identico elenco di requisiti.
L’AI Act segue infatti un approccio basato sul rischio.
L’AI Act si basa sul livello di rischio
Il regolamento non considera tutti i sistemi di intelligenza artificiale nello stesso modo.
In termini pratici possiamo distinguere:
rischio inaccettabile, per specifiche pratiche vietate;
alto rischio, per determinati sistemi utilizzati in settori o processi particolarmente sensibili;
obblighi di trasparenza, per alcune applicazioni che interagiscono con persone o generano contenuti sintetici;
rischio minimo o limitato, per molti altri utilizzi.
Questo significa che il nome della tecnologia non basta a determinare gli obblighi.
Lo stesso modello linguistico potrebbe essere utilizzato per correggere una mail interna oppure diventare parte di un sistema che influenza la selezione di candidati.
Il software può essere lo stesso. Il caso d’uso cambia completamente il profilo di rischio.
Per le aziende che stanno ancora definendo dove e come introdurre l’AI, questo principio è centrale anche in una strategia più ampia di intelligenza artificiale per aziende.
Pratiche di AI vietate
Prima di chiedersi se un sistema sia ad alto rischio, occorre verificare che il suo utilizzo non rientri tra le pratiche proibite.
L’AI Act vieta specifici impieghi considerati incompatibili con diritti fondamentali e valori dell’Unione, comprese determinate forme di manipolazione, sfruttamento delle vulnerabilità, social scoring e alcuni utilizzi biometrici.
Una prima parte dei divieti è applicabile dal 2 febbraio 2025. Ulteriori divieti introdotti nel quadro aggiornato del 2026 entreranno in applicazione dal 2 dicembre 2026, secondo il calendario applicativo ufficiale.
Per una PMI ordinaria questi casi possono apparire lontani dalle attività quotidiane, ma la logica rimane importante:
prima di classificare il rischio di un sistema bisogna verificare che il caso d’uso sia consentito.
Chi è soggetto all’AI Act?
L’AI Act assegna obblighi diversi in funzione del ruolo ricoperto.
Il provider, o fornitore, è il soggetto che sviluppa o fa sviluppare un sistema AI e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio.
Il deployer è invece chi utilizza il sistema AI sotto la propria autorità nell’ambito di un’attività professionale.
Sono previsti inoltre ruoli per importatori, distributori, rappresentanti autorizzati e altri operatori.
Per molte aziende italiane che acquistano o utilizzano software AI già esistenti, il ruolo più frequente sarà quindi quello di deployer.
Questo non significa però essere esenti da responsabilità.
Usare ChatGPT, Copilot o altri strumenti AI fa scattare automaticamente tutti gli obblighi?
No.
Il semplice utilizzo di uno strumento di AI non determina automaticamente l’applicazione dell’intero pacchetto di requisiti previsto per i sistemi ad alto rischio.
Bisogna analizzare:
strumento → finalità → dati → persone coinvolte → conseguenze → ruolo dell’azienda
Utilizzare un assistente generativo per creare una prima bozza di testo non equivale a utilizzare un sistema AI per classificare lavoratori, decidere l’accesso a un servizio essenziale o valutare automaticamente dei candidati.
Una buona governance parte quindi da un inventario dei casi d’uso, non dal semplice elenco dei marchi o dei software installati.
Provider, deployer e modelli GPAI
La distinzione dei ruoli è particolarmente importante anche per i modelli di AI per finalità generali, o GPAI.
I provider di questi modelli sono soggetti a specifici obblighi previsti dall’AI Act.
Un’impresa che utilizza un modello GPAI attraverso un servizio esterno, invece, non assume automaticamente gli stessi obblighi di chi ha sviluppato o immesso sul mercato quel modello.
Allo stesso modo, gli obblighi previsti per provider e deployer di sistemi high-risk sono differenti: il provider può essere responsabile, per esempio, di documentazione, gestione della qualità e valutazione della conformità, mentre il deployer deve utilizzare il sistema nel perimetro previsto, assicurare la supervisione richiesta e monitorarne il funzionamento.
È proprio per questo che una AI Governance aziendale dovrebbe partire dall’identificazione del ruolo effettivamente ricoperto dall’organizzazione.
AI literacy: un obbligo già applicabile
Uno dei requisiti più trasversali dell’AI Act riguarda l’AI literacy, cioè il livello di conoscenza e consapevolezza delle persone che utilizzano sistemi di intelligenza artificiale.
L’articolo 4 dell’AI Act richiede a provider e deployer di adottare misure volte a sostenere lo sviluppo delle competenze del personale e delle altre persone che utilizzano sistemi AI per loro conto, considerando esperienza, formazione e contesto di utilizzo.
Non significa che ogni dipendente debba seguire lo stesso corso.
Un collaboratore che utilizza un generatore di testi dovrà comprendere, per esempio, affidabilità delle risposte, gestione dei dati e necessità di verifica.
Una persona che supervisiona un agente AI collegato a CRM o software operativi dovrà invece conoscere anche permessi, possibili azioni, escalation e rischi derivanti dall’autonomia del sistema.
