Tra il 24 luglio e il 2 agosto 2026 sono successe due cose, a nove giorni di distanza. Una ha fatto molto rumore. L'altra, che conta di più per la maggior parte delle imprese italiane, è passata quasi inosservata.
Il 24 luglio è stato pubblicato nella Gazzetta ufficiale dell'Unione europea il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull'IA, entrato in vigore il 27 luglio. Il 2 agosto l'AI Act è entrato nella sua fase di applicazione generale.
Nel mezzo è circolata una parola sola: rinvio. È bastata a convincere molti imprenditori che il problema fosse stato spostato al 2027 e che se ne potesse riparlare con calma. Non è andata così. Il rinvio esiste, è reale, ma riguarda una porzione precisa del regolamento — e quasi certamente non quella che riguarda la tua azienda.
Questo articolo mette in fila tre cose: cosa si applica oggi a una piccola o media impresa italiana, cosa è stato spostato e cosa non è mai stato toccato. Non è un commento per giuristi. È la mappa che serve a chi deve decidere da dove cominciare, e in quanto tempo.
📌 In sintesi: il 2 agosto 2026 non è stato rinviato. È stata rinviata la disciplina dei sistemi ad alto rischio, che riguarda una minoranza delle PMI. Trasparenza, alfabetizzazione del personale e divieti restano pienamente applicabili.
Il rinvio che non c'è: cinque frasi da smontare
Nelle settimane successive alla pubblicazione del Digital Omnibus sono circolate cinque affermazioni ricorrenti. Sono tutte sbagliate, e ognuna produce una conseguenza pratica diversa.
1. «L'AI Act è slittato al 2027»
Il Regolamento (UE) 2026/1744 è intervenuto sull'articolo 113 dell'AI Act spostando in avanti l'applicazione delle sezioni 1, 2 e 3 del Capo III: classificazione dei sistemi ad alto rischio, requisiti degli articoli da 8 a 15, obblighi di fornitori e utilizzatori degli articoli da 16 a 27. Nient'altro. La data di applicazione generale del 2 agosto 2026 non è stata toccata.
2. «Non mi riguarda, la mia azienda non fa AI»
Il regolamento non si rivolge solo a chi sviluppa intelligenza artificiale, ma anche a chi la usa nell'ambito di un'attività professionale. E moltissime imprese non hanno scelto di adottare l'AI: se la sono trovata dentro. Funzioni comparse in un gestionale dopo un aggiornamento, plugin attivati di default, strumenti gratuiti che un collaboratore usa per conto proprio. La domanda giusta non è «facciamo AI?», ma «quali sistemi che usiamo contengono AI?».
3. «Gli obblighi valgono solo per chi sviluppa AI»
L'utilizzatore — il deployer, nel linguaggio del regolamento — ha obblighi propri: uso conforme alle istruzioni del fornitore, sorveglianza umana, informazione alle persone coinvolte. Sono meno onerosi di quelli del fornitore, ma esistono e sono suoi.
4. «Fino al 2027 non ci sono sanzioni»
L'impianto sanzionatorio dell'AI Act è applicabile dall'agosto 2025 e il differimento introdotto dal Digital Omnibus riguarda gli obblighi sostanziali sull'alto rischio, non la potestà sanzionatoria. In Italia le autorità nazionali sono già designate. Il divieto delle pratiche inaccettabili dell'articolo 5 è in vigore dal 2 febbraio 2025, e non è mai stato sospeso.
5. «Hanno semplificato anche il GDPR»
Questa è la confusione più diffusa, ed è comprensibile: il Digital Omnibus è un pacchetto, e una delle sue componenti propone modifiche al GDPR. Ma quella componente è ancora una proposta in corso di esame legislativo. Il regolamento entrato in vigore il 27 luglio 2026 modifica l'AI Act, non il GDPR. Sulla protezione dei dati personali, a oggi, non è cambiato nulla.
Il calendario reale, aggiornato al Digital Omnibus
Sette date. Quattro sono già operative o lo diventano entro l'anno; solo due sono state effettivamente spostate in avanti.
Le due date rinviate riguardano i sistemi ad alto rischio. Se la tua impresa usa l'AI per analizzare vendite, gestire il magazzino, rispondere ai clienti o scrivere testi, quei sistemi non sono ad alto rischio — e il rinvio, semplicemente, non ti riguarda. Ti riguarda invece tutto ciò che era già in vigore.
