AI Act 2026: gli obblighi degli utilizzatori e le scadenze aggiornate

Se acquistate funzionalità di IA da fornitori di software invece di sviluppare modelli in proprio, l'AI Act europeo vi chiede molto meno di quanto suggerisca la maggior parte dei contenuti sulla conformità, e ve lo chiede a scadenze che sono cambiate a luglio 2026. Questa guida illustra il calendario aggiornato e i doveri specifici che ricadono su un'azienda che usa l'IA, anziché su una che la vende.

Siete fornitori o utilizzatori ai sensi dell'AI Act?

L'AI Act ripartisce i doveri in base al ruolo, non alle dimensioni dell'azienda. Un fornitore (provider) sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. Un utilizzatore (deployer) impiega un sistema di IA sotto la propria autorità nell'esercizio della propria attività. Il fornitore si fa carico della valutazione della conformità, della documentazione tecnica, del sistema di gestione della qualità, della registrazione e del monitoraggio successivo all'immissione sul mercato. L'utilizzatore si fa carico di un insieme di doveri molto più ristretto e prevalentemente organizzativo.

Quasi tutte le medie imprese europee che oggi adottano l'IA sono utilizzatori. Acquistate un assistente, uno strumento di analisi documentale o una funzionalità di IA integrata nel vostro CRM, e il fornitore è il vendor. Vale la pena stabilire questa distinzione prima di ogni altra cosa, perché è la differenza tra un insieme di controlli proporzionato e un programma di conformità costruito sul rischio di qualcun altro.

C'è un'insidia. Se apponete il vostro nome su un sistema di IA, ne modificate sostanzialmente uno, o cambiate la finalità di un sistema per finalità generali al punto da renderlo ad alto rischio, il Regolamento può trattarvi come fornitori, con l'intero corredo di obblighi che ne consegue. Mettere a punto un modello con il fine-tuning e distribuirlo all'interno di un prodotto proprio è il modo più comune in cui un'azienda supera quella linea senza accorgersene.

Quali sono le scadenze dell'AI Act dopo il Digital Omnibus?

Il Regolamento è il Regolamento (UE) 2024/1689, del 13 giugno 2024, pubblicato nella Gazzetta ufficiale il 12 luglio 2024. È stato modificato dal Digital Omnibus dedicato all'IA, il Regolamento (UE) 2026/1744, pubblicato il 24 luglio 2026 ed entrato in vigore il 27 luglio 2026. Qualsiasi piano di conformità redatto prima di quella modifica riporta ora date sbagliate, il che vale la pena verificare se la vostra roadmap è stata stesa nel 2025.

Il calendario così come si presenta oggi:

• Dal 2 febbraio 2025. Si applicano i divieti relativi alle pratiche di IA inaccettabili, insieme all'obbligo di alfabetizzazione in materia di IA. Il Digital Omnibus ha attenuato quest'ultimo, passando dal garantire un livello sufficiente di alfabetizzazione all'adottare misure per sostenerne lo sviluppo, il che riduce l'esposizione creata da un singolo dipendente non formato.
• Dal 2 agosto 2025. Si applicano le regole di governance e gli obblighi per i modelli di IA per finalità generali.
• Dal 2 agosto 2026. Si applicano gli obblighi di trasparenza dell'articolo 50. Le persone devono essere informate quando interagiscono con un sistema di IA, e i contenuti sintetici devono essere marcati come generati da macchina.
• Dal 2 dicembre 2026. Scadenza transitoria per alcuni obblighi di marcatura e rilevamento di cui all'articolo 50, paragrafo 2, riferiti a sistemi già immessi sul mercato prima del 2 agosto 2026, oltre ai nuovi divieti sui sistemi di IA che generano immagini intime non consensuali e materiale pedopornografico.
• Dal 2 dicembre 2027. Obblighi per i sistemi ad alto rischio autonomi dell'allegato III: biometria, infrastrutture critiche, istruzione, occupazione e gestione dei lavoratori, accesso ai servizi essenziali, attività di contrasto, migrazione e amministrazione della giustizia.
• Dal 2 agosto 2028. Obblighi per l'IA ad alto rischio incorporata come componente di sicurezza in prodotti già regolamentati dalla normativa di cui all'allegato I, come i dispositivi medici e le macchine.

