L'AI Act si affronta in un'ora, non con un progetto di compliance

Il 2 agosto 2026 l'AI Act entra in una nuova fase: iniziano le attività di vigilanza da parte delle autorità nazionali. Non è l'entrata in vigore del regolamento — quella è già avvenuta il 1° agosto 2024 — ed è proprio per questo che vale la pena guardarlo con ordine invece che con allarme.

Per una PMI che utilizza strumenti come ChatGPT, Copilot, Gemini o un chatbot sul proprio sito, il primo obiettivo non è un progetto di compliance da cinquanta pagine. È molto più concreto: sapere quali sistemi vengono utilizzati, da chi e con quali regole.

Le due date che contano davvero

La prima è già passata, e quasi nessuno l'ha notata: dal 2 febbraio 2025 è obbligatorio garantire un adeguato livello di alfabetizzazione sull'intelligenza artificiale a chi la usa in azienda. La seconda è quella del 2 agosto 2026: da quel giorno iniziano anche i controlli delle autorità nazionali su questi obblighi.

La buona notizia è che mettere in ordine le basi richiede un'ora, non un progetto.

Quattro passi, in un'ora

Dieci minuti per l'inventario. Elenca tutti gli strumenti AI utilizzati in azienda: ChatGPT, Copilot, Gemini, chatbot, funzioni integrate nel CRM, strumenti di trascrizione, generatori di immagini, sistemi di analisi o automazione. Non serve altro, per adesso, che un elenco completo.

Documenta come vengono utilizzati. Per ogni strumento indica chi lo usa, per quale attività, quali dati inserisce, quali rischi comporta. Non serve essere precisi al millimetro. Serve iniziare ad avere traccia di ciò che accade — è la parte che quasi nessuna PMI ha, ed è quella che un controllo chiederebbe per prima.

Scrivi una policy di una pagina. Tre sezioni bastano per partire: cosa si può fare con l'AI, cosa è vietato — ad esempio inserire dati personali o informazioni riservate nei tool pubblici — e chi contattare in caso di dubbio.

Informa il personale. Un breve momento formativo, oppure delle linee guida operative scritte, conservando traccia dell'attività. Non è necessario un certificato specifico: un registro interno della formazione e delle iniziative realizzate è sufficiente.

Questi quattro passaggi non garantiscono da soli la piena conformità all'AI Act, soprattutto per chi utilizza sistemi ad alto rischio. Ma rappresentano una base concreta per governare l'AI invece di lasciare che venga utilizzata senza controllo.

Quello che questi passi non risolvono da soli

Se usi l'AI per selezionare candidati o per decidere l'accesso al credito, sei nella categoria dei sistemi ad alto rischio, e questi quattro passi non bastano: lì la posta è più alta. La proroga concordata con il Digital Omnibus sposta l'applicazione di quelle regole al 2 dicembre 2027, ma è tempo in più per prepararsi, non un'esenzione. Per la maggior parte delle PMI che usano l'AI per scrivere email, rispondere a richieste ricorrenti o analizzare dati di vendita, invece, la base che conta è quella sopra, e vale già da ora.

Cosa fare per primo

Il punto di partenza è un foglio con il nome di ogni strumento AI usato in azienda. Ogni tool che non riesci a ricordare è, quasi per definizione, un tool che nessuno sta controllando. Finire quella lista è il primo passo concreto — e vale a prescindere da qualsiasi scadenza.

Fonti

• Regolamento (UE) 2024/1689 (AI Act): art. 4 (obbligo di alfabetizzazione AI, applicabile dal 2 febbraio 2025); obblighi generali e avvio della vigilanza nazionale dal 2 agosto 2026; proroga dell'applicazione dei sistemi ad alto rischio (Allegato III) al 2 dicembre 2027 per effetto del Digital Omnibus.
• Copertura editoriale della scadenza del 2 agosto 2026 verificata su più fonti indipendenti, tra cui attrahere.com, universeit.blog e yellowtech.it (luglio 2026).