AI Act: cosa cambia per la PMI che usa ChatGPT dal 2 agosto 2026

Il 2 agosto 2026 il Regolamento europeo sull’intelligenza artificiale, il Regolamento (UE) 2024/1689, diventa pienamente applicabile. Per una PMI che usa ChatGPT o strumenti simili la sostanza è questa: non serve alcuna certificazione, ma scattano obblighi di trasparenza, e quello sulla formazione del personale è in vigore già da febbraio 2025. Vediamo cosa riguarda davvero un’azienda da 50 dipendenti, e cosa no.

La mia azienda è davvero interessata dall’AI Act?

Sì, ma non nel modo che molti temono. L’AI Act distingue due ruoli principali: il provider, cioè chi sviluppa e mette sul mercato il sistema di intelligenza artificiale, e il deployer, cioè chi lo usa sotto la propria autorità nell’attività professionale. La PMI che usa ChatGPT per scrivere offerte, riassumere documenti o rispondere ai clienti è un deployer. Gli obblighi pesanti del regolamento, dalla documentazione tecnica alla gestione del rischio, ricadono sui provider: OpenAI, Google, Microsoft e gli altri. Al deployer restano doveri più leggeri, ma reali e sanzionabili.

Il regolamento è in vigore dal 1° agosto 2024 e si applica a tappe, come spiega la pagina ufficiale della Commissione europea. Le tappe che contano per un’impresa utilizzatrice sono tre.

Cosa è già in vigore, e molti non lo sanno

Dal 2 febbraio 2025 si applicano due blocchi di norme. Il primo vieta le pratiche a rischio inaccettabile: manipolazione dannosa, social scoring, riconoscimento delle emozioni sul posto di lavoro. Una PMI normale non le tocca nemmeno per sbaglio, ma il divieto sul riconoscimento delle emozioni merita attenzione da parte di chi valuta software di monitoraggio dei dipendenti o dei call center.

Il secondo blocco è quello che quasi nessuna PMI ha notato: l’obbligo di alfabetizzazione all’AI. Chi usa sistemi di intelligenza artificiale in azienda deve garantire che il personale coinvolto abbia un livello sufficiente di competenza sull’uso di questi strumenti. Non è richiesto un master: contano misure proporzionate al contesto, come una policy interna e una formazione di base documentata. Il punto è che l’obbligo esiste da più di un anno, e a oggi la maggior parte delle aziende che usano ChatGPT ogni giorno non ha in mano nulla di scritto.

Dal 2 agosto 2025 sono poi diventate applicabili le regole sui modelli di AI per finalità generali, i cosiddetti GPAI. Riguardano chi i modelli li produce, non chi li usa: per la PMI questa tappa è neutra.

Cosa scatta il 2 agosto 2026

La data segna la piena applicabilità del regolamento. Per chi usa AI generica il capitolo rilevante è la trasparenza, su tre fronti.

• Chatbot verso l’esterno. Se l’azienda mette un assistente AI sul sito o nel servizio clienti, le persone devono sapere che stanno parlando con una macchina. Basta dichiararlo in modo chiaro, ma va fatto.
• Contenuti generati. I provider devono rendere identificabili i contenuti generati dall’AI, e i contenuti di tipo deepfake o i testi pubblicati per informare il pubblico vanno etichettati in modo chiaro e visibile. Per la comunicazione ordinaria di una PMI, un’email commerciale o una scheda prodotto riviste da una persona, il tema non si pone. Si pone per chi pubblica contenuti sintetici spacciandoli per reali.
• Usi delicati interni. Se l’AI entra in processi come la selezione del personale o la valutazione dei dipendenti, si esce dal territorio degli usi generici e ci si avvicina ai sistemi ad alto rischio, che hanno un regime a parte, con obblighi molto più pesanti anche per chi li usa. La PMI che usa ChatGPT per la corrispondenza non c’entra nulla; quella che fa fare all’AI lo screening dei curriculum deve fermarsi e informarsi prima.

Dal 2 agosto 2026 diventa operativo anche l’impianto sanzionatorio nazionale. Il messaggio pratico non è il terrore della multa: è che da quella data un’ispezione o un contenzioso possono chiedere conto di obblighi che oggi quasi nessuno presidia.

E la legge italiana?

L’Italia si è mossa prima di molti altri Stati membri. La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, detta principi nazionali su sviluppo e adozione dell’AI in coerenza con il regolamento europeo e delega il governo ad allineare l’ordinamento. Per la PMI non aggiunge oggi adempimenti diretti rispetto all’AI Act, ma conferma la direzione: il quadro italiano si sta costruendo, e chi arriva ad agosto con le carte in ordine non dovrà rincorrere i decreti attuativi.

Cosa conviene sistemare nei mesi che restano

Tra il 21 maggio e il 2 agosto ci sono poco più di due mesi. Per un’azienda da 50 dipendenti il lavoro è gestibile in poche settimane, senza consulenze monstre.

• Censimento. Un elenco onesto degli strumenti AI usati in azienda, inclusi quelli che i reparti hanno adottato da soli. Nella pratica è la parte che riserva più sorprese.
• Policy d’uso. Una pagina, non un tomo: cosa si può inserire negli strumenti AI e cosa no (dati di clienti, dati personali, informazioni riservate), chi approva i nuovi strumenti, chi risponde ai dubbi.
• Formazione documentata. Una sessione di base per chi usa questi strumenti, con data e firme. Copre l’obbligo di alfabetizzazione e riduce gli errori veri, che nascono quasi sempre da uso ingenuo.
• Trasparenza. Se c’è un chatbot rivolto a clienti o fornitori, aggiungere la dichiarazione che si tratta di un sistema automatico.
• Zona rossa. Verificare se l’AI tocca selezione o valutazione del personale. Se sì, approfondire prima di proseguire, non dopo.

La logica è la stessa già vista con altre scadenze europee, dal Regolamento Macchine 2027 alla Transizione 5.0: chi si muove quando la finestra è ancora aperta sceglie tempi e costi, chi si muove dopo li subisce. L’AI Act, per una PMI utilizzatrice, non è una rivoluzione: è un elenco corto di cose ragionevoli da mettere per iscritto. Il rischio vero non è la norma, è arrivare ad agosto senza averla mai letta.