Dal 2 agosto 2026 l’AI Act europeo è entrato nella sua fase più visibile per imprese e cittadini. Sono diventati applicabili i nuovi obblighi di trasparenza per chatbot, assistenti virtuali e alcuni contenuti generati o manipolati con l’intelligenza artificiale. Nello stesso momento sono iniziati i controlli da parte delle autorità nazionali e dell’AI Office europeo sulle disposizioni già operative.

Non significa, però, che ogni immagine creata con l’AI debba riportare una scritta o che tutte le aziende debbano affrontare lo stesso livello di adempimenti. Il regolamento segue un principio molto preciso: più elevato è il rischio prodotto da un sistema di intelligenza artificiale, più stringenti sono le regole.

Per le imprese, quindi, la domanda non è più soltanto “utilizziamo l’intelligenza artificiale?”, ma soprattutto: quali sistemi utilizziamo, per quali finalità, su quali dati e con quali effetti sulle persone?

Prima precisazione: l’AI Act non è stato approvato adesso

Il regolamento europeo, formalmente Regolamento (UE) 2024/1689, è entrato in vigore il 1° agosto 2024 e si applica per fasi successive. La vera novità di queste settimane è data da tre eventi:

1. il Digital Omnibus on AI, diventato Regolamento (UE) 2026/1744, è entrato in vigore il 27 luglio 2026 e ha modificato alcune scadenze e alcuni adempimenti;
2. dal 2 agosto 2026 si applicano le regole di trasparenza previste dall’articolo 50 e sono partiti i relativi poteri di controllo;
3. in Italia prosegue il completamento del quadro nazionale, formato dalla legge n. 132/2025 e da due schemi di decreto legislativo approvati dal Governo in via preliminare il 10 giugno 2026, ma non ancora definitivi alla data di aggiornamento di questo articolo.

A chi si applica l’AI Act

Il regolamento riguarda soggetti pubblici e privati, anche stabiliti fuori dall’Unione europea, quando immettono un sistema o un modello di AI nel mercato europeo, lo mettono in servizio nell’UE oppure quando l’output del sistema viene utilizzato nell’Unione.

Per una prima valutazione è importante distinguere almeno due ruoli:

• il fornitore, cioè chi sviluppa un sistema di AI — o lo fa sviluppare — e lo commercializza o lo mette in servizio con il proprio nome o marchio;
• il deployer, termine che nel linguaggio del regolamento indica l’impresa, il professionista o l’ente che utilizza un sistema di AI sotto la propria autorità per un’attività professionale.

Una società che utilizza un chatbot acquistato da un fornitore esterno è normalmente un deployer. Se, invece, sviluppa il chatbot o lo fa realizzare e lo distribuisce con il proprio marchio, potrebbe assumere anche il ruolo di fornitore, con obblighi più estesi.

La Commissione chiarisce inoltre che, quando dipendenti, collaboratori o freelance utilizzano un sistema per conto e sotto la responsabilità di un’azienda, è normalmente l’azienda a restare il deployer. Non è quindi sufficiente esternalizzare la produzione di un contenuto o di un servizio per trasferire automaticamente ogni responsabilità. Le definizioni e gli esempi sono riportati nelle FAQ ufficiali sull’articolo 50.

Restano fuori, con diverse condizioni, gli utilizzi esclusivamente personali e non professionali, alcune attività di ricerca e sviluppo prima della commercializzazione, nonché gli impieghi per finalità militari, di difesa o di sicurezza nazionale. Le eccezioni devono comunque essere valutate caso per caso.

I quattro livelli di rischio

L’AI Act non tratta allo stesso modo un filtro antispam e un sistema che seleziona candidati per un’assunzione. La disciplina è costruita su quattro livelli.

La maggior parte dei sistemi oggi impiegati dalle imprese rientra nel rischio minimo o negli obblighi di trasparenza. Questo non significa libertà assoluta: continuano ad applicarsi, quando pertinenti, GDPR, diritto d’autore, tutela dei consumatori, disciplina del lavoro, segreto aziendale e responsabilità contrattuale o civile.

