Obblighi AI Act europeo per le aziende dal 2026

Gli obblighi dell'AI Act europeo per le aziende nel 2026 non sono tutti uguali: dipendono dal ruolo che l'impresa assume e dal tipo di sistema usato. Chi impiega un assistente AI nei propri processi è normalmente un deployer; chi sviluppa o immette il sistema sul mercato è un provider. La maggior parte delle PMI italiane è deployer, ma questo non significa avere zero obblighi: significa che i doveri cambiano e vanno valutati sul caso concreto.

Il primo passo resta un inventario degli strumenti AI: piattaforme cloud, chatbot, OCR, sistemi HR, agenti, funzioni integrate nei software e sperimentazioni individuali. Senza inventario non è possibile capire quali obblighi si applicano, a chi e con quale priorità.

Deployer e provider: due ruoli, obblighi diversi

Il deployer usa un sistema AI sotto la propria autorità. Deve usarlo secondo le istruzioni del fornitore, assegnare supervisione umana dove richiesto, conservare i log pertinenti e segnalare incidenti o rischi. Il provider, invece, progetta o mette sul mercato il sistema e risponde di conformità, documentazione tecnica, qualità dei dati e valutazione del rischio. Un'azienda può essere deployer per un gestionale con AI integrata e provider per un sistema che rivende ai clienti: i due ruoli possono convivere.

Il calendario corretto: 2025-2028

Il Regolamento UE 2024/1689 è entrato in vigore il 1 agosto 2024, ma le sue regole si applicano per fasi. Dal 2 febbraio 2025 si applicano i Capitoli I e II, quindi tra l'altro l'alfabetizzazione AI e la maggior parte delle pratiche vietate. Dal 2 agosto 2025 sono applicabili governance, sanzioni e obblighi per i modelli di IA per finalità generali. Dal 2 agosto 2026 il regolamento diventa in generale applicabile, comprese le norme sulla trasparenza dell'art. 50. Gli obblighi per i sistemi ad alto rischio seguono invece date diverse: 2 dicembre 2027 per le categorie dell'allegato III e 2 agosto 2028 per quelle dell'allegato I.

Cosa deve fare un deployer in pratica

Un deployer deve censire gli usi, capire quali dati entrano nei sistemi, definire chi può usare cosa e verificare le istruzioni del fornitore. Deve inoltre garantire una supervisione umana proporzionata, formare il personale e conservare le tracce utili. La checklist operativa è in obblighi dell'AI Act nel 2026.

In concreto, gli obblighi deployer AI Act si traducono in quattro attività: usare il sistema secondo le istruzioni, mantenere un livello adeguato di competenza del personale, sorvegliare il funzionamento e conservare i log nella misura prevista. Chi affronta gli AI Act 2026 aziende a livello di governance deve collegare questi adempimenti al registro e alle policy interne.

Per capire da quale livello di rischio parte il caso d'uso, la struttura del regolamento è spiegata in Regolamento UE sull'intelligenza artificiale per le aziende. Una chat interna, un OCR o una ricerca documentale non diventano automaticamente alto rischio: la classificazione dipende dalla finalità prevista e dai criteri dell'art. 6 e degli allegati.

Un errore comune

Dire che “tutto parte il 2 agosto 2026” è impreciso, così come dichiarare che un sistema è conforme solo perché gira in azienda. La data del 2026 segna l'applicazione generale, non la scadenza unica di ogni obbligo, e nemmeno la fine degli adempimenti GDPR. Le condizioni tecniche e contrattuali vanno definite durante l'assessment, non dedotte da uno slogan. Per il caso Microsoft 365 il quadro è in scadenza 2026 dell'AI Act per le aziende.

Per un'impresa che vuole usare l'AI su contratti, fatture, dati cliente o know-how, il percorso pratico è partire da inventario, ruoli e flussi reali. Chiedilo a Mirko nasce per questo: workstation AI dedicata nel perimetro aziendale, formazione degli utenti e assessment gratuito su casi d'uso, dati e controlli da mettere in piedi prima di allargare l'adozione.