In sintesi. Dal 2 agosto 2026 sono operativi gli obblighi di trasparenza dell’AI Act: chi parla con un chatbot deve sapere che è un’intelligenza artificiale, i deepfake vanno dichiarati e i contenuti generati devono essere riconoscibili. Il Digital Omnibus ha rinviato al 2027 le regole sui sistemi ad alto rischio, non queste. In questo articolo vedi quali obblighi riguardano davvero una PMI, cosa cambia per chatbot, immagini e testi, cosa resta da fare sull’alfabetizzazione AI, quanto rischi e una checklist in cinque punti.
Un chatbot sul sito che risponde ai clienti alle due di notte. La newsletter scritta con l’aiuto di ChatGPT. Le foto dei prodotti ambientate in una cucina che non esiste, generate in pochi secondi. Se lavori in una PMI, probabilmente almeno una di queste cose fa già parte della tua settimana. E da quest’estate tutte e tre hanno qualcosa in comune: rientrano nell’articolo 50 dell’AI Act, il regolamento europeo sull’intelligenza artificiale.
Negli ultimi mesi ho ricevuto molte domande sul tema, spesso confuse da titoli contraddittori: “l’AI Act è stato rinviato”, “dal 2 agosto multe fino a 15 milioni”. Sono vere entrambe, ma parlano di cose diverse. Il Digital Omnibus (Regolamento UE 2026/1744, in vigore dal 27 luglio 2026) ha spostato in avanti le regole sui sistemi ad alto rischio, ma ha lasciato al loro posto gli obblighi di trasparenza. Facciamo ordine.
Il calendario aggiornato
| Data | Cosa si applica | Riguarda una PMI? |
|---|---|---|
| 2 febbraio 2025 | Pratiche vietate (art. 5) e alfabetizzazione AI (art. 4) | Sì, l’art. 4 riguarda chiunque usi sistemi di AI al lavoro |
| 2 agosto 2025 | Regole per i modelli di AI per finalità generali | Raramente: riguarda chi sviluppa i modelli |
| 2 agosto 2026 | Obblighi di trasparenza (art. 50) | Sì, se usi chatbot o pubblichi contenuti generati |
| 2 dicembre 2026 | Fine del periodo transitorio per la marcatura tecnica dei contenuti, per i sistemi già sul mercato | Solo se hai sviluppato tu un sistema che genera contenuti |
| 2 dicembre 2027 | Sistemi ad alto rischio dell’Allegato III (selezione del personale, credito, istruzione…) | Sì, se usi l’AI per esempio per filtrare i CV |
| 2 agosto 2028 | Sistemi ad alto rischio integrati in prodotti regolamentati (Allegato I) | Solo per chi produce macchinari, dispositivi medici e simili |
Fornitore o deployer: che ruolo hai?
L’AI Act distribuisce gli obblighi in base al ruolo. Il fornitore è chi sviluppa un sistema di AI, o lo fa sviluppare, e lo mette sul mercato o in servizio con il proprio nome: OpenAI, Google, Anthropic, ma anche la software house che vende un assistente virtuale. Il deployer è chi usa un sistema di AI sotto la propria autorità per scopi professionali: l’azienda che usa ChatGPT per scrivere testi o uno strumento di AI per ritoccare le foto.
Quasi tutte le PMI sono deployer. C’è però un caso frequente che sposta il confine: se hai fatto realizzare un chatbot su misura, magari con Voiceflow o con un sistema RAG sui tuoi documenti, e lo metti online con il tuo marchio, è prudente considerarti fornitore di quel sistema per quanto riguarda l’obbligo di informare gli utenti.
Cosa devi fare, caso per caso
Chatbot e assistenti virtuali
Chi interagisce con un sistema di AI deve essere informato che sta parlando con una macchina, al più tardi al momento della prima interazione, a meno che non sia evidente dal contesto. Vale per la chat sul sito, per l’assistente su WhatsApp e per i bot vocali al telefono. In pratica basta una frase chiara all’apertura della conversazione: “Ciao, sono l’assistente virtuale di [azienda], un sistema di intelligenza artificiale. Se preferisci parlare con una persona, scrivi OPERATORE.” Il nome simpatico e l’avatar sorridente vanno bene, purché non facciano credere di parlare con un collega in carne e ossa.
Immagini, video e audio generati
Se pubblichi un deepfake, cioè un’immagine, un video o un audio generato o manipolato che assomiglia a persone, oggetti, luoghi o eventi reali e può sembrare autentico, devi dichiarare che è artificiale. Il caso tipico in una PMI non è la truffa, ma il marketing: il testimonial creato con l’AI, il video del titolare con la voce clonata, la foto realistica di un negozio o di un evento mai avvenuto. Per le opere chiaramente creative, satiriche o di finzione l’obbligo si riduce a segnalare la presenza del contenuto generato senza rovinare l’opera.
Audit Dati & AI
Prima di investire, scopri cosa serve davvero alla tua azienda: un'analisi scritta con priorità, costi indicativi e roadmap, a prezzo fisso.
Un’illustrazione palesemente artistica non è un deepfake. La foto “realistica” del prodotto in un ambiente inventato è una zona grigia: la mia indicazione è di etichettarla, perché costa una riga di didascalia e protegge la fiducia dei clienti.