Cosa scatta davvero il 2 agosto per una PMI
Di tutto ciò che è diventato applicabile il 2 agosto 2026, una parte riguarda la Commissione europea e i grandi fornitori di modelli. Per una piccola o media impresa italiana, il blocco rilevante è uno solo: la trasparenza dell'articolo 50.
È un obbligo che non richiede un progetto. Richiede delle frasi, scritte bene, nei posti giusti. Si applica in cinque situazioni:
Interazione diretta. Chi parla con un chatbot, un assistente vocale o un agente conversazionale deve sapere che dall'altra parte c'è un sistema di intelligenza artificiale. Vale anche per l'impresa più piccola che ha messo un chatbot sul proprio sito.
Contenuti sintetici. Immagini, audio, video e testi generati o manipolati dall'AI devono essere marcati in un formato leggibile anche da un sistema automatico. L'implementazione tecnica è in capo al fornitore del sistema generativo; per l'impresa utilizzatrice la domanda pratica è una: il mio fornitore lo fa?
Riconoscimento delle emozioni e categorizzazione biometrica. Chi usa questi sistemi deve informare le persone che vi sono esposte. L'obbligo si somma a quello del GDPR, non lo sostituisce.
Deepfake. I contenuti che ritraggono persone, luoghi o eventi in modo artificiale devono essere dichiarati come tali.
Testi pubblicati su questioni di interesse pubblico. Qui c'è un'eccezione importante: l'obbligo di dichiarare la generazione artificiale non si applica quando il contenuto è stato sottoposto a revisione umana o a controllo editoriale e qualcuno se ne assume la responsabilità editoriale.
Tradotto in pratica, per una PMI italiana significa rispondere a quattro domande: il chatbot sul sito dichiara di essere un'AI? Le comunicazioni ai clienti generate con l'AI sono identificabili? I dipendenti sanno quando un processo interno è assistito da un sistema automatico? L'informativa privacy menziona esplicitamente l'uso di sistemi AI?
Se la tua azienda ha un chatbot di assistenza, questo è il punto in cui la progettazione del chatbot smette di essere solo una scelta di marketing e diventa anche un adempimento.
E le sanzioni?
L'AI Act prevede sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate, e fino a 15 milioni o al 3% per la maggior parte delle altre violazioni. Per le PMI si applica il minore fra i due valori: è una proporzionalità, non un'esenzione.
Vale la pena tenere le proporzioni. Nessuna autorità apre un'istruttoria contro un'impresa di quindici persone perché il chatbot non si presenta. Ma il giorno in cui un cliente, un dipendente o un concorrente solleva una questione, la differenza fra un'azienda che ha un documento con una data e una che non ce l'ha diventa enorme.
Vuoi sapere a che punto sei davvero?
Il Check-up AI Act & GDPR per PMI è un'autovalutazione guidata: 42 domande su 7 aree, un punteggio da 0 a 84, tre profili di rischio e un piano a 90 giorni. Si compila in un'ora, da soli, senza dover chiamare nessuno.
Scarica il Check-up gratuitoFornitore o utilizzatore? La domanda che viene prima di tutte
Gli obblighi dell'AI Act non dipendono da cosa fa il software. Dipendono dal ruolo che l'impresa ha rispetto a quel software. È la prima cosa da stabilire, ed è anche quella che quasi nessuno stabilisce per iscritto.
Fornitore (provider)
Sviluppa un sistema AI o lo immette sul mercato con il proprio nome o marchio. Obblighi pieni: gestione del rischio, documentazione tecnica, valutazione di conformità, sorveglianza dopo l'immissione sul mercato.
Utilizzatore (deployer)
Usa un sistema AI di terzi sotto la propria autorità, nell'ambito dell'attività professionale. È la posizione della quasi totalità delle PMI italiane. Obblighi propri: uso conforme alle istruzioni, sorveglianza umana, informazione alle persone coinvolte.
La parte delicata è che si può diventare fornitori senza accorgersene. Succede in tre casi: quando si appone il proprio nome o marchio su un sistema di terzi, quando se ne modifica in modo sostanziale il funzionamento, e quando se ne cambia la finalità d'uso rispetto a quella dichiarata da chi lo ha costruito. Sono situazioni che capitano più spesso di quanto sembri nelle aziende che personalizzano molto le soluzioni acquistate.
Chiarito il ruolo, metà del lavoro di inquadramento è fatta. Il resto è capire quali sistemi sono in casa — e qui, di solito, arrivano le sorprese.