Cosa è già obbligatorio

Le pratiche vietate

Dal 2 febbraio 2025 sono vietati, con eccezioni molto limitate, otto gruppi di pratiche considerate incompatibili con i diritti fondamentali. Tra queste rientrano:

• tecniche di manipolazione o inganno capaci di provocare un danno significativo;
• sfruttamento dannoso delle vulnerabilità legate, per esempio, all’età, alla disabilità o alla condizione socio-economica;
• sistemi di social scoring;
• valutazione del rischio che una persona commetta un reato basata esclusivamente sulla profilazione o su caratteristiche personali;
• raccolta indiscriminata di immagini da internet o videosorveglianza per creare banche dati di riconoscimento facciale;
• riconoscimento delle emozioni nei luoghi di lavoro e nelle scuole, salvo circoscritte finalità mediche o di sicurezza;
• categorizzazione biometrica diretta a dedurre caratteristiche sensibili protette;
• identificazione biometrica remota in tempo reale negli spazi pubblici per finalità di polizia, salvo eccezioni rigorose.

Dal 2 dicembre 2026 si aggiungerà il divieto dei sistemi destinati a generare o manipolare materiale sessualmente esplicito o intimo non consensuale e materiale di abuso sessuale su minori, comprese le cosiddette applicazioni di “nudificazione”. L’elenco aggiornato è disponibile nella pagina ufficiale della Commissione sul metodo basato sul rischio.

Trasparenza per chatbot, assistenti e AI agent

Dal 2 agosto 2026, quando un sistema interagisce direttamente con una persona, questa deve essere informata in modo chiaro che sta dialogando con un’intelligenza artificiale, salvo che ciò sia già evidente per una persona media ragionevolmente informata e attenta.

L’obbligo di progettare il sistema in questo modo grava sul fornitore. L’impresa che usa una soluzione di terzi deve comunque verificare che l’informazione sia effettivamente presente e corretta; inoltre può diventare essa stessa fornitore se mette in servizio il sistema con il proprio nome o marchio.

L’informazione deve comparire fin dall’inizio della prima interazione, essere riconoscibile e rispettare i requisiti di accessibilità. Rientrano tipicamente in questa regola:

• chatbot di assistenza clienti inseriti in un sito o in un e-commerce;
• assistenti vocali automatici;
• AI agent che dialogano direttamente con clienti o utenti;
• avatar digitali e receptionist virtuali.
• Una formula semplice può essere: “Stai interagendo con un assistente virtuale basato su intelligenza artificiale”. L’avviso, però, non sostituisce l’informativa privacy quando il sistema tratta dati personali.

Marcatura tecnica dei contenuti sintetici

I fornitori di sistemi che generano o manipolano testi, immagini, audio o video devono rendere gli output rilevabili come artificiali mediante marcature in formato leggibile dalla macchina, con soluzioni tecnicamente efficaci, interoperabili, robuste e affidabili.

Questo è principalmente un obbligo del fornitore del sistema, non dell’azienda che si limita a usare uno strumento di terzi. Per i sistemi già immessi sul mercato prima del 2 agosto 2026, il Digital Omnibus ha previsto una transizione limitata fino al 2 dicembre 2026 per questo specifico adempimento tecnico.

Etichetta visibile per i deepfake

L’impresa o il professionista che pubblica un deepfake deve dichiarare, al più tardi alla prima esposizione, che il contenuto è stato generato o manipolato artificialmente. L’avviso deve essere percepibile senza strumenti tecnici: quindi visibile, oppure udibile nel caso di contenuti audio.

Per deepfake si intende un’immagine, un audio o un video generato o manipolato dall’AI che assomiglia a persone, oggetti, luoghi, entità o avvenimenti esistenti o plausibilmente esistenti e che potrebbe apparire autentico o veritiero. La marcatura tecnica incorporata dal fornitore non sostituisce l’etichetta comprensibile al pubblico.

Per opere evidentemente artistiche, creative, satiriche o di fantasia, la dichiarazione può essere resa in modo appropriato senza compromettere la fruizione dell’opera.

