«Usiamo solo ChatGPT e qualche strumento di grafica: l’AI Act non ci riguarda.» È la frase che in queste settimane si sente ripetere in molte piccole e medie imprese, pronunciata come si enuncia un’ovvietà. Il 2 agosto 2026, quando il regolamento europeo sull’intelligenza artificiale raggiunge la sua data di applicazione generale e il sistema dei controlli si accende, quella frase risulta sbagliata due volte. Pecca per difetto, perché alcuni obblighi riguardano proprio chi si limita a usare l’IA nella comunicazione e nel lavoro quotidiano. E chi l’ha abbandonata per il timore opposto, alimentato dai titoli sulle multe fino a trentacinque milioni di euro, sta temendo una sanzione che non è costruita per la sua impresa.
Che cosa diventa operativo il 2 agosto (e che cosa è slittato davvero)
La data è scritta nell’articolo 113 del Regolamento 2024/1689: il 2 agosto 2026 l’AI Act, in vigore dall’agosto 2024 ma applicato per gradi, raggiunge l’applicazione generale. Il perimetro reale della scadenza, però, si legge solo insieme al regolamento di semplificazione che la stampa chiama Digital Omnibus, adottato in via definitiva dal Consiglio dell’Unione il 29 giugno 2026 e atteso in Gazzetta ufficiale prima della scadenza di agosto. Chi a giugno leggeva di un rinvio ancora sospeso trova qui l’epilogo: gli obblighi sui sistemi ad alto rischio dell’Allegato III, dai software di selezione del personale al credit scoring, slittano al 2 dicembre 2027, e quelli legati ai prodotti regolamentati dell’Allegato I al 2 agosto 2028.
Sarebbe però un errore concluderne che il 2 agosto non accada nulla. Restano in calendario gli obblighi che toccano la platea più larga, a partire dalla trasparenza dell’articolo 50: un chatbot che dialoga con i clienti deve dichiarare di essere un sistema automatico, e i contenuti generati o manipolati con l’IA vanno marcati come artificiali, con una finestra tecnica fino al 2 dicembre 2026 per la marcatura in formato leggibile dalle macchine dei sistemi già sul mercato. Il regolamento distingue il fornitore, che sviluppa il sistema e lo immette sul mercato, dal deployer, cioè l’impresa che lo utilizza sotto la propria autorità: gli obblighi di trasparenza toccano entrambi, ed è per questo che «uso soltanto» non equivale a «sono fuori».
Sempre dal 2 agosto la Commissione europea acquista il potere di sanzionare direttamente i fornitori dei modelli per finalità generali, i cosiddetti GPAI, fino a quindici milioni di euro o al 3 per cento del fatturato mondiale (articolo 101): per i grandi produttori di modelli l’AI Act smette di essere un elenco di obblighi senza conseguenze immediate. Restano infine fermi i divieti sulle pratiche inaccettabili, applicabili già dal febbraio 2025.
Come è costruita la scala delle sanzioni (e chi le applica)
L’articolo 99 disegna una scala a tre fasce: fino a trentacinque milioni di euro o al 7 per cento del fatturato mondiale per le pratiche vietate, fino a quindici milioni o al 3 per cento per la violazione degli altri obblighi, compresi quelli di trasparenza e quelli dei deployer, fino a sette milioni e mezzo o all’1 per cento per chi fornisce informazioni inesatte alle autorità. I titoli di giornale citano quasi soltanto il primo numero, che riguarda le condotte estreme, non l’uso ordinario di strumenti generativi.
Per le piccole e medie imprese, poi, il regolamento contiene un correttivo espresso: ai sensi del paragrafo 6 dell’articolo 99, per le PMI e le start-up ogni sanzione è limitata al minore tra l’importo fisso e la percentuale di fatturato; per le grandi imprese vale il maggiore. Per un’impresa da due milioni di euro di fatturato, il tetto teorico della violazione più grave non è trentacinque milioni: è centoquarantamila euro. Una cifra seria, non una catastrofe aziendale; e il paragrafo 7 impone comunque di commisurare la sanzione a gravità, durata, cooperazione con l’autorità.
