AI Act per PMI dopo il 2 agosto 2026: cosa è cambiato davvero (e cosa fare ora)
Il 2 agosto è passato. Circola una bugia comoda: "hanno rinviato tutto". Falso. Scopri cosa ti obbliga da oggi, cosa invece è slittato al 2027, e le 4 mosse da fare questa settimana.
Abbiamo sentito decine di imprenditori ripetere la stessa frase questa estate: "tanto l'AI Act l'hanno rimandato".
È vero solo a metà. E la metà falsa ti costa cara. Il 27 luglio 2026 è entrato in vigore il Digital Omnibus sull'AI (Regolamento UE 2026/1744): ha spostato in avanti gli obblighi per i sistemi ad alto rischio, ma ha lasciato intatti quelli che colpiscono quasi tutte le PMI italiane. Parliamo del Regolamento UE 2024/1689, l'AI Act, in vigore dal 1° agosto 2024.
Se hai un chatbot sul sito, se pubblichi immagini o testi generati dall'AI, o se usi ChatGPT per lavoro, una parte di questa legge ti obbliga da oggi. Non dal 2027. La sanzione massima per chi non si adegua parte da 15 milioni di euro o il 3% del fatturato (articolo 99 del regolamento). Per le PMI vale la cifra più bassa tra le due, ma resta una cifra vera.
Questo articolo è il punto fermo dopo la scadenza. Ti diciamo cosa scatta davvero, cosa è rimandato, e come metterti in regola in quattro passi. Se vuoi la guida completa precedente alla scadenza, c'è la nostra guida all'AI Act per PMI.
Tre domande per capire se l'Art. 50 ti riguarda
L'articolo 50 è la norma "viva" dal 2 agosto 2026. Rispondi. Se una sola risposta è sì, sei dentro.
1. Hai un chatbot, un assistente virtuale o un voicebot a contatto con clienti o utenti?
SÌArt. 50 trasparenza. Devi avvisare l'utente che parla con un'AI, già obbligatorio dal 2 agosto 2026.
NO Nessun obbligo di trasparenza verso l'esterno su questo punto. Passa alla domanda 2.
2. Pubblichi immagini, video, audio o testi generati o modificati con l'AI?
SÌArt. 50 marcatura. I contenuti vanno etichettati in formato leggibile da macchina, con watermark dove possibile.
NO Nessun obbligo di marcatura. Passa alla domanda 3.
3. Usi ChatGPT, Copilot, Claude o Gemini per il lavoro in azienda?
SÌSei un deployer. L'alfabetizzazione del personale (Art. 4) ti obbliga dal febbraio 2025. Va documentata.
NO Non sei ancora un deployer AI. Ottimo, ma le prime due domande coprono i rischi più frequenti.
Il caso più comune in Italia: PMI con deployer a rischio basso o limitato. Nessun obbligo di alto rischio, ma trasparenza e formazione documentata da rispettare subito.
Cosa NON fare (gli errori che vediamo in giro)
Questa è la sezione che nessun competitor ha aggiornato dopo il Digital Omnibus. Sono errori reali, già commessi da PMI questa estate.
Non credere che "hanno rinviato tutto al 2027"
Il Digital Omnibus ha spostato solo l'alto rischio. I sistemi stand-alone dell'Allegato III passano al 2 dicembre 2027, quelli integrati in prodotti (Allegato I) al 2 agosto 2028. Ma l'articolo 50 sulla trasparenza non si è mosso di un giorno: è in vigore dal 2 agosto 2026. Chi spegne il chatbot "perché tanto è rimandato" fa due errori: uno di strategia, uno di legge.
Non chiamare il chatbot "assistente virtuale" sperando basti
L'articolo 50, comma 1, vuole che l'utente sappia di interagire con un sistema di intelligenza artificiale. Le linee guida della Commissione europea, pubblicate il 20 luglio 2026, chiariscono: l'avviso deve essere chiaro e distinguibile, al più tardi alla prima interazione. Un nome vago non ti salva. Serve la frase diretta.
Non generare contenuti AI senza marcatura
Dal 2 agosto 2026 i contenuti sintetici vanno segnati in formato machine-readable, con watermark dove tecnicamente possibile (articolo 50, comma 2). C'è una finestra: per i sistemi già sul mercato prima del 2 agosto 2026 hai tempo fino al 2 dicembre 2026. Per tutto il nuovo, la regola vale dal 2 agosto. Un'immagine prodotta oggi per il tuo sito va etichettata oggi.
