Il rinvio dell’AI Act non è uno stop per le PMI. Con il Regolamento (UE) 2026/1744, pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026 ed entrato in vigore il 27 luglio, gli obblighi per i sistemi di intelligenza artificiale ad alto rischio slittano al 2 dicembre 2027 e al 2 agosto 2028. Restano però attivi i divieti già in vigore, l’impegno sulla formazione del personale e, dal 2 agosto 2026, gli obblighi di trasparenza, con un periodo transitorio fino al 2 dicembre 2026 per la marcatura dei contenuti generati.
Che cosa è cambiato con il “Digital Omnibus” sull’AI?
L’AI Act è il regolamento europeo (2024/1689) che classifica i sistemi di intelligenza artificiale in base al rischio e fissa obblighi diversi per chi li sviluppa e per chi li usa. Il “Digital Omnibus” è il pacchetto di semplificazione che lo ha modificato. Secondo la sintesi del Consiglio dell’UE riportata dallo studio Advant Nctm, il Parlamento europeo lo ha approvato il 16 giugno 2026 e il Consiglio il 29 giugno. Il regolamento è stato poi adottato l’8 luglio 2026.
Le date da ricordare, tratte dal testo pubblicato su EUR-Lex:
- 2 dicembre 2027: obblighi per i sistemi ad alto rischio dell’Allegato III (per esempio selezione del personale, valutazione del merito di credito, accesso a servizi essenziali). La data originaria era il 2 agosto 2026.
- 2 agosto 2028: obblighi per i sistemi ad alto rischio incorporati in prodotti già regolati (macchinari, dispositivi medici e simili).
- 2 dicembre 2026: scade il periodo transitorio per la marcatura leggibile da macchina dei contenuti generati, per i fornitori di sistemi già sul mercato prima del 2 agosto 2026, e scatta il nuovo divieto sui contenuti intimi o di abuso sessuale su minori generati senza consenso.
Il motivo del rinvio, secondo le analisi di settore, è il ritardo nelle norme tecniche e nella designazione delle autorità nazionali di controllo. Non è una marcia indietro sull’impianto del regolamento.
Che cosa cambia concretamente per una PMI?
Dipende da come usa l’AI. Una PMI che adopera ChatGPT, Claude o strumenti simili per testi, preventivi o assistenza clienti è quasi sempre un “deployer”, cioè un utilizzatore di sistemi creati da altri. Per lei le novità pratiche sono tre.
1. La formazione del personale resta un obbligo
L’articolo 4 chiede a fornitori e utilizzatori di adottare misure per sviluppare l’alfabetizzazione in materia di IA del proprio personale. Il testo modificato precisa che non si deve garantire un livello specifico di competenza, e che Commissione e Stati membri devono fornire supporto, anche con esempi pratici su una piattaforma informativa unica. In altre parole: l’obbligo è più flessibile, non è sparito. Documentare che i dipendenti hanno ricevuto indicazioni d’uso è una scelta prudente.
2. I divieti sono già operativi
Le pratiche vietate dell’articolo 5 si applicano dal 2 febbraio 2025. A queste si aggiunge, dal 2 dicembre 2026, il divieto di sistemi che generano immagini, video o audio realistici di contenuto intimo senza consenso. Per un’azienda normale il rischio è basso, ma conviene vietare esplicitamente questi usi nelle policy interne.
3. La trasparenza arriva prima dell’alto rischio
Gli obblighi dell’articolo 50 restano applicabili dal 2 agosto 2026. Chi pubblica sul sito o sui social contenuti creati con l’AI, o mette online un chatbot che dialoga con i clienti, deve verificare che l’utente sappia di parlare con una macchina e che i contenuti sintetici siano riconoscibili. Il periodo transitorio di dicembre riguarda i fornitori dei sistemi generativi, non l’azienda che li usa: per questo è utile chiedere al fornitore come intende gestire la marcatura.
