AI Act e legge italiana sull’intelligenza artificiale: che cosa deve fare un’azienda nel 2026

Molte aziende usano già l'intelligenza artificiale, anche quando nessuno l'ha deciso: un commerciale che scrive le offerte con ChatGPT, un assistente sul sito che risponde ai clienti, un software del personale che ordina i curriculum. Dal 2025 queste attività hanno delle regole, europee e italiane. Nel 2026 alcune scadenze sono scattate, altre sono state rinviate.

Qui mettiamo in fila che cosa vale già, che cosa è cambiato con l'AI Omnibus di luglio 2026 e che cosa conviene fare in pratica, senza allarmismi e senza dare per scontato che «tanto non riguarda noi».

Le regole in due righe

Le norme sono due.

• L'AI Act, il Regolamento (UE) 2024/1689, è in vigore dal 1° agosto 2024 e si applica a tappe. Distingue chi fornisce un sistema di IA (per esempio chi sviluppa un software) da chi lo utilizza sotto la propria autorità nella propria attività professionale. Chi usa strumenti di IA per lavoro è, in genere, in questo secondo gruppo: il regolamento lo chiama «deployer».
• La legge italiana sull'intelligenza artificiale, la n. 132 del 23 settembre 2025, è in vigore dal 10 ottobre 2025. Aggiunge regole nazionali, soprattutto sul lavoro e sulle professioni, e affida la vigilanza sui sistemi di IA, con poteri ispettivi e sanzionatori, all'Agenzia per la Cybersicurezza Nazionale (ACN); all'Agenzia per l'Italia digitale (AgID) spetta la promozione. Il Garante per la protezione dei dati personali mantiene i suoi poteri.

Il calendario aggiornato dopo l'AI Omnibus

L'8 luglio 2026 è stato adottato l'AI Omnibus (Regolamento (UE) 2026/1744, «Omnibus digitale sull'IA»), un regolamento di semplificazione pubblicato nella Gazzetta ufficiale dell'UE il 24 luglio 2026 e in vigore dal 27 luglio 2026. Ha spostato alcune scadenze e ne ha confermate altre.

I due nuovi divieti del 2 dicembre 2026 riguardano i sistemi di IA che generano immagini, video o audio realistici intimi o sessualmente espliciti di una persona identificabile senza il suo consenso esplicito, e quelli che generano materiale pedopornografico. Per un'azienda normale sono casi lontani dall'attività quotidiana.

In pratica: le regole sui sistemi ad alto rischio, quelli usati per esempio per selezionare il personale o valutare l'affidabilità creditizia delle persone, hanno più tempo. Formazione e trasparenza invece valgono già.

La formazione sull'IA: che cosa chiede davvero l'articolo 4

L'articolo 4 dell'AI Act si applica dal 2 febbraio 2025 a chi fornisce e a chi usa sistemi di intelligenza artificiale. L'AI Omnibus lo ha riscritto. Prima chiedeva di adottare misure per garantire un livello sufficiente di alfabetizzazione del personale. Ora chiede di adottare misure «volte a sostenere lo sviluppo» dell'alfabetizzazione del personale e di chi usa i sistemi per conto dell'azienda, e precisa che l'obbligo non impone di garantire un livello specifico di alfabetizzazione per alcuna persona. L'obbligo resta: cambia la misura di ciò che si chiede.

Che cosa significa per un'azienda:

• la norma non chiede attestati o certificazioni: conviene però poter dimostrare che cosa avete fatto per formare le persone che usano gli strumenti;
• la formazione va calibrata: la norma chiede di tenere conto delle conoscenze tecniche, dell'esperienza, dell'istruzione e della formazione delle persone, oltre che del contesto d'uso. Chi usa un assistente per scrivere testi ha bisogno di cose diverse da chi lo usa per rispondere ai clienti;
• conviene tenerne traccia: corsi fatti, materiali, regole interne consegnate.

In Italia c'è un'altra norma da conoscere. La legge 132/2025 (articolo 11) stabilisce che l'uso dell'IA nel lavoro deve essere sicuro, affidabile e trasparente e che il datore di lavoro informa il lavoratore dell'utilizzo dell'intelligenza artificiale nei casi e nei modi previsti dall'articolo 1-bis del decreto legislativo 152/1997.