E in Italia? La legge 132/2025 e chi controlla
Sopra il regolamento europeo c'è un livello nazionale, e per un'impresa italiana è quello con cui si avranno a che fare i rapporti concreti. La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, ha designato le autorità competenti e costruito una disciplina complementare all'AI Act, non alternativa.
AgID — Agenzia per l'Italia digitale: autorità di notifica, con le funzioni di valutazione, accreditamento e supervisione degli organismi che verificano la conformità dei sistemi, oltre a un ruolo di promozione dell'innovazione.
ACN — Agenzia per la cybersicurezza nazionale: autorità di vigilanza del mercato, con poteri ispettivi e sanzionatori, e punto di contatto unico con le istituzioni europee.
Restano ferme le competenze di Banca d'Italia, CONSOB e IVASS nei settori bancario, finanziario e assicurativo, quelle del Garante per la protezione dei dati personali su tutto ciò che riguarda i dati, e quelle dell'AGCOM.
C'è poi un punto della legge italiana che tocca da vicino le imprese e che nel dibattito sull'AI Act passa spesso in secondo piano: l'obbligo di informazione. Chi impiega sistemi di intelligenza artificiale nell'erogazione di una prestazione professionale deve dichiararlo in modo chiaro. E il datore di lavoro deve informare i lavoratori quando l'AI è utilizzata nella gestione del personale.
I decreti attuativi della legge sono in corso di adozione e definiranno il dettaglio operativo dei controlli. Non è una ragione per aspettare: gli obblighi informativi non dipendono da quei decreti.
E il GDPR? Attenzione a cosa non è cambiato
Vale la pena tornarci, perché è l'equivoco più costoso. Il pacchetto Digital Omnibus comprende anche una proposta di modifica del GDPR, ed è quella proposta ad aver generato i titoli sulla «semplificazione della privacy». A oggi è ancora in corso di esame legislativo: sul GDPR non è cambiato nulla, e gli obblighi attuali valgono per intero.
La buona notizia è che i due regolamenti chiedono cose che si sovrappongono più di quanto sembri. Fatti bene, molti adempimenti si fanno una volta sola.
Il rinvio dei sistemi ad alto rischio, va detto con chiarezza, non sospende il GDPR, né la normativa sul lavoro, né le regole antidiscriminatorie, né la disciplina sulla sicurezza. Continuano ad applicarsi tutte, esattamente come prima.
Da dove si comincia: tre aree, non sette
Un percorso completo di conformità copre sette aree: inventario, trasparenza, formazione, supervisione umana, basi giuridiche dei dati, contratti con i fornitori, governance. Ma se il tempo è poco — e in una PMI il tempo è sempre poco — le prime tre sono quelle che riguardano obblighi già in vigore oggi. Le altre quattro preparano alle scadenze del 2027.
1. L'inventario dei sistemi — giorni 1-15
Non si può essere conformi su sistemi che non si sa di avere, ed è il primo documento che un'autorità chiede. Serve un foglio di calcolo, non un progetto: per ogni sistema, il fornitore, la finalità d'uso, il reparto che lo utilizza, i dati che ci passano dentro. Includendo — soprattutto — gli strumenti che i singoli collaboratori hanno attivato per conto proprio.
2. Le dichiarazioni di trasparenza — giorni 16-30
È l'obbligo scattato adesso. Serve un testo standard, non una frase improvvisata caso per caso: una versione per il chatbot, una per l'informativa privacy, una per la comunicazione interna. Chi gestisce i canali di contatto deve sapere cosa dichiarare e con quali parole.
3. La formazione del personale — giorni 31-45
L'obbligo di alfabetizzazione AI dell'articolo 4 è in vigore da oltre un anno e mezzo. Il Regolamento 2026/1744 ne ha attenuato la formulazione — da «garantire» a «promuovere» — ma non ha eliminato la responsabilità dell'organizzazione. Serve un momento formativo erogato e verbalizzato, con data, partecipanti e contenuti, più istruzioni scritte su cosa si può e non si può inserire in un sistema AI.
Fatte queste tre cose, un'impresa è messa meglio della maggior parte delle sue concorrenti. E ha costruito la base su cui poggeranno, senza rifare nulla, gli adempimenti che arriveranno nel 2027.
Se la logica del partire piccolo e in ordine ti è familiare, è la stessa che vale per qualunque progetto tecnologico: un piano operativo per il rientro di settembre vale più di un programma triennale che nessuno leggerà.