Un esempio concreto (ipotetico)
Immaginiamo un distributore di ricambi con 40 dipendenti che usa un assistente AI per rispondere alle email dei clienti e per redigere le descrizioni del catalogo. Un lavoro di ricognizione di mezza giornata basta a mappare quali strumenti si usano, chi li usa e per quali compiti. Se nessuno di questi usi rientra nell’elenco dell’Allegato III, l’azienda non ha obblighi da alto rischio. Ha invece tre cose da sistemare entro fine 2026: una breve policy d’uso, un momento di formazione tracciato e l’avviso “stai parlando con un assistente virtuale” sul chatbot. Sono cifre e tempi di esempio, non dati di mercato.
Quali sono i vantaggi per le PMI?
Il regolamento estende le semplificazioni pensate per le PMI anche alle “small mid-cap”, imprese più grandi con meno di circa 750 dipendenti e 150 milioni di euro di fatturato, secondo la sintesi dello studio Advant Nctm. Sono previsti procedure di qualità semplificate, documentazione tecnica ridotta e accesso prioritario alle sandbox normative, cioè ambienti di prova supervisionati dalle autorità. Le autorità nazionali hanno tempo fino al 2 agosto 2027 per attivarle.
Quali sono i rischi di aspettare?
Il primo è considerare il rinvio una pausa generale. Il secondo è che i tempi di adeguamento restano lunghi: secondo un’analisi di CityNext, per i sistemi ad alto rischio i percorsi di conformità richiedono in genere da 8 a 14 mesi, un dato da leggere come stima di settore e non come regola. Il terzo è l’incertezza applicativa: linee guida e norme tecniche sono ancora in via di definizione, e le autorità nazionali devono completare il quadro. Chi sviluppa o personalizza sistemi per usi sensibili (selezione del personale, credito, servizi essenziali) dovrebbe cominciare la classificazione adesso.
Da dove partire: una checklist in cinque passi
- Elencare gli strumenti AI in uso, ufficiali e “non ufficiali” usati dai dipendenti.
- Classificare ogni uso: vietato, a rischio limitato (trasparenza), alto rischio o nessun obbligo specifico.
- Scrivere una policy d’uso di una pagina e farla conoscere al personale.
- Pianificare e documentare la formazione.
- Verificare con i fornitori come gestiscono trasparenza e marcatura dei contenuti.
Se l’AI è già nei processi, ha senso farlo insieme alla scelta dei processi da automatizzare. Sul tema trovi anche la nostra pagina dedicata a AI e automazioni per le aziende.
Domande frequenti
L’AI Act è stato rinviato del tutto?
No. Sono slittati solo gli obblighi per i sistemi ad alto rischio, al 2 dicembre 2027 e al 2 agosto 2028. Divieti, formazione e trasparenza seguono le loro date.
La mia azienda usa solo ChatGPT: devo fare qualcosa?
Probabilmente non rientra nell’alto rischio, ma l’obbligo di sostenere la formazione del personale e gli obblighi di trasparenza possono riguardarla. Una mappatura degli usi chiarisce la situazione.
Che cosa succede il 2 dicembre 2026?
Scade il periodo transitorio per la marcatura leggibile da macchina dei contenuti generati da sistemi già sul mercato e scatta il divieto sui contenuti intimi o di abuso su minori generati senza consenso.
Le semplificazioni valgono anche per la mia impresa?
Valgono per le PMI e, con il nuovo regolamento, anche per le small mid-cap. Le condizioni precise vanno verificate sul testo ufficiale o con un consulente legale.
Serve un legale?
Per usi sensibili o dubbi di classificazione sì. Questo articolo è informativo e non sostituisce una consulenza legale.
Gargano ADV lavora con aziende di Varese, Como e Milano e ricostruisce con loro quali processi hanno senso da automatizzare e con quali accorgimenti. Se vuoi partire da un quadro chiaro, puoi richiedere l’analisi gratuita di 60 minuti: individuiamo tre processi su cui l’AI porta un beneficio concreto.
Conclusione
Il rinvio dà più tempo sull’alto rischio, ma le regole che toccano quasi tutte le PMI sono già in vigore o stanno per esserlo. Per un confronto sul tuo caso contattaci.