Non lasciare che ogni reparto usi AI per conto suo
La "shadow AI" resta il buco nero della compliance. Se il marketing genera immagini senza etichetta, se l'ufficio tecnico usa un chatbot non dichiarato, il responsabile legale sei tu. Un foglio Excel con i tool usati vale più di qualsiasi corso. Mappa prima, formi dopo.
Non dimenticare gli studi professionali (Art. 13 Legge 132/2025)
Se lavori per avvocati, commercialisti, medici o ingegneri, scatta un obbligo in più. L'articolo 13 della legge italiana dice due cose: devi dire al cliente che usi l'AI, e l'AI può solo supportare, mai sostituire il lavoro intellettuale umano. La responsabilità resta del professionista, non dello strumento. Chi salta questo passaggio rischia sanzioni civili e disciplinari, oltre a quelle dell'AI Act. Fonte: Assolombardia, Diritto al Digitale.
Le 4 mosse da fare questa settimana
Nessuna di queste richiede uno studio legale. Per una PMI senza sistemi ad alto rischio bastano pochi giorni di lavoro distribuito. Eccoli in ordine.
Scrivi la frase di trasparenza sul chatbot
All'inizio della conversazione, prima di qualsiasi risposta, inserisci un avviso leggibile: "Stai interagendo con un assistente basato su intelligenza artificiale". Deve comparire subito, non nel footer né nelle condizioni d'uso. Se il tuo fornitore di chatbot non sa come farlo, hai un problema di fornitura prima che di legge.
Tempo: 1 giorno
Etichetta i contenuti sintetici
Aggiungi ai tuoi CMS un campo che segna se un'immagine, un video o un testo sono generati dall'AI. Per i deepfake e i contenuti che ritraggono persone reali, la disclosure è obbligatoria anche dal lato deployer. Per i sistemi già in uso prima del 2 agosto hai la proroga al 2 dicembre 2026: usala per aggiornare la pipeline, non per rimandare a data indefinita.
Tempo: 2-3 giorni
Chiudi il cerchio sulla formazione (Art. 4)
L'obbligo di alfabetizzazione del personale è attivo dal febbraio 2025. Il Digital Omnibus, in vigore dal 27 luglio 2026, ha cambiato il testo: non devi più "garantire un livello sufficiente", devi "adottare misure per supportarne lo sviluppo". Il test è documentale. Conserva chi ha formato, quando e su cosa. Due ore di workshop interno bastano, ma devono essere tracciabili.
Tempo: 1 settimana
Fai l'inventario e tienilo vivo
Un elenco dei tool AI in azienda (nome, fornitore, reparto, dati trattati) è il tuo scudo in caso di controllo. L'ACN, l'Agenzia per la Cybersicurezza Nazionale, è l'autorità di vigilanza del mercato in Italia: se bussa, vuole vedere che sai cosa usi. Una cartella condivisa aggiornata ogni trimestre basta.
Tempo: 2-3 giorni + manutenzione
Attento se hai incentivi pubblici in ballo (Transizione 5.0, credito R&S)
La conformità all'AI Act sta diventando condizione per incassare incentivi pubblici. Se usi un sistema AI non conforme dentro un progetto Transizione 5.0 già avviato o un credito di ricerca, rischi la decadenza del beneficio quando parte il controllo. L'inventario di cui sopra vale anche come prova per la pratica. Fonte: cosimo.dev, Incentivimpresa.
Cosa è successo davvero a luglio e agosto 2026
Due aggiornamenti sono arrivati dopo la nostra prima guida. Uno ti toglie pressione, l'altro ti stringe. Eccoli in fila, con le fonti.
Digital Omnibus (UE 2026/1744)
Adottato l'8 luglio, in Gazzetta Ufficiale UE il 24 luglio, in vigore dal 27 luglio 2026. È la prima modifica all'AI Act. Sposta l'alto rischio in avanti: Allegato III al 2 dicembre 2027, Allegato I al 2 agosto 2028. Lascia invece intatti l'articolo 50, l'articolo 5 e gli obblighi GPAI. Allarga anche le tutele PMI alle piccole mid-cap, cioè le aziende appena sopra la soglia delle PMI. Più imprese italiane rientrano così nelle regole agevolate.
Fonte: EUR-Lex, Reg. UE 2026/1744.
