AI Act e PMI: cosa cambia con il Regolamento UE 2024/1689 nel 2026

28 ottobre 2026 · Andrea Torresi, Commercialista · 7 min lettura

Dal 2 agosto 2026 gli obblighi di trasparenza dell'AI Act sono pienamente esigibili. Chatbot, deepfake, contenuti generati con IA e sistemi biometrici: le PMI che usano strumenti di intelligenza artificiale devono adeguarsi. Non solo chi sviluppa software, ma anche chi semplicemente lo utilizza.

Il calendario dell'AI Act: cosa è già in vigore

Il Regolamento (UE) 2024/1689 (AI Act) è il primo quadro normativo al mondo dedicato all'intelligenza artificiale. L'applicazione è progressiva:

Provider e deployer: due ruoli, obblighi diversi

L'AI Act distingue tra chi sviluppa un sistema di IA (provider) e chi lo utilizza nella propria attività (deployer). Molte PMI pensano erroneamente che il regolamento riguardi solo i provider. In realtà:

• Provider: chi sviluppa o fa sviluppare un sistema di IA e lo immette sul mercato o lo mette in servizio con il proprio nome. Obblighi più gravosi: valutazione di conformità, documentazione tecnica, sorveglianza post-commercializzazione.
• Deployer: chi utilizza un sistema di IA nella propria attività professionale. Obblighi più leggeri ma concreti: trasparenza verso gli utenti, sorveglianza umana, conservazione dei log, valutazione d'impatto (per sistemi ad alto rischio).

Gli obblighi di trasparenza dal 2 agosto 2026

L'art. 50 del Regolamento impone obblighi specifici di trasparenza per diversi tipi di sistemi:

1. Chatbot e assistenti virtuali: gli utenti devono essere informati che stanno interagendo con un sistema di IA, a meno che ciò non sia evidente dal contesto (art. 50, par. 1).
2. Sistemi di riconoscimento delle emozioni e categorizzazione biometrica: le persone esposte devono essere informate del funzionamento del sistema (art. 50, par. 3).
3. Deepfake: i contenuti audio, immagine o video generati o manipolati con IA devono essere etichettati come tali (art. 50, par. 4).
4. Testi generati con IA su temi di interesse pubblico: se pubblicati per informare il pubblico, devono essere contrassegnati come generati artificialmente (art. 50, par. 4).

L'obbligo di AI literacy: già in vigore

Dal 2 febbraio 2025, l'art. 4 del Regolamento impone a provider e deployer di garantire un livello sufficiente di alfabetizzazione in materia di IA al proprio personale e a chiunque utilizzi sistemi di IA per loro conto. Non si tratta di un corso formale, ma di un obbligo di competenza documentabile.

Secondo un'indagine Istat del 2025, solo il 16,4% delle imprese italiane con almeno dieci addetti utilizzava almeno una tecnologia di IA. Il dato suggerisce che la maggior parte delle PMI ha ancora margini significativi di adeguamento.

Sanzioni: il regime favorevole per PMI e startup

Il quadro sanzionatorio dell'AI Act prevede importi significativi, ma con un meccanismo di protezione per le imprese più piccole:

Per le PMI e le startup, la sanzione è il minore tra la percentuale sul fatturato e l'importo fisso (non il maggiore, come per le grandi imprese). Il pacchetto Digital Omnibus ha esteso la stessa regola alle small mid-cap.

Checklist operativa per le PMI

1. Mappare i sistemi IA in uso: censire tutti gli strumenti basati su intelligenza artificiale utilizzati nell'impresa (chatbot, traduttori, generatori di testo/immagini, strumenti di analisi).
2. Classificare il ruolo: per ciascun sistema, determinare se l'impresa è provider o deployer.
3. Verificare la trasparenza: per ogni chatbot o sistema che interagisce con utenti finali, verificare che sia presente un'informativa chiara sulla natura artificiale dell'interazione.
4. Etichettare i contenuti sintetici: ogni contenuto generato con IA (testi, immagini, video) pubblicato dall'impresa deve essere contrassegnato come tale.
5. Formare il personale: documentare le attività di AI literacy per il personale che utilizza sistemi di IA.
6. Adottare una policy IA interna: definire regole d'uso dei sistemi di IA nell'impresa, compresi limiti, responsabilità e procedure di controllo umano.
7. Prepararsi per il 2027: se l'impresa utilizza sistemi ad alto rischio (recruiting, scoring creditizio, sorveglianza), avviare la valutazione d'impatto in anticipo.

Questo articolo è redatto con il supporto di strumenti di intelligenza artificiale (AI Act, Reg. UE 2024/1689, art. 50). Titolare del trattamento: Andrea Torresi, Torresi & Associati S.r.l., Corso Umberto I° 161, 62012 Civitanova Marche (MC).