Trasparenza: chatbot e contenuti generati dall’AI
Dal 2 agosto 2026 sono applicabili gli obblighi di trasparenza dell’articolo 50 dell’AI Act.
Fra questi, i sistemi progettati per interagire direttamente con persone devono essere sviluppati in modo che gli interessati siano informati che stanno interagendo con un sistema AI, salvo che la natura artificiale dell’interazione sia già evidente.
Esistono inoltre obblighi specifici relativi a contenuti sintetici, deepfake e determinate applicazioni biometriche.
Per un’azienda questo può avere conseguenze concrete su customer care, chatbot, assistenza digitale e produzione di contenuti.
Non basta quindi chiedersi:
“La nostra AI funziona?”
Serve anche chiedersi:
“L’utente capisce correttamente quando sta interagendo con un sistema artificiale?”
Sistemi ad alto rischio: quando si applicano le regole?
Uno dei punti più delicati dell’AI Act riguarda i sistemi high-risk.
Le disposizioni relative ai casi dell’Allegato III si applicheranno dal 2 dicembre 2027. Fra i settori interessati figurano, a determinate condizioni, biometria, infrastrutture critiche, istruzione, occupazione, migrazione e accesso ad alcuni servizi essenziali.
Per i sistemi high-risk incorporati nei prodotti regolamentati dell’Allegato I, l’applicazione è prevista dal 2 agosto 2028, come indicato nelle FAQ ufficiali sulle scadenze dell’AI Act.
Per le imprese assume particolare rilevanza l’utilizzo dell’AI nei processi HR.
Un sistema che filtra candidature o influenza decisioni sui lavoratori può avere un profilo molto diverso rispetto a un assistente utilizzato esclusivamente per migliorare la forma di un annuncio.
Ancora una volta: la finalità conta più della tecnologia utilizzata.
AI Act e GDPR: due normative diverse ma spesso collegate
L’AI Act e il GDPR non sono la stessa normativa.
Il GDPR disciplina il trattamento dei dati personali.
L’AI Act disciplina invece sistemi AI, ruoli, livelli di rischio e specifici obblighi legati alla loro progettazione e utilizzo.
Un sistema può quindi dover rispettare entrambe le normative.
Una soluzione AI che utilizza dati di clienti o dipendenti deve essere valutata anche sotto il profilo di base giuridica, minimizzazione, accessi, conservazione e sicurezza dei dati personali.
È anche per questo che una strategia di AI privata aziendale può diventare rilevante quando l’intelligenza artificiale deve lavorare sul patrimonio informativo dell’impresa.
Governance europea e autorità italiane
L’attuazione dell’AI Act coinvolge istituzioni europee e autorità nazionali.
In Italia, la legge 23 settembre 2025, n. 132 ha designato AgID e ACN come Autorità nazionali per l’intelligenza artificiale, mantenendo inoltre specifiche competenze di autorità settoriali come Banca d’Italia, CONSOB e IVASS.
Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato in Gazzetta Ufficiale l’8 ottobre 2026, integra ulteriormente l’adeguamento della normativa nazionale; la sua entrata in vigore è fissata al 23 ottobre 2026.
Questo passaggio è significativo perché il quadro dell’AI Act non è più soltanto un insieme di principi europei: sta assumendo una struttura operativa sempre più concreta anche a livello nazionale.
Sanzioni: quanto si rischia?
L’AI Act prevede sanzioni differenziate in funzione della violazione.
La violazione delle pratiche vietate può arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore.
Per altre violazioni degli obblighi previsti per operatori e organismi notificati, le sanzioni possono arrivare fino a 15 milioni di euro o al 3% del fatturato mondiale annuo. La norma prevede inoltre criteri specifici che tengono conto anche della situazione delle PMI.
Il punto operativo, però, non dovrebbe essere spaventare l’azienda con il massimo teorico della multa.
La domanda più utile è:
“Sappiamo quali sistemi AI stiamo usando, per quale finalità e sotto la responsabilità di chi?”
Cosa dovrebbe fare un’azienda oggi?
Una checklist pratica può partire da otto attività:
- Censire i sistemi AI utilizzati da reparti, dipendenti e fornitori.
- Identificare il ruolo dell’azienda per ogni sistema.
- Descrivere il caso d’uso reale, non soltanto lo strumento.
- Classificare il rischio e verificare eventuali pratiche vietate.
- Controllare dati, GDPR e sicurezza.
- Gestire AI literacy e formazione.
- Verificare trasparenza e supervisione umana.
- Documentare responsabilità, modifiche e monitoraggio.
Il risultato dovrebbe essere un inventario vivo dei sistemi AI, non un documento prodotto una volta e poi dimenticato.
AI Governance: trasformare gli obblighi in un processo aziendale
La compliance non è una verifica una tantum.
Nuovi strumenti vengono introdotti, i modelli cambiano, i provider aggiornano i servizi e i casi d’uso evolvono.