Quanto a chi applica le sanzioni, il quadro è a due livelli. Sui modelli GPAI vigila la Commissione attraverso il proprio AI Office. Su tutto il resto vigilano le autorità nazionali: in Italia la legge 132/2025 ha designato all’articolo 20 l’Agenzia per la cybersicurezza nazionale come autorità di vigilanza del mercato e punto di contatto unico, e l’AgID come autorità di notifica, con Banca d’Italia, Consob e IVASS per i rispettivi settori vigilati. L’attribuzione concreta dei poteri sanzionatori, però, passa dai decreti attuativi della delega dell’articolo 24, i cui termini scadono in autunno: il fronte repressivo nazionale è ancora in costruzione. Dedurne che non ci sia nulla da temere sarebbe la terza lettura sbagliata, perché i rischi più concreti non stanno dove i titoli li cercano.
Dove il rischio è concreto già oggi
Il primo fronte riguarda pochi soggetti, ma in modo pieno: chi sviluppa modelli per finalità generali o li integra e li ripubblica sotto proprio marchio risponde alla Commissione dal 2 agosto, senza attendere alcun decreto italiano.
Il secondo riguarda moltissimi: la trasparenza verso il pubblico. Un chatbot che non si dichiara, un’immagine sintetica diffusa senza marcatura sono violazioni facili da commettere per semplice disattenzione e altrettanto facili da accertare dall’esterno. Prima ancora della sanzione amministrativa, espongono l’impresa verso i propri clienti sul piano contrattuale e reputazionale, specie dove i contratti tacciono sulla titolarità e responsabilità dei contenuti generati.
Il terzo è il più sottovalutato, ed è l’unico già pienamente armato: i dati personali. Chi inserisce dati di clienti o dipendenti in strumenti di IA generativa opera sotto il GDPR, e il Garante per la protezione dei dati personali non ha bisogno di decreti attuativi: i suoi poteri, fino a venti milioni di euro o al 4 per cento del fatturato, sono operativi da anni, anche sui trattamenti eseguiti con sistemi di IA. Per l’impresa media, il primo rischio «da intelligenza artificiale» è in realtà un rischio da protezione dei dati.
Resta l’alto rischio, per chi usa o adotterà sistemi di selezione del personale, scoring o valutazione automatizzata delle persone: la proroga al 2 dicembre 2027 è tempo tecnico da usare, non un’esenzione. Un adeguamento completo, tra gestione del rischio, governance dei dati e sorveglianza umana, richiede tra gli otto e i quattordici mesi.
Le mosse: il mini-audit in cinque domande
Il modo più rapido per capire la propria posizione è rispondere per iscritto a cinque domande, prima della scadenza di agosto o al più tardi entro la ripresa autunnale.
- Con quale ruolo tocchiamo l’IA? Censire ogni strumento in uso, in acquisto o in sviluppo, e qualificare l’impresa rispetto a ciascuno: fornitore, utilizzatore, importatore. Dal ruolo dipende l’intero pacchetto di obblighi.
- Che cosa arriva al pubblico? Se un chatbot risponde ai clienti, dal 2 agosto deve dichiararsi; per la marcatura dei contenuti generati la finestra tecnica corre fino al 2 dicembre 2026 per i sistemi già sul mercato, ma la regola interna su che cosa si pubblica e come lo si segnala conviene scriverla ora.
- Quali dati personali entrano negli strumenti? Verificare basi giuridiche, informative e contratti con i fornitori dei sistemi: è il fronte su cui una contestazione può arrivare già oggi, senza attendere alcuna scadenza dell’AI Act.
- Che cosa promettiamo nei contratti? Le clausole con clienti e fornitori sulla titolarità e sulla responsabilità dei contenuti generati vanno allineate ai nuovi obblighi di trasparenza, prima che sia una contestazione a imporlo.
- C’è alto rischio nel nostro orizzonte? Se la risposta è sì, il calendario porta al 2 dicembre 2027: con un percorso da otto a quattordici mesi, la partenza utile cade tra l’autunno 2026 e l’inizio del 2027.
Chi risponde «no» a tutte e cinque può archiviare con cognizione di causa l’allarme dei titoli; chi risponde «sì» anche a una sola ha individuato il proprio fronte reale e la misura dell’intervento necessario.
Se l’impresa usa strumenti generativi nella comunicazione, tratta dati di clienti o dipendenti con sistemi di IA o impiega software destinati all’alto rischio, una mappatura del perimetro fatta prima della scadenza di agosto trasforma un’incertezza diffusa in un piano di lavoro ordinato. Lo Studio Legale VDS, attraverso il servizio di compliance per le nuove tecnologie e in raccordo con l’Ufficio Legale in Outsourcing, può accompagnare il mini-audit, la revisione dei contratti e l’impostazione del percorso di conformità.