Testi di interesse pubblico

Un testo generato o manipolato con l’AI deve essere segnalato quando è pubblicato con lo scopo di informare il pubblico su una materia di interesse pubblico, come politica, salute, sicurezza, ambiente, giustizia, diritti fondamentali o sviluppi economici e scientifici rilevanti per il dibattito pubblico.

L’etichetta non è necessaria se il contenuto è stato sottoposto a un controllo umano o editoriale sostanziale e una persona o un’organizzazione assume la responsabilità editoriale della pubblicazione. Una semplice correzione ortografica o grammaticale non è sufficiente: servono verifica del contenuto, controllo delle fonti e reale possibilità di approvare, modificare o respingere il testo. La distinzione è spiegata nelle FAQ della Commissione sulla trasparenza.

Riconoscimento delle emozioni e categorizzazione biometrica

Chi utilizza sistemi ammessi di riconoscimento delle emozioni o categorizzazione biometrica deve informare le persone esposte al loro funzionamento. Attenzione: alcuni usi, come il riconoscimento delle emozioni sul lavoro o a scuola, sono generalmente vietati; l’obbligo di trasparenza non rende lecito un sistema che ricade in un divieto.

Non è obbligatorio etichettare qualsiasi contenuto creato con l’AI

Questo è uno degli equivoci più diffusi. Per chi utilizza strumenti di terzi, l’AI Act non introduce una generica scritta “creato con AI” su ogni testo o immagine.

In particolare:

• un’immagine evidentemente illustrativa o fantastica non è automaticamente un deepfake;
• un normale intervento di editing assistito — per esempio alcune correzioni standard — può restare escluso dall’obbligo di marcatura tecnica;
• il testo di una pagina prodotto o di una comunicazione commerciale non è automaticamente un testo su una materia di interesse pubblico;
• un articolo di interesse pubblico realmente verificato e approvato da un responsabile editoriale può beneficiare dell’esenzione dall’etichetta;
• i contenuti realizzati e pubblicati prima del 2 agosto 2026 non devono essere etichettati retroattivamente, anche se la Commissione incoraggia a farlo quando utile.

La valutazione dipende dal contenuto, dal grado di realismo, dal contesto di pubblicazione, dal pubblico prevedibile e dalla possibilità che il materiale venga scambiato per autentico. Per campagne pubblicitarie fotorealistiche, testimonial virtuali, clonazione della voce o ricostruzioni di luoghi ed eventi reali è prudente effettuare una verifica specifica.

AI literacy: formazione sì, ma con un obbligo più proporzionato

L’AI Act richiede a fornitori e deployer di adottare misure che sostengano lo sviluppo di un’adeguata alfabetizzazione sull’intelligenza artificiale tra il personale e le persone che utilizzano i sistemi per loro conto.

Il Digital Omnibus ha reso l’obbligo più proporzionato: non è richiesto garantire a ogni individuo uno specifico livello finale di competenza, ma resta necessario adottare misure coerenti con conoscenze, esperienza, ruolo, contesto d’uso e persone potenzialmente coinvolte.

Per una PMI non serve necessariamente un complesso programma di certificazione. È però opportuno poter dimostrare di avere introdotto almeno:

• una breve policy aziendale sull’uso dell’AI;
• un elenco degli strumenti autorizzati;
• indicazioni sui dati che non devono essere inseriti nei servizi esterni;
• formazione differenziata per chi scrive testi, genera immagini, gestisce clienti, seleziona personale o prende decisioni;
• una procedura di verifica umana degli output;
• evidenze delle attività svolte, come materiali formativi, presenze e aggiornamenti.

Per i sistemi ad alto rischio resteranno requisiti più specifici di competenza e formazione per le persone incaricate della sorveglianza umana.

I modelli di AI per finalità generali

Dal 2 agosto 2025 sono applicabili anche le regole dedicate ai fornitori di modelli di AI per finalità generali, i cosiddetti GPAI, che possono essere impiegati per svolgere un’ampia varietà di compiti e diventare la base di numerosi sistemi e servizi.

