EU AI Act: mancano 4 mesi alla scadenza e la tua azienda probabilmente non è pronta

Hai un chatbot sul sito? Un sistema di raccomandazione prodotti? Un filtro automatico per i CV dei candidati? Allora hai un sistema di intelligenza artificiale. E dal 2 agosto 2026 potresti avere un problema legale.

Il Regolamento (UE) 2024/1689 — l'AI Act — è stato pubblicato nella Gazzetta Ufficiale dell'UE il 12 luglio 2024 ed è entrato in vigore il 1° agosto 2024. Non è una proposta, non è in discussione: è legge. E le scadenze si stanno avvicinando molto più velocemente di quanto la maggior parte delle aziende realizzi.

Le scadenze: dove siamo e cosa arriva

L'AI Act ha un'applicazione graduale. Ecco il calendario:

• 2 febbraio 2025: divieto delle pratiche AI considerate a rischio inaccettabile (già in vigore)
• 2 agosto 2025: regole per i modelli AI general-purpose (GPAI) — già in vigore
• 2 agosto 2026: obblighi per i sistemi AI ad alto rischio e tutte le restanti disposizioni

Mancano quattro mesi all'ultima scadenza. Quella grossa. Quella che riguarda la maggior parte delle imprese che utilizzano AI nelle proprie operazioni quotidiane.

Cosa conta come "AI" secondo il Regolamento

Qui c'è il primo malinteso da chiarire. Molti imprenditori pensano: "Noi non usiamo intelligenza artificiale." Sbagliato. Se il vostro sito ha un chatbot che risponde in linguaggio naturale, quello è un sistema AI. Se il vostro e-commerce suggerisce prodotti basandosi sul comportamento dell'utente, quello è un sistema AI. Se usate strumenti per generare testi, immagini o analizzare dati, quelli sono sistemi AI.

L'AI Act ha una definizione ampia e intenzionalmente inclusiva. La domanda non è "usiamo l'AI?" ma "quali sistemi AI stiamo usando e in quale categoria di rischio ricadono?"

Le quattro categorie di rischio

L'AI Act classifica i sistemi in quattro livelli:

Rischio inaccettabile (vietato). Manipolazione subliminale, social scoring, sorveglianza biometrica di massa. Se non fate queste cose, siete a posto su questo fronte. I divieti sono già operativi dal 2 febbraio 2025.

Rischio alto. Sistemi AI usati in ambiti critici: selezione del personale, valutazione del credito, gestione delle infrastrutture critiche, accesso a servizi essenziali. Se usate AI per filtrare candidature o valutare l'affidabilità creditizia dei clienti, siete qui. Obbligo di conformità: 2 agosto 2026.

Rischio limitato. Qui ricade la maggior parte delle PMI con presenza digitale. Chatbot, sistemi di raccomandazione, generazione di contenuti. L'obbligo principale è la trasparenza.

Rischio minimo. Filtri antispam, videogiochi con AI. Nessun obbligo specifico, ma le buone pratiche restano raccomandate.

Articolo 50: gli obblighi di trasparenza che ti riguardano

L'Articolo 50 del Regolamento è quello che ogni PMI dovrebbe leggere con attenzione. Prevede obblighi precisi:

• Se un utente interagisce con un sistema AI (es. chatbot), deve essere informato che sta parlando con una macchina, non con una persona
• I contenuti generati da AI (testi, immagini, audio, video) devono essere etichettati come tali
• I deepfake devono essere chiaramente identificati e dichiarati

Tradotto: se il chatbot del vostro sito non avvisa l'utente che è un'intelligenza artificiale, siete in violazione. Se pubblicate testi o immagini generati da AI senza dichiararlo, siete in violazione.

Ecco cosa la maggior parte delle agenzie web non vi dice: quel chatbot "plug and play" che avete installato in 5 minuti potrebbe non avere alcun meccanismo di disclosure conforme all'AI Act. Il problema non è la tecnologia, è come viene implementata.

Le sanzioni: numeri che fanno riflettere

L'AI Act non scherza sulle penalità:

• Fino a 35 milioni di euro o il 7% del fatturato annuo globale per le pratiche vietate
• Fino a 15 milioni di euro o il 3% del fatturato per le altre violazioni

Certo, queste cifre massime sono pensate per i big tech. Ma anche sanzioni proporzionate possono essere devastanti per una PMI. E il Regolamento prevede che ogni Stato membro istituisca un sandbox regolamentare per l'AI entro agosto 2026, il che significa strutture di controllo e supervisione dedicate.

L'Italia e l'AI Act

L'Italia si sta muovendo. La legge italiana sull'intelligenza artificiale, approvata dal Parlamento, integra il quadro europeo con disposizioni nazionali. Il Garante per la protezione dei dati personali gioca un ruolo chiave, dato che molti sistemi AI trattano dati personali e quindi ricadono anche sotto il GDPR.

Il punto è che non ci sarà un unico ente di controllo: l'enforcement sarà frammentato tra diverse autorità. E quando l'enforcement è frammentato, le sorprese arrivano da dove meno te le aspetti.

Cosa deve fare una PMI con un sito web — in concreto

Smettiamo di parlare in astratto. Se hai un sito aziendale con componenti AI, ecco la lista:

1. Inventaria i tuoi sistemi AI. Chatbot? Sistema di raccomandazione? Generazione automatica di testi? Tool di analisi predittiva? Mettili tutti in una lista.

2. Classifica il rischio. Per la maggior parte dei siti web di PMI, saremo nel territorio del rischio limitato. Ma verifica — se fai selezione del personale con AI o valuti il credito, sei nel rischio alto.

3. Implementa la trasparenza. Aggiungi un avviso chiaro e visibile su ogni chatbot ("Stai parlando con un assistente virtuale basato su intelligenza artificiale"). Etichetta i contenuti generati da AI. Non serve un'informativa di tre pagine — serve chiarezza.

4. Documenta tutto. L'AI Act richiede documentazione tecnica. Per i sistemi a rischio limitato, è meno onerosa, ma deve esistere. Chi fornisce il servizio AI, come funziona, quali dati usa, come viene monitorato.

5. Aggiorna privacy policy e termini di servizio. Il trattamento dati tramite AI deve essere esplicitamente descritto nella tua informativa privacy.

Quattro mesi non sono tanti

Agosto arriva in fretta. Adeguarsi all'AI Act non è un lavoro di un pomeriggio, ma non è nemmeno un'impresa titanica per una PMI con sistemi a rischio limitato. Serve metodo, serve competenza tecnica e legale, serve iniziare.

A.G. Tecnoweb aiuta le imprese a capire dove si posizionano rispetto all'AI Act e a implementare le modifiche necessarie — dall'audit dei sistemi AI presenti sul sito alla configurazione dei meccanismi di trasparenza. Se hai dubbi su dove parti, parliamone. Meglio una telefonata adesso che una sanzione dopo.