AI Act: cosa cambia il 2 agosto 2026 per le aziende italiane

È la data di applicazione generale del regolamento: da lì vale tutto quello che non ha una scadenza propria, a partire dagli obblighi di trasparenza dell'articolo 50 e dal grosso della vigilanza del mercato. In Italia la vigilanza fa capo ad ACN e AgID secondo la legge 132/2025, i cui decreti attuativi su controlli e sanzioni sono in corso di approvazione.

Due cose che senti dire su questa data, però, non stanno nel regolamento. Il regime sanzionatorio non nasce qui: il capo XII è applicabile dal 2 agosto 2025, tranne l'articolo 101, per l'articolo 113, terzo comma, lettera b). E gli obblighi sui sistemi ad alto rischio il 2 agosto 2026 non scattano affatto: il regolamento (UE) 2026/1744 li ha rinviati al 2 dicembre 2027 e al 2 agosto 2028.

Quello che invece resta vero, ed è il punto che ti riguarda: l'obbligo di formazione del personale (Art. 4) non nasce il 2 agosto 2026, è applicabile dal 2 febbraio 2025. Chi ha aspettato non ha guadagnato tempo: ha accumulato un periodo che non può documentare.

Quasi certamente sì. L'AI Act si applica a chiunque utilizzi sistemi di intelligenza artificialein ambito professionale, non solo a chi li sviluppa. Se in azienda qualcuno usa ChatGPT per scrivere un'email, un traduttore automatico, un CRM con funzioni predittive o un gestionale con l'assistente AI, l'azienda è un "deployer" ai sensi del regolamento.

Non conta la dimensione: l'obbligo di alfabetizzazione vale per la PMI di 10 persone come per la multinazionale. Cambia solo la complessità dell'adeguamento.

Fino al 7% del fatturato mondiale annuo, o 35 milioni di euro, per le violazioni più gravi. È il tetto massimo previsto dall'articolo 99 del Regolamento (UE) 2024/1689, che fissa tre soglie a seconda di cosa è stato violato:

Il punto che di solito manca negli articoli allarmistici: per le PMI e le start-up si applica il minore dei due importi, non il maggiore. Su un fatturato modesto la percentuale è una cifra contenuta, ed è quella che vale: "rischi 35 milioni" detto a una piccola impresa è semplicemente falso.

Non i massimali della tabella qui sopra, che con la regola dell'importo minore restano cifre lontane per un'azienda di venti persone. Il rischio concreto è un altro: in caso di controllo o di contenzioso (un incidente, un licenziamento contestato, un danno da uso scorretto dell'AI), non poter dimostrare di aver formato il personale è un'aggravante documentale che pesa anche sul piano civilistico e assicurativo.

Il percorso minimo di adeguamento per un'azienda che usa AI:

1. Formare il personaleche usa strumenti di AI, con evidenza documentabile (attestato nominale, contenuti tracciati, verifica dell'apprendimento), come da Art. 4 già in vigore.
2. Censire i sistemi AI in uso in un registro aziendale: quali strumenti, chi li usa, per cosa, con quali dati.
3. Adottare una policy internasull'uso dell'AI: cosa è permesso, cosa è vietato, come trattare i dati aziendali e personali.
4. Tenere tutto aggiornato: la normativa evolve (decreti attuativi, linee guida ACN/AgID) e i documenti fermi al 2025 non proteggono nel 2027.

I primi tre passi si completano in giorni, non mesi: quello che conta è partire prima che l'onda dei controlli, e dei fornitori e clienti che chiedono evidenze, arrivi.