Quell'articolo riguarda i sistemi decisionali o di monitoraggio integralmente automatizzati, usati per fornire indicazioni rilevanti su assunzione, gestione o cessazione del rapporto, assegnazione di compiti, sorveglianza e valutazione dei lavoratori. Non ogni uso dell'IA, quindi: se un software decide o controlla al posto di una persona, l'informativa è obbligatoria; se un dipendente usa un assistente per scrivere un testo, di norma no. Il confine va valutato caso per caso con il vostro consulente del lavoro.

Chatbot, contenuti e trasparenza: che cosa vale dal 2 agosto 2026

Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell'articolo 50. I casi che toccano più spesso le aziende sono tre.

1. Assistenti e chatbot rivolti a clienti o dipendenti: chi ci parla deve essere informato che sta interagendo con un sistema di IA, al più tardi al momento della prima interazione, a meno che sia evidente dal contesto. L'obbligo è scritto per chi fornisce il sistema, che deve progettarlo così. Se usate un assistente di terzi, verificate che lo faccia; se lo costruite o lo mettete sul mercato con il vostro nome potreste essere voi il fornitore.
2. Deepfake: immagini, audio o video generati o modificati con l'IA, che somigliano a persone, oggetti, luoghi o fatti esistenti e che sembrerebbero falsamente autentici, vanno dichiarati come tali da chi li usa. Lo stesso vale per i testi generati dall'IA pubblicati per informare il pubblico su temi di interesse pubblico, salvo che siano passati da una revisione umana sotto la responsabilità editoriale di qualcuno.
3. Marcatura dei contenuti: i fornitori di sistemi che generano testi, immagini, audio o video devono far sì che i contenuti siano riconoscibili anche dalle macchine. L'obbligo vale dal 2 agosto 2026; solo per i sistemi già sul mercato prima di quella data c'è tempo fino al 2 dicembre 2026. Riguarda chi fornisce i sistemi, non chi li usa, ma conviene sapere quali strumenti usate e come si comportano.

Per la violazione degli obblighi di trasparenza dell'articolo 50, come di altri obblighi elencati dal regolamento (per esempio quelli di chi usa sistemi ad alto rischio), sono previste sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, se superiore. Per PMI e start-up vale l'importo più basso tra i due; dopo l'AI Omnibus lo stesso vale, per questa fascia di sanzioni, per le piccole imprese a media capitalizzazione.

Che cosa fare in pratica

1. Fate l'inventario degli strumenti di IA in uso. Non solo quelli comprati dall'azienda: anche gli account personali usati per lavoro, le funzioni di IA dentro i programmi che avete già (posta, CRM, gestionali) e l'assistente sul sito.
2. Stabilite quali dati non si inseriscono. Dati personali dei clienti, informazioni riservate, offerte in corso: scrivetelo chiaramente.
3. Scrivete le regole d'uso. Chi può usare quali strumenti, per fare che cosa, con quali dati, e chi controlla il risultato prima che esca dall'azienda. Un punto di partenza è la policy sull'uso dell'intelligenza artificiale per i dipendenti.
4. Formate le persone, a partire da chi usa gli strumenti ogni giorno, e conservate traccia della formazione.
5. Verificate se dovete informare i lavoratori. Se usate sistemi che decidono o controllano in modo integralmente automatizzato assunzioni, compiti o mansioni, sorveglianza o valutazioni, la legge italiana chiede di informare i lavoratori prima dell'inizio dell'attività lavorativa, in un formato strutturato e leggibile anche da un dispositivo automatico. Anche quando non è obbligatoria, spiegare alle persone quali strumenti usate è una buona pratica.
6. Controllate i casi ad alto rischio. Se usate software per selezionare il personale, valutare i dipendenti o valutare l'affidabilità creditizia delle persone, avete tempo fino al 2 dicembre 2027 per adeguarvi, ma conviene iniziare l'analisi per tempo.

La formazione si può finanziare?

