AI Act: cosa fare subito e cosa può aspettare
Con il rinvio di alcune scadenze la tentazione è fermarsi. Ma diversi obblighi sono già attivi, e la parte «rinviata» richiede mesi di preparazione. Ecco una mappa pratica delle priorità: cosa fare adesso, cosa pianificare per il 2026, cosa monitorare per il 2027.
Ogni volta che una scadenza slitta, in azienda succede la stessa cosa: il progetto scivola in fondo alla lista. «C'è tempo.» E in parte è vero — con il Digital Omnibus alcune scadenze dell'AI Act si sono spostate al 2027 e al 2028.
Il punto è che «rinviato» e «da ignorare» non sono sinonimi. Alcuni obblighi sono già in vigore da più di un anno. Altri restano fissati al 2026. E la parte davvero rinviata è anche quella che richiede più tempo per essere affrontata. Aspettare l'ultimo momento, qui, non fa risparmiare: fa arrivare in ritardo.
Per non perdersi, la cosa più utile è dividere tutto in tre secchielli: da fare subito, da pianificare ora, da preparare con più calma. Vediamoli.
TL;DR
- Subito (già in vigore): formare le persone, conoscere i divieti, governare la Shadow AI, mappare i modelli di IA che usi.
- Da pianificare ora (scadenze 2026): trasparenza verso gli utenti, marcatura dei contenuti generati, ruoli e responsabilità.
- Con più calma (2027/2028): sistemi ad alto rischio. Rinviati, ma la preparazione richiede mesi: la mappatura si inizia adesso.
- Il filo conduttore: la parte già in vigore riguarda quasi tutte le PMI. Quella rinviata riguarda poche aziende, ma richiede tempo.
Da fare subito (è già in vigore)
Queste cose non aspettano il 2027. Sono obblighi attivi oggi, che il Digital Omnibus non ha toccato.
1. Formare le persone (AI literacy)
Dal 2 febbraio 2025 l'articolo 4 dell'AI Act chiede alle aziende che usano l'IA di promuovere la formazione del personale sull'uso consapevole. Non è un corso enorme: è un percorso di base su ruoli, rischi e obblighi, per chiunque tocchi strumenti di IA — management, HR, IT, operatori.
Il test è semplice: se in azienda qualcuno usa ChatGPT o Copilot e non ha mai ricevuto una formazione minima, l'obbligo è già scoperto. È il punto da cui partire, anche perché è il più veloce da chiudere.
2. Conoscere i divieti
Alcune pratiche di IA sono vietate dal 2 febbraio 2025: social scoring, manipolazione subliminale, categorizzazione biometrica di dati sensibili, polizia predittiva sugli individui. A cui il Digital Omnibus ha aggiunto il divieto per le app che generano immagini sessualmente esplicite di persone senza consenso.
Non serve un master: serve che chi sviluppa prodotti o sceglie strumenti sappia quali usi sono fuori legge, per non inciamparci nemmeno per errore. Un modulo dedicato dentro la formazione basta.
3. Governare la Shadow AI
È il rischio più concreto e meno visibile: i collaboratori che usano strumenti di IA senza alcuna regola aziendale. Documenti riservati, dati dei clienti, informazioni strategiche che finiscono dentro tool esterni — spesso in totale buona fede.
Non è un obbligo con una data, è un rischio con una data: oggi. La risposta non è vietare (non funziona), ma governare: una policy interna chiara su quali strumenti usare e come, più una formazione su dati e sicurezza. Meglio guidare l'uso dell'IA che scoprirlo dopo.
4. Mappare i modelli GPAI che usi
Dal 2 agosto 2025 i modelli di IA a uso generale hanno obblighi propri, con sanzioni fino a 35 milioni di euro o al 7% del fatturato. Se sviluppi questi modelli l'obbligo è diretto; se usi le API di un fornitore, hai comunque la responsabilità di sapere cosa integri.
Il primo passo è una mappa: quali modelli usi, interni ed esterni, in quali processi. Senza questa mappa, ogni valutazione successiva parte al buio.
Da pianificare ora (scadenze 2026)
Qui le scadenze non sono rinviate: sono confermate. Vanno messe a calendario adesso, non a ridosso.