Gli obblighi riguardano soprattutto chi sviluppa e immette sul mercato questi modelli: documentazione tecnica, informazioni per i soggetti che costruiscono applicazioni a valle, politiche per il rispetto del diritto d’autore e pubblicazione di una sintesi dei contenuti usati per l’addestramento. Per i modelli più avanzati, capaci di generare rischi sistemici, si aggiungono valutazione e mitigazione dei rischi, segnalazione degli incidenti e requisiti di cybersicurezza.

Un’azienda non diventa automaticamente fornitore di un modello GPAI solo perché utilizza un servizio come assistente di scrittura o generatore di immagini. Può però assumere obblighi ulteriori se sviluppa, modifica o distribuisce un proprio sistema basato su quel modello. La Commissione ha pubblicato linee guida e un codice di buone pratiche per i modelli GPAI.

Sistemi ad alto rischio: gli obblighi sono stati rinviati, non cancellati

Il Digital Omnibus ha spostato in avanti l’applicazione delle regole sui sistemi ad alto rischio, soprattutto perché gli standard tecnici necessari non erano ancora disponibili nei tempi previsti.

Le nuove scadenze sono:

• 2 dicembre 2027 per i sistemi ad alto rischio elencati nell’Allegato III, utilizzati in ambiti sensibili come biometria, infrastrutture critiche, istruzione, selezione e gestione dei lavoratori, accesso a servizi essenziali e credito, forze dell’ordine, migrazione, giustizia e processi democratici;
• 2 agosto 2028 per i sistemi ad alto rischio incorporati nei prodotti regolamentati dell’Allegato I, come alcuni macchinari, dispositivi medici, giocattoli e ascensori.

Per questi sistemi saranno richiesti, tra l’altro, gestione del rischio, qualità dei dati, documentazione tecnica, registrazione delle attività, accuratezza, robustezza, cybersicurezza, informazioni per l’utilizzatore, sorveglianza umana e, in alcuni casi, valutazioni di conformità e registrazione nella banca dati europea.

Il rinvio non dovrebbe essere interpretato come un invito ad attendere. Un’azienda che oggi acquista software per filtrare curriculum, valutare dipendenti, attribuire punteggi di affidabilità o supportare decisioni che incidono sulle persone dovrebbe già verificare classificazione, documentazione del fornitore, qualità dei dati, possibilità di controllo umano e condizioni contrattuali. Inoltre, GDPR, norme antidiscriminatorie e disciplina del lavoro continuano ad applicarsi anche prima delle nuove scadenze.

Che cosa ha cambiato il Digital Omnibus on AI

Il Regolamento (UE) 2026/1744, entrato in vigore il 27 luglio 2026, non ha cancellato l’AI Act. Ha introdotto una semplificazione mirata:

• ha rinviato gli obblighi per i sistemi ad alto rischio al 2027 e al 2028;
• ha lasciato invariata la partenza degli obblighi di trasparenza al 2 agosto 2026;
• ha reso più proporzionata la formulazione dell’obbligo di AI literacy;
• ha esteso ad alcune small mid-cap semplificazioni prima riservate alle PMI, come modalità più semplici di documentazione tecnica;
• ha ridotto alcuni oneri di registrazione e reso più flessibile il monitoraggio successivo alla commercializzazione;
• ha ampliato l’accesso alle sandbox regolatorie e previsto anche una futura sandbox europea;
• ha rafforzato e centralizzato alcuni poteri dell’AI Office;
• ha introdotto il nuovo divieto relativo ai contenuti intimi non consensuali e al materiale di abuso sessuale su minori.
• La sintesi ufficiale è disponibile nella comunicazione della Commissione AI Omnibus enters into force.

