Se in azienda qualcuno usa strumenti di intelligenza artificiale, anche solo ChatGPT per le email, alcune regole ti riguardano già. Qui trovi cosa conta davvero, in parole semplici.
Chatbot che si dichiarano, contenuti generati marcati come tali: le regole di trasparenza si applicano dal 2 agosto 2026 a chi fornisce o usa sistemi che interagiscono con le persone o generano contenuti.
L'AI Act (Regolamento UE 2024/1689) è la legge europea che classifica gli usi dell'intelligenza artificiale per livello di rischio: più un uso è rischioso, più regole di conformità deve rispettare. La maggior parte degli usi comuni di ufficio ricade nei livelli più bassi, con pochissimi obblighi. In Italia si affianca la Legge 132/2025, che designa gli enti incaricati di farla rispettare: l'ACN controlla e sanziona, l'AgID abilita chi certifica i casi ad alto rischio.
Spesso sta già succedendo, senza linee guida interne ben definite. La buona notizia: per usi come questi non servono valutazioni d'impatto pesanti né certificazioni. Le cose che potrebbero riguardarti sono principalmente due.
Il testo, nella versione aggiornata dal Digital Omnibus, chiede a chi fornisce o usa sistemi di AI di adottare misure per sostenere lo sviluppo di un livello sufficiente di alfabetizzazione AI del personale, in modo proporzionato ai rischi degli strumenti usati e alle caratteristiche dell'organizzazione. Tradotto: non serve un master, serve una formazione proporzionata a come usi l'AI davvero. La norma non prescrive attestati; documentare chi è stato formato, su cosa e quando è il modo riconosciuto per dimostrare la diligenza in caso di controllo.
Violare l'art. 4 non comporta una multa diretta. Ma la formazione mancante pesa comunque: tra i criteri con cui l'art. 99, par. 7 gradua le sanzioni per altre violazioni ci sono le misure organizzative adottate, formazione compresa; e in un eventuale contenzioso è la prima cosa che viene contestata.
Riguarda chi fornisce o usa sistemi che interagiscono con le persone o generano contenuti, con compiti diversi. Chi fornisce lo strumento deve marcare tecnicamente i contenuti generati (immagini, audio, video e testo) come artificiali, in un formato leggibile dalle macchine. Chi lo usa deve far dichiarare al chatbot che è un'AI, salvo che sia evidente dal contesto; dire quando pubblica deepfake o testi generati per informare il pubblico; e informare le persone coinvolte se utilizza riconoscimento delle emozioni o categorizzazione biometrica. Non riguarda ogni uso di AI: scrivere la bozza di un'email con ChatGPT e rileggerla prima di inviarla non fa scattare nessun obbligo di etichetta.
Per i sistemi di generazione già sul mercato prima del 2 agosto 2026 il fornitore ha una finestra transitoria fino al 2 dicembre 2026 per adeguare la marcatura tecnica. La Commissione europea ha pubblicato anche una guida ufficiale su come rispettare queste regole (20 luglio 2026), accompagnata da un codice di buone pratiche volontario: decine di pagine tecniche, scritte per gli addetti ai lavori. Capire quali punti riguardano davvero la tua azienda è il lavoro che facciamo con l'audit.
La Legge 132/2025 accompagna il regolamento europeo con alcune disposizioni di settore, e due riguardano da vicino studi e imprese. La prima: il professionista che usa l'AI deve informarne il cliente, con linguaggio chiaro, semplice ed esaustivo (art. 13); vale per commercialisti, avvocati e consulenti. La seconda: il datore di lavoro deve informare i lavoratori quando utilizza l'AI in sistemi decisionali o di monitoraggio che li riguardano (art. 11).
Gli obblighi pesanti dell'AI Act (valutazioni di conformità, certificazioni, registri) riguardano i sistemi ad alto rischio: selezione automatizzata del personale, credit scoring, sanità, infrastrutture critiche. Con il pacchetto europeo di semplificazione (Digital Omnibus, Regolamento UE 2026/1744) la loro applicazione è slittata al 2 dicembre 2027 e al 2 agosto 2028. Se un domani volessi entrare in quegli ambiti, va progettato bene da subito.
Dal 2 agosto 2026 gli obblighi di trasparenza si applicano; in Italia le autorità sono designate (all'ACN la vigilanza) e i decreti che ne completano i poteri sanzionatori sono attesi entro ottobre 2026. Per le violazioni degli obblighi di trasparenza l'art. 99 prevede sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo; per le PMI si applica l'importo più basso tra i due. Ma per una piccola impresa il rischio più concreto è un altro: non riuscire a dimostrare la diligenza. Chi usa cosa, con quali dati, con quale supervisione, con quale formazione: se non è mai stato messo per iscritto, qualunque controllo o contenzioso parte in salita.
Dal sapere dove sei: il nostro AI Audit mappa gli strumenti AI già in uso, li classifica secondo la griglia di rischio del regolamento, produce il documento che dimostra la diligenza adottata e chiude con la formazione del personale, che copre proprio la regola 1. Un intervento una tantum, e hai in mano quello che la norma chiede a una PMI oggi.