Il rinvio non è un permesso di aspettare
Il Digital Omnibus ha spostato in avanti la parte più onerosa dell'AI Act perché le norme tecniche armonizzate e le autorità nazionali non erano pronte. È una scelta pragmatica, e per le imprese è una buona notizia: c'è più tempo. Ma il tempo guadagnato serve a preparare, non ad aspettare — un percorso di conformità sui sistemi ad alto rischio richiede mesi, non settimane.
E soprattutto: il tempo in più riguarda il 2027. Non riguarda la trasparenza, non riguarda la formazione, non riguarda i divieti, non riguarda il GDPR. Su quel fronte la scadenza non è futura. È passata il 2 agosto.
C'è anche un modo diverso di guardare la questione. Gli obblighi dell'AI Act — dire quando parla una macchina, tenere una persona nel punto in cui si decide, sapere dove stanno i dati — non sono adempimenti burocratici sovrapposti a una tecnologia. Sono, più semplicemente, le caratteristiche di un sistema fatto bene. È il principio con cui è nata MAITIME: l'AI propone, la persona decide, e ogni decisione lascia una traccia. Non perché lo chieda un regolamento, ma perché è così che un'impresa mantiene il controllo di quello che fa.
Il costo dell'attesa, del resto, raramente compare a bilancio. Ma si paga lo stesso.
Domande frequenti
L'AI Act si applica anche a una piccola impresa che usa solo strumenti di terzi?
Sì. Chi usa un sistema AI sotto la propria autorità nell'ambito di un'attività professionale è un utilizzatore, e ha obblighi propri: uso conforme alle istruzioni del fornitore, sorveglianza umana, informazione alle persone coinvolte. Sono meno estesi di quelli del fornitore, ma esistono a prescindere dalla dimensione dell'impresa.
Cosa devo scrivere se ho un chatbot sul sito?
Serve che chi interagisce capisca, fin dall'inizio della conversazione, di stare parlando con un sistema automatico. Non serve un linguaggio giuridico: serve una frase chiara nel messaggio di apertura, coerente con quanto dichiarato nell'informativa privacy, e che sia sempre possibile arrivare a una persona.
Le sanzioni si applicano anche alle PMI?
Sì, con un criterio di proporzionalità: per le piccole e medie imprese si applica il minore fra l'importo fisso e la percentuale sul fatturato. È una proporzionalità, non un'esenzione. In Italia i poteri ispettivi e sanzionatori sono in capo all'ACN.
Il rinvio del Digital Omnibus riguarda anche l'obbligo di formazione?
No. L'obbligo di alfabetizzazione AI dell'articolo 4 è in vigore dal 2 febbraio 2025 e non è stato rinviato. Il Regolamento (UE) 2026/1744 ne ha attenuato la formulazione, passando da «garantire» a «promuovere», ma la responsabilità dell'organizzazione di rendere competente chi usa questi strumenti resta.
Devo fare qualcosa se pubblico contenuti generati con l'AI?
Dipende dal contenuto. Immagini, audio e video sintetici vanno resi riconoscibili. Per i testi pubblicati su questioni di interesse pubblico l'obbligo di dichiarazione non si applica se il contenuto è stato sottoposto a revisione umana o a controllo editoriale e una persona fisica o giuridica ne assume la responsabilità editoriale. In ogni caso, la marcatura tecnica leggibile dalle macchine è un adempimento del fornitore del sistema generativo: la domanda da porre è al fornitore.
Nota. Questo articolo ha finalità informative e divulgative e non costituisce consulenza legale. Per la valutazione della conformità di sistemi specifici è opportuno rivolgersi a un professionista qualificato. Contenuti aggiornati al 10 agosto 2026, sulla base del Regolamento (UE) 2024/1689, del Regolamento (UE) 2026/1744 (GUUE 24 luglio 2026, in vigore dal 27 luglio 2026) e della legge 23 settembre 2025, n. 132. La proposta di modifica del GDPR contenuta nel pacchetto Digital Omnibus è, a questa data, ancora in corso di esame legislativo.
Sapere cosa si applica è il primo passo. Il secondo è misurarsi.
Scarica il Check-up AI Act & GDPR per PMI: 42 domande, 7 aree, un punteggio e un piano a 90 giorni. Un'ora del tuo tempo, gratis. Oppure parliamone direttamente, in mezz'ora, sui tuoi sistemi.
Scarica il Check-up Prenota una demoEntrambe gratuite e senza impegno.