Può esserlo, attraverso i fondi interprofessionali. I datori di lavoro tenuti al contributo per l'assicurazione contro la disoccupazione involontaria versano all'INPS un contributo integrativo pari allo 0,30% delle retribuzioni soggette all'obbligo contributivo, destinato alla formazione continua. Chi aderisce a un fondo interprofessionale fa arrivare questa quota (al netto dei costi amministrativi) al fondo scelto e può usarla per piani formativi, anche sull'uso dell'intelligenza artificiale se il fondo li ammette.

Molti fondi prevedono un conto formazione aziendale: è uno strumento dei regolamenti dei singoli fondi, non della legge. Non è un regalo: è un credito dell'azienda, che chi non aderisce versa comunque senza poterlo indirizzare. Le regole cambiano da fondo a fondo e vanno verificate caso per caso; trovate il quadro nella guida sui fondi interprofessionali e la formazione finanziata.

Dove interveniamo noi

Il nostro lavoro sull'intelligenza artificiale parte proprio da qui, ed è la base dell'automazione dei processi aziendali. Mappiamo gli strumenti che usate, scriviamo le regole d'uso, istruiamo gli assistenti su prodotti, clienti e procedure della vostra azienda e formiamo una persona del vostro team che li gestisce ogni giorno. Quando serve, coordiniamo la formazione finanziata con i partner con cui lavoriamo.

Domande frequenti

Se in azienda usiamo solo ChatGPT, l'AI Act ci riguarda?

Sì, per la parte sulla formazione: chi usa sistemi di IA nella propria attività deve adottare misure per sostenere l'alfabetizzazione del personale. Le regole d'uso non sono imposte come tali, ma sono il modo più semplice per dimostrare di averlo fatto. L'informativa ai lavoratori prevista dalla legge italiana scatta invece solo se l'IA è usata per decidere o controllare in modo automatizzato.

Serve un attestato di formazione sull'IA?

No. La norma non chiede un attestato né un livello certificato. Conviene però poter dimostrare di aver formato le persone in modo adeguato al loro ruolo.

L'AI Omnibus ha cancellato gli obblighi?

No. Ha rinviato quelli sui sistemi ad alto rischio e ha riscritto l'articolo 4, ma formazione e trasparenza restano.

Che cosa scade il 2 dicembre 2026?

Per i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026, il termine per la marcatura leggibile dalle macchine dei contenuti. Dalla stessa data valgono due nuovi divieti, su immagini intime non consensuali e su materiale pedopornografico generati con l'IA.

Fonti

• Unione europea — Regolamento (UE) 2024/1689 (AI Act) — eur-lex.europa.eu — in vigore dal 1° agosto 2024 — consultata il 18/10/2026
• Unione europea — Regolamento (UE) 2026/1744 (Omnibus digitale sull'IA) — eur-lex.europa.eu — atto dell'8 luglio 2026, pubblicato il 24 luglio 2026 — consultata il 18/10/2026
• Commissione europea — AI Act Service Desk, testo consolidato (articoli 3, 4, 5, 50, 99, 111 e 113, allegato III) — ai-act-service-desk.ec.europa.eu — versione consolidata al 27 luglio 2026 — consultata il 18/10/2026
• Commissione europea — Regulatory framework for AI, calendario di applicazione — digital-strategy.ec.europa.eu — aggiornata al 3 agosto 2026 — consultata il 18/10/2026
• Commissione europea — AI Literacy, Questions & Answers — digital-strategy.ec.europa.eu — aggiornata al 27 luglio 2026 — consultata il 18/10/2026
• Normattiva — Legge 23 settembre 2025, n. 132, articoli 11 e 20 — normattiva.it — GU n. 223 del 25/09/2025 — consultata il 18/10/2026
• Normattiva — D.Lgs. 26 maggio 1997, n. 152, articolo 1-bis — normattiva.it — testo in vigore dal 5 maggio 2023 — consultata il 18/10/2026
• Normattiva — Legge 21 dicembre 1978, n. 845, articolo 25 — normattiva.it — consultata il 18/10/2026
• Normattiva — Legge 23 dicembre 2000, n. 388, articolo 118 — normattiva.it — consultata il 18/10/2026
• Ministero del Lavoro — Fondi alle imprese per la formazione continua — lavoro.gov.it — consultata il 18/10/2026