AI Act e legge 132/2025, cosa devono fare imprese e professionisti

Chi riguarda

L’AI Act (Regolamento UE 2024/1689) distingue diversi ruoli. I due che contano per la maggior parte delle imprese:

• Fornitore (provider): chi sviluppa un sistema di AI e lo mette sul mercato con il proprio nome. OpenAI, Anthropic, Google; ma anche una software house che vende un gestionale con funzioni AI.
• Deployer: chi usa un sistema di AI sotto la propria autorità in un’attività professionale. Uno studio che usa ChatGPT per le bozze, un’azienda che mette un chatbot sul sito, un ufficio del personale che usa un software per selezionare CV.

L’uso puramente personale e non professionale è escluso.

La logica del rischio

Il regolamento non tratta tutta l’AI allo stesso modo: gli obblighi crescono con il rischio.

1. Rischio inaccettabile: pratiche vietate dal 2 febbraio 2025. Per esempio manipolazione subliminale, punteggio sociale, riconoscimento delle emozioni sul lavoro e a scuola (salvo motivi medici o di sicurezza), certi usi della biometria.
2. Alto rischio: sistemi usati in ambiti delicati elencati nell’Allegato III (selezione e gestione del personale, merito di credito, istruzione, servizi essenziali, giustizia) o integrati in prodotti regolamentati (Allegato I: dispositivi medici, macchinari, giocattoli). Obblighi pesanti di documentazione, supervisione umana, qualità dei dati.
3. Rischio limitato: obblighi di trasparenza (chatbot, contenuti sintetici).
4. Rischio minimo: tutto il resto, cioè la grande maggioranza degli usi d’ufficio. Nessun obbligo specifico oltre all’alfabetizzazione.

Prova a collocare i tuoi usi:

Il calendario, aggiornato al 2026

Da quando	Cosa si applica
1 agosto 2024	Entrata in vigore del regolamento
2 febbraio 2025	Pratiche vietate e alfabetizzazione AI (art. 4)
2 agosto 2025	Regole per i modelli di AI per finalità generali (GPAI) e governance
27 luglio 2026	Entra in vigore il Regolamento (UE) 2026/1744 (Digital Omnibus sull’AI)
2 agosto 2026	Obblighi di trasparenza (art. 50) e poteri di controllo dell’AI Office sui modelli GPAI
2 dicembre 2026	Marcatura leggibile dalle macchine dei contenuti generati (art. 50, par. 2)
2 dicembre 2027	Sistemi ad alto rischio dell’Allegato III
2 agosto 2028	Sistemi ad alto rischio integrati in prodotti regolamentati (Allegato I)

Cosa ha cambiato il Regolamento 2026/1744

Approvato dal Parlamento europeo il 16 giugno 2026 e dal Consiglio a fine giugno, pubblicato in Gazzetta il 24 luglio, in vigore dal 27 luglio 2026. In sintesi:

• Rinvio dell’alto rischio: dal 2 agosto 2026 al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I), con date fisse e non più legate alla pubblicazione degli standard tecnici.
• Trasparenza confermata: l’art. 50 si applica come previsto dal 2 agosto 2026; solo la marcatura dei contenuti (par. 2) ha un periodo di grazia fino al 2 dicembre 2026.
• Alfabetizzazione ammorbidita: l’art. 4 non chiede più di “garantire un livello sufficiente” di competenza, ma di adottare misure per sostenerla. L’obbligo resta per tutti i fornitori e deployer.
• Nuovo divieto sui deepfake sessuali espliciti e altre semplificazioni per PMI e piccole mid-cap.

Cosa deve fare chi usa l’AI

Trasparenza (art. 50), dal 2 agosto 2026

• Chatbot e assistenti: chi interagisce con un sistema di AI deve saperlo, salvo che sia evidente. Il chatbot sul sito deve presentarsi come AI. (Il chatbot di Lumen lo fa nel messaggio di benvenuto e nella nota sotto il campo di testo.)
• Deepfake: immagini, audio e video realistici generati o manipolati vanno dichiarati. Per le opere palesemente artistiche, satiriche o di finzione basta un’indicazione che non ne rovini la fruizione.
• Testi pubblicati per informare il pubblico su questioni di interesse pubblico, generati o manipolati con l’AI, vanno dichiarati, salvo che siano stati rivisti da una persona che se ne assume la responsabilità editoriale.