Il quadro italiano: cosa è già legge e cosa è ancora in discussione

In Italia è in vigore la legge 23 settembre 2025, n. 132, che integra il quadro europeo senza sostituirlo. Tra gli aspetti più rilevanti per imprese e professionisti:

• individua AgID e ACN come autorità nazionali per l’intelligenza artificiale, ferme le competenze delle autorità di settore;
• prevede che l’uso dell’AI nel lavoro sia sicuro, affidabile e trasparente e richiama gli obblighi informativi verso i lavoratori;
• per le professioni intellettuali stabilisce che l’AI abbia funzione strumentale e di supporto e che il cliente sia informato in modo chiaro, semplice ed esaustivo sui sistemi utilizzati;
• riconosce la tutela d’autore alle opere create con l’ausilio dell’AI quando restano il risultato del lavoro intellettuale umano;
• introduce il reato di diffusione illecita di immagini, video o voci falsificati o alterati con AI, quando diffusi senza consenso, idonei a ingannare e capaci di causare un danno ingiusto.

Il testo è consultabile nella Gazzetta Ufficiale n. 223 del 25 settembre 2025.

Il 10 giugno 2026 il Consiglio dei ministri ha inoltre approvato in esame preliminare due schemi di decreto legislativo: uno dedicato a governance, poteri delle autorità, formazione, lavoro e altri ambiti; l’altro all’uso dell’AI nelle attività di polizia e alla responsabilità civile e penale. Alla data del 5 agosto 2026 l’iter parlamentare non è concluso: questi schemi indicano la direzione del quadro nazionale, ma non devono essere presentati come norme già definitive. Lo stato dei lavori è consultabile negli atti del Governo n. 418 e n. 421.

Le sanzioni

L’AI Act stabilisce massimali elevati, ma la sanzione concreta deve essere effettiva, proporzionata e dissuasiva e tiene conto, tra gli altri elementi, della natura e gravità della violazione, della durata, della cooperazione e delle dimensioni dell’impresa.

Per le PMI si applica, per ciascuna categoria, il valore più basso tra l’importo fisso e la percentuale; per le altre imprese il valore più alto. La Commissione conferma che, per le violazioni dell’articolo 50, le sanzioni possono arrivare a 15 milioni di euro o al 3% del fatturato mondiale, con criteri di proporzionalità per PMI e small mid-cap.

Non si tratta quindi di multe automatiche per un’etichetta mancante, ma il rischio non va sottovalutato, soprattutto in presenza di usi sistematici, ingannevoli o lesivi delle persone.

Una checklist operativa per le imprese

Ecco dieci verifiche da avviare subito.

1. Creare un inventario degli strumenti di AI. Includere servizi acquistati, funzionalità integrate in software già in uso, chatbot, automazioni, sistemi di analisi, strumenti creativi e usi non ufficiali da parte del personale.
2. Individuare finalità e persone coinvolte. Uno stesso strumento può avere un rischio diverso se usato per scrivere una bozza oppure per valutare un candidato.
3. Definire il ruolo dell’organizzazione. Capire se si opera come semplice deployer, fornitore, importatore, distributore o produttore di un prodotto che incorpora AI.
4. Classificare il livello di rischio. Verificare pratiche vietate, casi di alto rischio e obblighi di trasparenza.
5. Adeguare subito i punti di contatto con il pubblico. Inserire avvisi chiari su chatbot, assistenti vocali, AI agent e avatar; predisporre etichette per i deepfake nei casi previsti.
6. Stabilire un vero controllo editoriale. Nominare chi verifica fatti, fonti, diritti e adeguatezza dei contenuti prima della pubblicazione.
7. Adottare una policy e formare il personale. Specificare strumenti ammessi, usi vietati, dati da proteggere, procedure di verifica e responsabilità.
8. Controllare privacy, riservatezza e copyright. Evitare l’inserimento indiscriminato di dati di clienti, dipendenti, informazioni sanitarie, segreti commerciali o materiali privi dei necessari diritti.
9. Rivedere fornitori e contratti. Richiedere documentazione, garanzie sulle marcature tecniche, gestione degli incidenti, sicurezza, localizzazione e riutilizzo dei dati, diritti sugli output e supporto alla conformità.
10. Conservare evidenze. Mantenere inventario, valutazioni, versioni delle policy, formazione svolta, controlli editoriali e decisioni adottate, aggiornandoli quando cambiano strumenti o finalità.

