Dal 2 agosto 2026 è scattata la fase più concreta del Regolamento europeo sull'intelligenza artificiale, l'AI Act, e per le imprese italiane non si tratta più di principi astratti: entrano in vigore obblighi di trasparenza, regole sui sistemi ad alto rischio e un sistema di vigilanza con sanzioni graduate. In parallelo, l'Italia mette a terra la propria legge nazionale — la n. 132/2025 — e prepara uno «spazio di sperimentazione» gestito da AgID e ACN per testare i sistemi prima di immetterli sul mercato.
Per molte aziende la reazione istintiva è l'ansia da adempimento. In realtà, con un po' di metodo, la maggior parte degli obblighi si traduce in poche azioni concrete. Vediamole.
Chi vigila in Italia: ACN e AgID
La legge n. 132/2025 assegna i ruoli chiave: l'Agenzia per la cybersicurezza nazionale (ACN) è l'autorità di vigilanza, mentre l'Agenzia per l'Italia digitale (AgID) è l'autorità di notifica. In pratica sono i due soggetti a cui imprese e pubbliche amministrazioni dovranno guardare per controlli, segnalazioni e procedure. Come ricostruisce Agenda Digitale, non tutto entra in vigore nello stesso momento: alcune scadenze relative ai sistemi ad alto rischio sono scaglionate su tempi più lunghi, ma il quadro degli obblighi di trasparenza è ormai operativo e riguarda la generalità delle imprese.
Cosa deve fare concretamente un'azienda
Tre adempimenti riguardano quasi tutte le imprese che usano l'IA, non solo chi la sviluppa:
- Etichettare gli output generati dall'IA. I contenuti prodotti da un sistema di intelligenza artificiale — testi, immagini, audio, video sintetici — devono essere riconoscibili come tali. I chatbot devono dichiarare all'utente di non essere umani. Vale, ad esempio, per un assistente virtuale sul sito o per immagini promozionali generate con l'IA.
- Adottare una policy aziendale sull'IA. Serve un documento interno che stabilisca quali strumenti sono ammessi, come trattare i dati (soprattutto quelli personali, per non violare il GDPR), chi è responsabile e come si vigila sull'uso. È anche il modo migliore per evitare che i dipendenti carichino dati riservati su servizi esterni.
- Mappare gli usi ad alto rischio. Se un sistema rientra tra quelli «ad alto rischio» secondo il regolamento (per esempio in selezione del personale, concessione del credito, sanità, istruzione), scattano obblighi più stringenti: gestione del rischio, supervisione umana, documentazione tecnica e valutazione di conformità.
Le sanzioni sono graduate in base alla gravità della violazione: l'obiettivo dichiarato non è punire l'errore in buona fede, ma colpire l'uso irresponsabile o ingannevole. La proporzionalità è pensata anche per non schiacciare le piccole imprese sotto lo stesso peso delle multinazionali.
È utile ricordare che non tutto scatta oggi. Il regolamento europeo prevede un calendario a tappe: alcuni obblighi più tecnici legati ai sistemi ad alto rischio e alla piena valutazione di conformità hanno tempi di adeguamento più lunghi, in alcuni casi fino al 2027. Il 2 agosto 2026 è comunque la data che segna il passaggio dalla teoria alla pratica per la generalità delle imprese, soprattutto sul fronte della trasparenza. Chi si muove ora arriva in ordine alle scadenze successive; chi aspetta rischia di doversi adeguare di corsa, con costi maggiori.
Lo «spazio di sperimentazione» di AgID e ACN
Accanto agli obblighi, l'Italia introduce una leva pensata per non soffocare l'innovazione: uno spazio di sperimentazione (una sandbox regolatoria) gestito congiuntamente da AgID e ACN. È un ambiente controllato in cui i fornitori possono sviluppare, addestrare, testare e validare i propri sistemi prima della messa sul mercato, con un confronto diretto con le autorità. Il senso è ridurre l'incertezza: capire in anticipo se un sistema è conforme, invece di scoprirlo dopo un investimento già fatto.
Il testo del decreto legislativo che istituisce lo spazio ha ricevuto un parere favorevole del Garante per la protezione dei dati personali (provvedimento del 14 luglio 2026), accompagnato però da alcune condizioni volte a rafforzare il coordinamento tra regole sull'IA e tutela dei dati personali. È un punto delicato: la sperimentazione non può diventare una scorciatoia per trattare dati senza le garanzie del GDPR.
Cosa fare adesso, senza farsi prendere dal panico
Per una piccola o media impresa italiana, il percorso ragionevole non è bloccare tutto, ma mettere ordine. Un buon punto di partenza in quattro passi: fare un inventario degli strumenti di IA già in uso (spesso più numerosi di quanto si pensi, tra assistenti di scrittura, generatori di immagini e chatbot per il servizio clienti); verificare quali producono contenuti da etichettare; redigere una breve policy interna con regole chiare su dati e responsabilità; individuare eventuali usi ad alto rischio e, in quel caso, farsi affiancare da un consulente.
La trasparenza richiesta dall'AI Act, in fondo, è anche una buona pratica commerciale: dire chiaramente quando a rispondere è una macchina aumenta la fiducia dei clienti, non la riduce. E un'azienda che sa quali strumenti usa, con quali dati e sotto la responsabilità di chi, è un'azienda più solida a prescindere dall'obbligo di legge.
Questo articolo ha finalità informative e non costituisce consulenza legale; per gli adempimenti specifici è opportuno rivolgersi a un professionista.