Alfabetizzazione (art. 4)

Adottare misure perché chi usa l’AI in azienda ne capisca funzionamento, limiti e rischi in base al ruolo. In pratica: una formazione di base documentata e regole scritte.

Alto rischio, dal 2 dicembre 2027

Chi usa sistemi ad alto rischio (per esempio un software che seleziona i candidati) dovrà: usarli secondo le istruzioni del fornitore, affidare la supervisione a persone competenti, conservare i log, informare i lavoratori interessati e, in alcuni casi (enti pubblici, credit scoring, assicurazioni vita e salute), fare una valutazione d’impatto sui diritti fondamentali.

Sanzioni

Fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate; fino a 15 milioni o il 3% per la maggior parte degli altri obblighi; fino a 7,5 milioni o l’1% per informazioni inesatte alle autorità. Per PMI e startup si applica il valore più basso tra importo fisso e percentuale.

La legge italiana: legge 23 settembre 2025, n. 132

È la prima legge nazionale sull’AI in Europa, in vigore dal 10 ottobre 2025. Non duplica l’AI Act ma lo affianca con principi e regole nazionali. I punti più rilevanti per imprese e professionisti:

• Autorità: l’Agenzia per la cybersicurezza nazionale (ACN) per la vigilanza e l’AgID per le notifiche e la promozione.
• Professioni intellettuali (art. 13): l’AI può essere usata solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale del professionista, che deve informare il cliente sui sistemi usati con un linguaggio chiaro, semplice ed esaustivo. Per i commercialisti si aggiungono le regole del codice deontologico, applicabili dal 21 novembre 2025.
• Lavoro: il datore di lavoro deve informare i lavoratori sull’uso di sistemi di AI che li riguardano.
• Minori: sotto i 14 anni l’accesso alle tecnologie di AI richiede il consenso dei genitori.
• Diritto d’autore: sono protette le opere frutto del lavoro intellettuale umano, anche se realizzate con l’aiuto dell’AI.
• Penale: nuovo reato di illecita diffusione di contenuti generati o alterati con l’AI (deepfake) che causa un danno, e aggravanti per i reati commessi con l’AI.

La checklist in sei punti

1. Fai l’inventario. Elenca tutti gli strumenti di AI usati in azienda, compresi quelli gratuiti usati dai singoli e le funzioni AI dei gestionali.
2. Classifica il rischio. Per ognuno: vietato? alto rischio? obblighi di trasparenza? La maggior parte degli strumenti d’ufficio è a rischio minimo o limitato.
3. Metti le etichette. Chatbot che si presentano come AI, contenuti sintetici dichiarati, informative aggiornate.
4. Forma le persone. Una formazione di base, documentata: come funzionano gli strumenti, cosa non caricare mai, come verificare le risposte.
5. Controlla contratti e dati. Versioni business con impegni sul trattamento dei dati, nomina del fornitore come responsabile del trattamento, nessun uso dei dati per l’addestramento.
6. Scrivi una policy breve. Due pagine bastano: strumenti ammessi, usi vietati, chi controlla i risultati, a chi rivolgersi. Per i professionisti, aggiungi l’informativa ai clienti.

Fonti

• Regolamento (UE) 2024/1689 (AI Act) — EUR-Lex
• Addleshaw Goddard — AI Omnibus formally adopted (Regolamento UE 2026/1744)
• KI-Campus — AI Omnibus recalibrates Article 4
• Legge 23 settembre 2025, n. 132 — Normattiva
• EU Made Simple — The EU's AI Act Explained

Contenuto informativo aggiornato alla data indicata. Prezzi, modelli e norme cambiano spesso: verifica sempre sulle fonti ufficiali. Testo scritto con il supporto di strumenti di AI e rivisto dall'autore.