Per questo la normativa deve essere trasformata in una vera AI Governance.
Media Strategies ha dedicato a questo approccio una struttura fondata su alcuni principi operativi: Registro Aziendale dei Sistemi AI, supervisione umana, valutazione dei rischi, aggiornamento delle competenze, monitoraggio normativo e integrazione con le procedure per protezione dei dati e sicurezza delle informazioni.
L’approccio adottato parte da un principio molto semplice:
l’intelligenza artificiale propone, le persone mantengono la responsabilità delle decisioni.
Questa impostazione è particolarmente importante quando un sistema AI smette di essere soltanto uno strumento di produttività e inizia a interagire con dati, clienti o processi aziendali.
Agenti AI: più autonomia significa più governance
Il tema diventa evidente con gli agenti AI.
Un normale chatbot può limitarsi a produrre una risposta.
Un agente può invece:
recuperare informazioni → scegliere strumenti → eseguire attività → aggiornare sistemi
Aumentano quindi i punti da controllare:
identità → permessi → dati → strumenti → azioni → logging → supervisione
L’AI Act non considera automaticamente ogni agente un sistema ad alto rischio. Anche qui la classificazione dipende dal caso d’uso.
Ma più cresce l’autonomia operativa, più diventa importante disporre di limiti e responsabilità ben definiti.
Media Brain: sicurezza, controllo dei dati e AI Governance
Nel progetto Media Brain la sicurezza non dovrebbe essere letta come la semplice promessa che “l’AI è conforme”.
Nessun software, da solo, può rendere automaticamente conforme un’organizzazione.
La logica di Media Brain è invece quella di costruire un cervello aziendale nel quale conoscenza, memoria, strumenti e dati possano essere utilizzati dall’AI all’interno di un perimetro governato.
Un primo elemento riguarda il controllo del dato. L’architettura Private AI è pensata per permettere all’azienda di mantenere sotto controllo le proprie informazioni e decidere quali contenuti rendere disponibili al sistema.
Un secondo elemento riguarda la separazione dei contesti. Documenti e procedure alimentano la Knowledge, informazioni su clienti, fornitori, persone e progetti vengono organizzate nella Business Memory, mentre le conversazioni mantengono il proprio contesto. L’obiettivo non è rendere tutto accessibile indistintamente, ma consentire all’AI di utilizzare le informazioni pertinenti al compito.
Il terzo elemento riguarda permessi e strumenti. Quando Media Brain interroga un gestionale, un CRM o altri sistemi aziendali, il principio di sicurezza è che l’AI possa utilizzare soltanto le risorse necessarie al processo autorizzato.
Infine c’è la governance organizzativa: la politica di AI Governance di Media Strategies prevede supervisione umana, valutazione dei rischi, utilizzo responsabile dei dati, aggiornamento delle competenze e monitoraggio normativo. La società dichiara inoltre di coordinare l’utilizzo dell’AI con le proprie procedure di protezione dei dati personali e sicurezza delle informazioni.
In pratica, la sicurezza di Media Brain va letta come un insieme di livelli:
dati sotto controllo → accessi definiti → contesto separato → strumenti autorizzati → supervisione → monitoraggio
È una differenza importante.
La sicurezza non consiste nell’impedire all’AI di conoscere l’azienda. Consiste nel permetterle di conoscere solo ciò che serve, nel momento in cui serve e nel perimetro autorizzato.
Le prossime scadenze dell’AI Act
Dopo il 2 agosto 2026, il calendario non è concluso.
Le principali date successive sono:
2 dicembre 2026 → ulteriori divieti e termine transitorio relativo ad alcuni obblighi di marcatura dei contenuti;
2 dicembre 2027 → applicazione delle regole per i sistemi high-risk dell’Allegato III;
2 agosto 2028 → applicazione delle regole high-risk per i sistemi incorporati nei prodotti regolamentati dell’Allegato I, secondo il calendario ufficiale dell’AI Act.
Questo significa che una soluzione AI introdotta oggi dovrebbe essere progettata considerando anche gli obblighi che potrebbero diventare applicabili durante il suo ciclo di vita.
Da dove partire per adeguarsi all’AI Act
L’AI Act non dovrebbe spingere le imprese a bloccare l’intelligenza artificiale.
Dovrebbe spingerle a conoscerla e governarla meglio.
Una sequenza efficace è:
censire → classificare → governare → formare → monitorare
Una PMI che utilizza pochi strumenti può partire da un inventario, una policy e un percorso di AI literacy.
Un’organizzazione che utilizza agenti, sistemi rivolti al pubblico o AI integrata in processi decisionali avrà invece bisogno di una struttura più articolata.
Un percorso di consulenza sull’intelligenza artificiale può partire proprio dalla verifica dei processi, dei dati e dei rischi prima di scegliere modelli e piattaforme.
L’obiettivo non è semplicemente “essere conformi”.
È costruire un sistema in cui l’AI possa essere utilizzata con responsabilità, controllo e valore operativo.
