AI Act, dal 2 agosto nuove regole per imprese e PMI

Dal 2 agosto 2026 diventano applicabili nuovi obblighi dell’AI Act europeo, con effetti diretti anche sulle imprese e sui professionisti che utilizzano strumenti di intelligenza artificiale nello svolgimento delle proprie attività. La nuova fase riguarda soprattutto la trasparenza delle interazioni e dei contenuti generati o manipolati dall’AI, il regime sanzionatorio per i fornitori di modelli di intelligenza artificiale per finalità generali e alcuni strumenti di governance, innovazione e vigilanza. L’AI Act, entrato in vigore il 1° agosto 2024, procede infatti secondo un calendario graduale e non introduce tutti gli obblighi nello stesso momento. :

Chatbot, deepfake e contenuti pubblici sotto osservazione

La principale novità operativa è rappresentata dall’articolo 50 del Regolamento europeo. Le aziende devono verificare se utilizzano sistemi che interagiscono direttamente con persone fisiche, come chatbot, assistenti virtuali o servizi automatizzati di supporto. In questi casi, l’utente deve essere informato in modo chiaro e accessibile del fatto che sta comunicando con un sistema di intelligenza artificiale.

Ulteriori verifiche riguardano la produzione e la diffusione di contenuti sintetici. Immagini, registrazioni audio, video e altri materiali generati o modificati artificialmente possono richiedere marcature leggibili dalle macchine. Per i deepfake e per determinati testi destinati a informare il pubblico possono inoltre essere necessari avvisi o etichette capaci di rendere riconoscibile l’intervento dell’AI.

La presenza di una revisione umana non elimina automaticamente l’obbligo di trasparenza. Per i testi di interesse pubblico, l’eventuale eccezione richiede un controllo editoriale sostanziale e l’individuazione di una persona o di un’organizzazione responsabile della pubblicazione. :

Le imprese devono chiarire il proprio ruolo

Uno dei primi passaggi consiste nel comprendere se l’impresa opera come semplice utilizzatore, definito dalla normativa anche come deployer, oppure assume responsabilità vicine a quelle di un fornitore. La distinzione può cambiare quando un sistema viene personalizzato, integrato in un servizio aziendale, modificato in modo rilevante o commercializzato con un nuovo marchio.

Uno studio professionale che impiega un assistente digitale per predisporre documenti, un’impresa che genera contenuti pubblicitari o un’azienda che introduce l’AI nei processi interni deve quindi ricostruire con precisione i casi d’uso, i fornitori coinvolti, i dati trattati e le persone responsabili dei controlli.

La guida operativa di CNA invita le organizzazioni a creare un inventario aggiornato dei sistemi, dei modelli e delle applicazioni utilizzate. Il registro dovrebbe indicare il responsabile interno, lo stato di conformità, la funzione svolta dall’AI e le eventuali misure adottate per garantire trasparenza e supervisione umana. 

Dati personali e informazioni riservate restano protetti

L’applicazione dell’AI Act non sostituisce gli obblighi previsti dal Regolamento generale sulla protezione dei dati. Le imprese devono continuare a rispettare il GDPR, la normativa sul lavoro, le regole di sicurezza e le disposizioni nazionali applicabili al proprio settore.

Particolare cautela è richiesta quando dipendenti e collaboratori utilizzano servizi generativi accessibili online. Inserire nei prompt dati personali, documenti aziendali, informazioni sui clienti, segreti commerciali o materiali riservati può generare rischi giuridici e organizzativi. Servono quindi istruzioni interne che chiariscano quali strumenti possono essere utilizzati, quali contenuti possono essere caricati e quali controlli devono precedere la pubblicazione degli output.

Anche i contratti con i fornitori tecnologici dovrebbero disciplinare aspetti come trattamento dei dati, marcatura dei contenuti, registrazione delle attività, aggiornamenti, audit, gestione degli incidenti e cooperazione in caso di verifiche.

Le regole sui sistemi ad alto rischio sono state rinviate

Dal 2 agosto 2026 non diventa ancora pienamente applicabile il blocco sostanziale dedicato ai sistemi di intelligenza artificiale ad alto rischio. Il Digital Omnibus ha rinviato la classificazione, i requisiti tecnici e gli obblighi previsti dagli articoli da 8 a 27.

Le nuove scadenze indicate sono il 2 dicembre 2027 per i sistemi ad alto rischio compresi nell’allegato III e il 2 agosto 2028 per quelli collegati ai prodotti elencati nell’allegato I. Il rinvio, tuttavia, non impedisce alle aziende di avviare una classificazione preliminare e una programmazione degli interventi necessari. 

Formazione e controllo umano tra le priorità

Le PMI sono chiamate a formare dipendenti e collaboratori in base ai sistemi utilizzati, alle mansioni svolte e ai rischi collegati. L’alfabetizzazione in materia di intelligenza artificiale era già prevista dal quadro europeo e deve essere documentata attraverso piani formativi, istruzioni operative e registri delle attività.

CNA Veneto seguirà l’evoluzione della disciplina e metterà a disposizione delle imprese materiali e approfondimenti dedicati. La conformità, secondo la guida dell’associazione, non può limitarsi alla presenza di una policy: deve essere dimostrabile attraverso responsabilità assegnate, decisioni approvate, verifiche periodiche, documenti tecnici e procedure capaci di adattarsi ai cambiamenti dei sistemi e della normativa.