Decreti attuativi Italia (4 agosto 2026)
La Legge 132/2025 (in vigore dal 10 ottobre 2025, prima legge AI nazionale in UE) si completa il 4 agosto 2026. AgID è l'autorità di notifica, ACN la vigilanza del mercato. Arrivano il reato di deepfake illecito e l'articolo 437-bis del codice penale per chi omette misure di sicurezza sui sistemi ad alto rischio.
Fonte: comunicati del Consiglio dei Ministri, Studio Cravero.
Nuovi divieti dal 2 dicembre 2026
Il Digital Omnibus inserisce nell'articolo 5 due divieti freschi: generare immagini non consensuali e materiale di abuso su minori (deepfake e nudificazioni). Da quella data valgono per tutti, provider e deployer. Se il tuo studio o la tua azienda produce contenuti sintetici, tenere alla larga questi casi non è solo etica: da dicembre 2026 è obbligo di legge.
Fonte: Reg. UE 2026/1744, articolo 5.
La buona notizia per chi parte ora
Il rinvio dell'alto rischio al 2027 ti dà tempo per costruire una governance vera invece di una compliance di facciata. Usa i mesi che ti restano per mappare i processi e formare le persone. Chi aspetta il 2027 senza fare la trasparenza di oggi rischia la sanzione subito.
Vuoi vedere come gli agenti AI autonomi rientrano in questa normativa? Abbiamo un articolo dedicato. E se vuoi un software che nasce già conforme, la nostra integrazione AI per aziende parte da questi vincoli.
Le domande che ci fanno ad agosto 2026
Risposte brevi, senza giri di parole.
Il Digital Omnibus ha cancellato l'AI Act?+
No. Ha spostato alcune scadenze, non gli obblighi. L'articolo 50 sulla trasparenza, l'articolo 5 sui divieti e gli obblighi GPAI sono rimasti al loro posto. Il 2 agosto 2026 è ancora la data di applicazione generale.
Ho solo un chatbot sul sito. Cosa devo fare esattamente?+
Inserisci all'inizio della conversazione un avviso chiaro che l'utente sta parlando con un'AI. Le linee guida UE del 20 luglio 2026 dicono: chiaro, distinguibile, alla prima interazione. Poi documenta la cosa (screenshot) e inseriscila nell'inventario dei tuoi sistemi AI. Formule pronte e i 6 errori da evitare sono nella nostra guida su chatbot e trasparenza AI Act.
Quanto rischio se non etichetto le immagini AI?+
L'articolo 50 ricade nel secondo livello sanzionatorio: fino a 15 milioni di euro o il 3% del fatturato mondiale. Per le PMI vale la cifra più bassa tra le due, ma resta una sanzione reale e pubblica. Per i contenuti nuovi la regola vale da ora; per quelli di sistemi già sul mercato prima del 2 agosto hai tempo fino al 2 dicembre 2026.
Il mio fornitore di AI è già conforme. Mi copre?+
In parte. Il fornitore ha i suoi obblighi come provider. Tu, come deployer, hai obblighi distinti: formazione del personale, uso conforme, trasparenza verso i tuoi clienti, documentazione. La compliance non si delega. Un fornitore a posto ti aiuta, non ti sostituisce.
L'alto rischio è rimandato: posso ignorare HR e credito?+
Puoi ritardare la conformità strutturata (documentazione tecnica, supervisione, valutazioni) al 2027, ma se usi AI per screening CV o scoring del credito resti comunque un deployer di sistema ad alto rischio. Comincia a mapparlo ora: quando scatta il 2 dicembre 2027 non vuoi partire da zero.
La formazione del personale serve ancora?+
Sì, ed è dovuta dal febbraio 2025. Il Digital Omnibus ha ammorbidito il linguaggio (misurare, non garantire), ma il test resta documentale. Conserva traccia di chi hai formato e su cosa. Senza quel foglio sei già in violazione.
Dove trovo le risorse ufficiali per partire?+
- • AI Act Service Desk: piattaforma ufficiale UE con FAQ e strumenti per PMI
- • Linee guida Art. 50: pubblicate dalla Commissione il 20 luglio 2026
- • EUR-Lex: testo consolidato del Reg. UE 2024/1689 aggiornato al 27 luglio 2026
Vuoi sapere se sei in regola?
Abbiamo preparato una checklist AI Act per PMI in 5 domande. La compili in due minuti e scopri su quali obblighi stai già inciampando. Se preferisci, facciamo un audit gratuito dei tuoi sistemi AI: ti diciamo cosa scatta oggi e cosa puoi rimandare al 2027.