Cosa dovrebbe controllare chi gestisce un sito web o un e-commerce

Per un sito aziendale non basta verificare se viene usato ChatGPT per scrivere qualche bozza. È opportuno controllare anche:

• chatbot e sistemi di customer care;
• assistenti alla scelta del prodotto;
• sistemi di raccomandazione e personalizzazione;
• generatori automatici di schede prodotto, immagini, audio e video;
• recensioni o risposte automatiche;
• moduli che classificano richieste, clienti o candidati;
• avatar, testimonial virtuali e clonazione vocale;
• plugin o servizi esterni che hanno introdotto funzioni AI dopo un aggiornamento;
• informative privacy, condizioni contrattuali e flussi di consenso;
• processi con cui l’azienda approva e pubblica i contenuti.

L’obiettivo non è aggiungere un banner generico sull’intelligenza artificiale, ma inserire l’informazione corretta nel punto in cui l’utente incontra davvero il sistema o il contenuto regolato.

Domande frequenti

Devo scrivere “creato con AI” su tutte le immagini?

No. Per il deployer l’etichetta visibile riguarda in particolare i deepfake come definiti dal regolamento. Un’illustrazione chiaramente fantastica non è automaticamente un deepfake. Il fornitore del sistema ha invece propri obblighi di marcatura tecnica per i contenuti sintetici.

Un articolo di blog scritto con l’AI deve essere segnalato?

Non sempre. L’obbligo specifico riguarda testi pubblicati per informare il pubblico su materie di interesse pubblico. Anche in quel caso non è richiesta l’etichetta se vi sono un controllo umano o editoriale sostanziale e una chiara responsabilità editoriale. La sola correzione grammaticale non basta.

Usare un chatbot pubblico per attività interne rende l’azienda “ad alto rischio”?

No, non automaticamente. La classificazione dipende dalla finalità concreta. L’uso per preparare bozze o riassunti è normalmente molto diverso dall’impiego per selezionare persone, concedere credito o assumere decisioni che incidono su diritti e servizi essenziali.

Il rinvio al 2027 significa che oggi non ci sono obblighi per il recruiting automatizzato?

No. Gli obblighi specifici dell’AI Act per i sistemi dell’Allegato III sono rinviati al 2 dicembre 2027, ma restano applicabili già oggi GDPR, norme sul lavoro, non discriminazione, trasparenza e altre disposizioni nazionali. È quindi necessario prepararsi prima dell’acquisto o dell’adozione del sistema.

Una piccola impresa può essere sanzionata?

Sì. Sono previsti criteri più proporzionati e massimali più favorevoli per le PMI, ma non un’esenzione generale.

Governare l’AI è più importante che vietarla

L’AI Act non nasce per impedire alle imprese di utilizzare l’intelligenza artificiale. Chiede piuttosto di farlo in modo consapevole, trasparente e proporzionato al rischio.

Per molte aziende il primo passo non sarà una complessa certificazione, ma un lavoro molto concreto: conoscere gli strumenti già in uso, stabilire regole interne, informare correttamente utenti e clienti, proteggere i dati e mantenere una responsabilità umana effettiva sugli output e sulle decisioni.

Noi possiamo affiancare le imprese nella mappatura tecnica dei sistemi presenti su siti, e-commerce e flussi digitali, nell’adeguamento dei punti di contatto con gli utenti e nella definizione dei processi di produzione e controllo dei contenuti. Quando l’impiego dell’AI coinvolge decisioni sulle persone, dati sensibili o sistemi ad alto rischio, l’analisi tecnica deve essere coordinata con il consulente legale e con il responsabile privacy dell’organizzazione.

Aggiornato al 5 agosto 2026.

Fonti ufficiali principali:

– Commissione europea – AI Act e quadro basato sul rischio
– AI Act Service Desk – Timeline di applicazione
– Commissione europea – Obblighi di trasparenza dell’articolo 50
– Commissione europea – Linee guida sulla trasparenza
– Commissione europea – Entrata in vigore dell’AI Omnibus
– Regolamento (UE) 2026/1744 – AI Omnibus
– Legge italiana 23 settembre 2025, n. 132