Trasparenza verso gli utenti (art. 50)
Dal 2 agosto 2026, quando una persona interagisce con un sistema di IA deve poterlo sapere: chatbot, assistenti virtuali, voci sintetiche, contenuti generati. Se usi un chatbot sul sito o generi contenuti con l'IA, è il momento di pianificare l'adeguamento e di coinvolgere marketing, customer care e comunicazione.
Marcatura dei contenuti generati
Chi produce contenuti con l'IA deve prepararsi alla marcatura leggibile dalle macchine dei contenuti sintetici. Non è un interruttore da premere all'ultimo: bisogna verificare che i tool usati la supportino e adeguare i flussi di produzione.
Chiarire i ruoli: provider o deployer
L'AI Act divide i ruoli in due: chi fornisce un sistema di IA (provider) e chi lo utilizza in un contesto professionale (deployer). La maggior parte delle PMI è deployer.
Ma attenzione: se personalizzi in modo sostanziale un sistema o lo rivendi con il tuo marchio, puoi diventare provider — con obblighi molto più stringenti. Capire da che parte stai è la prima domanda di qualsiasi percorso di compliance.
Con più calma, ma non ferma (2027/2028)
Qui c'è la parte davvero rinviata: i sistemi di IA ad alto rischio (HR, credito, sanità, istruzione, giustizia, servizi essenziali). Le scadenze si sono spostate al 2 dicembre 2027 e al 2 agosto 2028.
Sembra lontano. Ma la preparazione richiede tempo vero: mappatura dei sistemi, valutazione dei rischi, documentazione tecnica, valutazione d'impatto sui diritti fondamentali. Sono processi che durano mesi, non settimane.
Il consiglio pratico è iniziare ora la mappatura dei sistemi e pianificare la formazione tecnica sul 2026/2027. Chi parte adesso arriva alla scadenza senza corse dell'ultimo minuto.
Perché non conviene aspettare
Facciamo il punto onesto. Gli obblighi già in vigore — formazione, divieti, governance, trasparenza — non sono stati toccati. Le scadenze rinviate riguardano la parte tecnica dei sistemi ad alto rischio e richiedono comunque mesi di preparazione. In mezzo, non c'è quasi nessuno spazio per «aspettare».
C'è di più. Costruire adesso una cultura aziendale sull'IA — persone formate, ruoli chiari, regole d'uso — non è solo un adempimento: è meno rischio, meno Shadow AI, decisioni migliori. E significa arrivare alle scadenze future già pronti, mentre gli altri rincorrono.
La compliance sull'IA non è un costo da rimandare finché si può. È un vantaggio competitivo da anticipare finché si è in tempo. E il momento in cui costa meno muoversi è sempre adesso.
La checklist da tenere sulla scrivania
- Le persone che usano l'IA hanno ricevuto una formazione minima (art. 4)? → Se no, parti da qui.
- Sviluppatori e decision maker conoscono le pratiche vietate?
- Esiste una policy interna sull'uso degli strumenti di IA (Shadow AI)?
- Hai una mappa dei modelli di IA che usi, interni ed esterni?
- Chatbot e contenuti generati: hai pianificato trasparenza e marcatura per il 2026?
- Sai se, per i tuoi sistemi, sei provider o deployer?
- Se usi IA ad alto rischio: hai iniziato la mappatura, anche se la scadenza è nel 2027?
Se rispondi sì a queste domande, il rinvio non ti trova impreparato: ti trova avanti.
Da dove partire, concretamente
Se anche solo una delle risposte alla checklist è «no», il Corso AI Act copre in poche ore l'obbligo di formazione già in vigore, con attestato nominativo per ogni dipendente. È la spunta più veloce da chiudere.
Per il resto — mappatura sistemi, policy Shadow AI, roadmap 2026-2027 — l'Assessment Compliance AI Act mette in ordine tutto in 3 mesi. Se invece sei una direzione che vuole governare l'intera adozione AI in azienda (non solo l'aspetto normativo), guarda AI Governance.
Scopri il corso · Scopri l'assessment · Parliamone in una call
Fonti
- Regolamento UE 2024/1689 (AI Act)
- AI Act — Articolo 4 (AI literacy)
- AI Act — Articolo 50 (trasparenza)
- Digital Omnibus (COM 2025/836), mandato negoziale del Parlamento europeo, 26 marzo 2026 — digital-strategy.ec.europa.eu
Nota: contenuto a scopo informativo, non costituisce consulenza legale. Le scadenze e gli obblighi vanno verificati con un legale o un DPO sul caso concreto.