L’AI Act è entrato in vigore nell’agosto 2024 e, tra il 2025 e il 2027, sta cambiando in modo progressivo il modo in cui le aziende sviluppano, adottano e comunicano l’uso dell’intelligenza artificiale.
Dopo il primo blocco di divieti applicabili dal 2 febbraio 2025 e l’avvio degli obblighi per i modelli di AI per finalità generali dal 2 agosto 2025, il prossimo snodo decisivo per le imprese è il 2 agosto 2026, data in cui inizieranno ad applicarsi la maggior parte degli obblighi operativi per chi utilizza e integra sistemi di AI, in particolare in materia di trasparenza, governance interna e gestione del rischio, mentre alcune scadenze per i sistemi ad alto rischio sono state rinviate al 2027–2028 per effetto del Digital Omnibus, il pacchetto normativo europeo approvato nel 2026 che ha introdotto semplificazioni e proroghe per favorire un’applicazione più graduale e coerente del quadro regolatorio.
Per molte PMI italiane il tema viene ancora percepito come lontano o riservato alle big tech, ma non è così. Anche chi utilizza strumenti di AI generativa per marketing, customer care, analisi interna o automazione dei processi rientra infatti in un quadro di responsabilità che non può più essere ignorato. Il punto, oggi, non è evitare sanzioni ma capire come trasformare la compliance in un fattore di affidabilità e differenziazione competitiva.
Cosa cambia ora con l’AI Act?
Il regolamento europeo introduce obblighi differenziati per chi sviluppa, distribuisce o utilizza sistemi di intelligenza artificiale, costruendo un impianto basato sul livello di rischio, sulla tutela dei diritti fondamentali e sulla trasparenza verso utenti e autorità. In questa logica, l’AI non viene trattata come una tecnologia neutra, ma come uno strumento il cui impatto deve essere valutato in base alle funzioni che svolge e ai contesti in cui viene applicato.
Ecco perché l’AI Act distingue in modo chiaro: quali sono le pratiche non consentite, quali vengono considerati sistemi ad alto rischio, andando a includere anche degli specifici obblighi per i modelli di AI per finalità generali, ossia quelli che poi possono essere integrati in diversi prodotti e servizi. Sul piano pratico, ciò significa che non basta “usare ChatGPT” o altri strumenti generativi per considerarsi fuori dal perimetro normativo: conta come l’AI viene inserita nei processi aziendali, con quale autonomia e con quali effetti su clienti, utenti o lavoratori.
Come osserva Antonino Polimeni, fondatore di Polimeni.Legal «l’AI Act non sta bloccando l’innovazione. Nel 2026 la linea di confine non è tra chi usa o non usa l’intelligenza artificiale, ma tra chi può dimostrare di averla inserita in processi chiari, documentati e tracciabili e chi si affida ancora a strumenti improvvisati. Ecco perché senza governance, registri interni e policy coerenti con il quadro europeo, l’uso dell’AI espone l’impresa a rischi che non sono più difendibili né davanti alle autorità, né davanti ai clienti.»
Perché il regolamento riguarda anche le PMI?
Uno degli equivoci più diffusi è pensare che la normativa colpisca solo chi sviluppa modelli di AI o opera su scala internazionale. In realtà il perimetro coinvolge anche le aziende che integrano strumenti esterni nei propri servizi, adottano chatbot sul sito, automatizzano la produzione di contenuti o impiegano sistemi intelligenti per valutazioni, classificazioni e raccomandazioni. Questo punto è cruciale soprattutto per le PMI italiane, che spesso introducono l’AI in modo incrementale, per esigenze operative o commerciali, senza una vera governance interna.
Una piccola impresa può usare l’AI per generare schede prodotto, risposte automatiche, newsletter, supporto clienti o analisi commerciali senza percepire che dietro questi strumenti esistono già obblighi di trasparenza, controllo umano, documentazione e formazione del personale. Eppure, è proprio qui che si crea la distanza tra un’adozione opportunistica e un’adozione matura della tecnologia.
Il rischio non è solo la sanzione
Nel dibattito sull’AI Act l’attenzione si concentra spesso sulle multe, ma per molte imprese il problema più concreto può essere di tipo operativo e reputazionale. Con l’avvicinarsi del 2 agosto 2026, le aziende che non hanno ancora mappato gli strumenti AI in uso rischiano di dover intervenire in fretta su processi già attivi, con costi organizzativi più alti, maggiore esposizione a contestazioni e minore capacità di difendere le proprie scelte in caso di verifiche.
C’è poi un secondo livello di rischio, meno visibile ma spesso più dannoso: la perdita di fiducia. Se un utente scopre troppo tardi che un contenuto è stato generato automaticamente, che sta interagendo con un sistema non dichiarato o che una decisione è stata influenzata da logiche opache, il danno non è solo normativo ma anche commerciale. Dato che i clienti chiedono trasparenza, usare l’AI senza regole può compromettere la credibilità del brand più di quanto non faccia una campagna inefficace.
Da obbligo normativo a vantaggio competitivo
È proprio qui che la compliance però non è un semplice costo difensivo ma può e deve diventare una leva di posizionamento. Un’azienda che spiega in modo trasparente come utilizza l’intelligenza artificiale, che forma il personale e che documenta i propri processi trasmette un messaggio molto preciso al mercato: l’innovazione è seguita dai dovuti controlli. Per un brand questo può tradursi in maggiore affidabilità verso partner, clienti e stakeholder; per un’impresa che opera nel marketing o nell’eCommerce può diventare un elemento di rassicurazione decisivo in fase di scelta.
Pagine dedicate alla governance dell’AI, informative più chiare, procedure interne formalizzate e personale formato non servono solo a ridurre il rischio, ma possono anche rafforzare la qualità percepita del servizio. Le imprese che stanno affrontando l’AI Act solo ora vivranno la compliance come un costo e un ostacolo.
Al contrario, quelle che hanno iniziato per tempo a mappare i sistemi di AI, documentare i processi, formare le persone e spiegare ai clienti come funziona l’intelligenza artificiale nei propri servizi stanno già trasformando un obbligo normativo in una leva di marketing. Per le PMI il primo passo non è acquistare nuovi software, ma capire quali strumenti di AI stanno già usando.
Mappare chatbot, tool generativi, automazioni, plug-in e sistemi decisionali è essenziale per capire quali obblighi si applicano e dove esistono zone grigie da correggere. Senza questa fotografia iniziale, qualsiasi percorso di compliance rischia di restare teorico. Il secondo passaggio è classificare i casi d’uso, definire responsabilità interne, predisporre policy e costruire un minimo di documentazione che renda il sistema governabile nel tempo.
A questo si aggiunge un punto spesso sottovalutato ma ormai centrale: la formazione del personale, che l’AI Act considera una componente concreta della conformità e non un accessorio opzionale. Nel 2026 arrivare preparati vuol dire poter usare l’AI generativa con più consapevolezza, più continuità e meno improvvisazione.