AI Act 2026 obblighi: cosa fare in azienda, passo per passo

Gli obblighi dell'AI Act nel 2026 riguardano anche le aziende che non sviluppano modelli, ma li usano nei processi professionali. Dal 2 agosto 2026 il regolamento è in generale applicabile; gli obblighi per i sistemi ad alto rischio hanno invece decorrenze distinte, nel 2027 e 2028. Per una PMI il punto non è diventare esperta di diritto, ma governare l'uso reale dell'AI e poterlo dimostrare.

Cosa fare per l'AI Act: partire dall'inventario

Il primo passo è sapere cosa si usa. Molte imprese scoprono che i dipendenti impiegano già AI pubblica per email, contratti, documenti e dati cliente. Serve un inventario semplice: strumento, reparto, finalità, dati trattati, fornitore, persone coinvolte e livello di attenzione richiesto. Il registro va aggiornato quando entra un nuovo strumento.

Alfabetizzazione AI art. 4: cosa richiede davvero

L'alfabetizzazione AI art. 4 chiede a provider e deployer di adottare misure proporzionate per sostenere la competenza del personale e di chi opera con i sistemi per loro conto. Non è una certificazione obbligatoria e non si risolve con un attestato: è formazione continua e contestuale. In pratica significa spiegare quali strumenti sono autorizzati, quali dati non inserire, come verificare le risposte e quando serve la supervisione umana.

Dati, trasparenza e fornitori

Il secondo passaggio è distinguere casi d'uso ordinari e sensibili. Scrivere bozze marketing non è come analizzare CV, dati sanitari o contratti riservati. L'AI Act adotta una logica basata sul rischio e richiede di valutare finalità, dati e impatto. La struttura dei livelli è spiegata in Regolamento UE sull'intelligenza artificiale per le aziende; per il dettaglio dei ruoli vedi obblighi AI Act per le aziende.

La trasparenza art. 50 si applica dal 2 agosto 2026 nei casi previsti: un sistema che interagisce direttamente con una persona deve informarla, salvo che sia evidente, e gli obblighi su contenuti sintetici dipendono dal caso d'uso. Non è un etichettamento automatico di ogni output aziendale: va verificato sul contesto.

Serve poi un presidio sui fornitori. Per ogni strumento chiedi dove girano modello, prompt, log e backup, chi può accedere, quale sub-responsabile interviene e come vengono gestiti i dati personali. Un fornitore serio risponde in modo documentato; se non lo fa, la valutazione resta incompleta. Per una lettura calata sulle risorse di una piccola impresa, vedi conformità all'AI Act per le PMI.

Un percorso di formazione, non un documento

La formazione del personale è il passo che rende tutto il resto efficace. Il percorso per fasi è in come formare i dipendenti sull'intelligenza artificiale: diagnosi delle competenze, sessioni per reparto, esercizi su documenti reali e verifica. Il registro, la policy e l'elenco degli strumenti autorizzati diventano così strumenti vivi, non allegati dimenticati.

Per un'impresa che lavora su contratti, fatture, dati cliente o know-how, l'ambiente tecnico conta quanto la policy. Una soluzione privata nel perimetro aziendale riduce l'uso disperso di servizi esterni e rende più semplice ricostruire accessi, flussi e responsabilità. Chiedilo a Mirko nasce per questo: workstation AI dedicata, OCR, agenti, integrazioni, formazione e assessment gratuito sui casi d'uso reali, con condizioni tecniche definite insieme durante l'assessment.