Testi generati con l’AI
Qui l’obbligo è più stretto di quanto si legga in giro. Va dichiarato il testo generato o manipolato dall’AI e pubblicato per informare il pubblico su questioni di interesse pubblico, e l’obbligo cade se il testo è stato rivisto da una persona che ne assume la responsabilità editoriale. Una scheda prodotto o una newsletter commerciale non sono informazione di interesse pubblico; un articolo su una nuova normativa potrebbe esserlo. La regola pratica è la stessa che conviene seguire comunque: nessun testo esce senza una revisione umana, e chi lo firma ne risponde. È anche il modo migliore per evitare le allucinazioni dei modelli.
Riconoscimento delle emozioni e categorizzazione biometrica
Se usi sistemi che riconoscono le emozioni o classificano le persone in base a dati biometrici, per esempio telecamere in negozio che stimano età e umore dei clienti, devi informare le persone esposte e trattare i dati nel rispetto del GDPR. Nelle PMI è raro, ma alcuni sistemi di analisi video lo fanno senza dirlo in modo evidente: vale la pena chiedere al fornitore.
La marcatura tecnica: tocca ai fornitori
L’obbligo di marcare i contenuti in modo leggibile da una macchina (filigrane digitali, metadati, firme crittografiche) riguarda chi fornisce il sistema che genera i contenuti. Se usi ChatGPT, Gemini o Midjourney, è un problema loro. Se invece hai integrato un generatore di testi o immagini in un tuo prodotto o servizio, sei tu il fornitore: per i sistemi già sul mercato prima del 2 agosto il termine è il 2 dicembre 2026. La Commissione ha adottato le linee guida sull’articolo 50 il 20 luglio 2026 e l’AI Office ha pubblicato un codice di condotta volontario sulla marcatura.
Alfabetizzazione AI: l’obbligo che molti hanno dimenticato
L’articolo 4 si applica dal 2 febbraio 2025 e non è stato rinviato. Dopo il Digital Omnibus la formulazione è meno rigida: fornitori e deployer devono adottare misure per sostenere lo sviluppo delle competenze AI di chi usa questi sistemi per loro conto, senza dover garantire un livello specifico né ottenere certificati. Non serve un corso costoso. Serve poter dimostrare di aver fatto qualcosa di proporzionato:
- un elenco degli strumenti di AI usati in azienda e da chi;
- una breve formazione su cosa fanno, quali sono i loro limiti e come si riconosce una risposta sbagliata;
- una policy interna di una pagina: quali dati non vanno mai inseriti negli strumenti pubblici, chi approva i contenuti generati, a chi segnalare un problema;
- la traccia scritta di tutto questo.
Se sei un professionista: c’è anche la legge italiana
Dal 10 ottobre 2025 la legge 132/2025 chiede ai professionisti intellettuali di informare il cliente, in modo chiaro e completo, se usano sistemi di AI, che possono servire solo per attività strumentali e di supporto alla prestazione. Consulenti, commercialisti, avvocati, ingegneri, architetti: la soluzione più semplice è una clausola nella lettera d’incarico che indichi quali strumenti usi e per cosa.
Quanto si rischia
Le violazioni degli obblighi di trasparenza possono costare fino a 15 milioni di euro o al 3% del fatturato mondiale annuo. Per PMI e startup l’articolo 99 prevede che si applichi l’importo più basso tra i due, e le sanzioni devono essere proporzionate. Il rischio più concreto per una piccola impresa, però, non è la multa: è il cliente che scopre di aver parlato con un bot convinto di parlare con una persona, o la recensione che smaschera una foto “troppo bella per essere vera”. La trasparenza, prima che un obbligo, è una questione di fiducia.
La checklist in cinque punti
- Fai l’inventario. Elenca tutti gli strumenti di AI usati in azienda, compresi quelli che i colleghi usano di propria iniziativa.
- Sistema i chatbot. Aggiungi un messaggio di apertura che dichiari che si tratta di un’AI e offra un contatto umano.
- Etichetta immagini, video e audio realistici generati o modificati con l’AI, a partire da quelli pubblicati da agosto in poi.
- Metti una persona responsabile della revisione di ogni testo generato prima della pubblicazione.
- Documenta formazione e regole interne sull’uso dell’AI: una pagina di policy e un registro delle sessioni bastano per cominciare.
Se stai valutando di introdurre un chatbot, un assistente sui documenti o altri strumenti di AI, conviene progettarli già conformi: costa molto meno che adeguarli dopo. Nell’audit dati e AI per le PMI mappiamo gli strumenti che usi, i dati che ci passano dentro e cosa serve per usarli in modo sicuro e trasparente. E se il progetto si fa in Piemonte, il Voucher digitalizzazione 2026 può coprirne fino al 65%.
Fonti: Regolamento (UE) 2024/1689 (AI Act); Regolamento (UE) 2026/1744 (Digital Omnibus on AI); Cooley, EU AI Act: Transparency Obligations Take Effect 2 August 2026; Digitalic, cosa è scattato dal 2 agosto; InvestireOggi, legge 132/2025 e professionisti. Questo articolo ha scopo informativo e non sostituisce una consulenza legale.