Il rinvio delle scadenze relative all'alto rischio concede tempo per pianificare. Non elimina il requisito e non aiuta chi nel frattempo mette in servizio un sistema di questo tipo, perché i controlli devono comunque esistere prima che il sistema arrivi in produzione, non prima della scadenza di legge.

Il Digital Omnibus ha inoltre esteso alle piccole imprese a media capitalizzazione le agevolazioni di conformità prima riservate alle PMI, definendole come imprese con meno di 750 dipendenti e un fatturato annuo inferiore a 150 milioni di euro. Quella soglia copre una quota ampia del mid-market europeo, e vale la pena verificare se la vostra azienda rientri ora tra quelle che possono avvalersi di una documentazione semplificata.

Che cosa deve fare concretamente un utilizzatore?

Per l'IA che non è ad alto rischio, cioè la maggior parte degli strumenti di produttività e di lavoro cognitivo, i doveri sono leggeri. Sostenete l'alfabetizzazione in materia di IA tra le persone che usano il sistema, rispettate le regole di trasparenza dell'articolo 50 dove si applicano a ciò che pubblicate, e trattate i dati personali secondo il GDPR come fareste in qualsiasi altro contesto. Questo è il riassunto onesto, ed è molto lontano dal programma di conformità che il mercato ha venduto finora.

Per i sistemi ad alto rischio, l'articolo 26 stabilisce che cosa deve fare un utilizzatore, e si legge più come igiene operativa che come ingegneria giuridica. Usate il sistema conformemente alle istruzioni per l'uso del fornitore. Affidate la sorveglianza umana a persone individuate per nome, dotate della competenza, della formazione e dell'autorità necessarie per intervenire davvero. Laddove controllate i dati di input, vi assicurate che siano pertinenti e sufficientemente rappresentativi rispetto alla finalità prevista. Monitorate il comportamento del sistema e informate il fornitore e l'autorità nazionale quando emerge un rischio o un incidente grave. Conservate i log generati automaticamente per almeno sei mesi, più a lungo se altre norme lo richiedono. Se siete datori di lavoro, informate i lavoratori e i loro rappresentanti prima di mettere il sistema in servizio. E, quando il sistema rientra tra i casi dell'allegato III che riguardano le persone, informate gli interessati che è in uso.

Due ulteriori aspetti colgono impreparate le aziende. Gli utilizzatori devono servirsi delle informazioni fornite dal fornitore per completare la propria valutazione d'impatto sulla protezione dei dati ai sensi del GDPR: la DPIA e il lavoro sull'AI Act sono quindi lo stesso progetto, non due. E ai sensi dell'articolo 27 la valutazione d'impatto sui diritti fondamentali è richiesta agli organismi pubblici, ai soggetti privati che forniscono servizi pubblici e a qualsiasi utilizzatore che impieghi i sistemi dell'allegato III per la valutazione del merito creditizio o per la valutazione del rischio e la tariffazione nelle assicurazioni vita e malattia. Se non rientrate in nessuna di queste categorie, quella valutazione non vi riguarda.

Dove l'AI Act incontra gli altri obblighi

L'AI Act non vive isolato, e trattarlo come un percorso separato è il modo in cui i programmi di conformità del mid-market finiscono per duplicarsi. Il GDPR richiede una valutazione d'impatto sulla protezione dei dati quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, il che copre la maggior parte dei casi d'uso dell'IA che coinvolgono dati personali, profilazione, monitoraggio dei dipendenti o supporto decisionale automatizzato. Quella valutazione va fatta prima della produzione, non dopo che il progetto pilota ha impressionato il consiglio di amministrazione.

Le norme di settore aggiungono un ulteriore strato. I soggetti finanziari rientranti in DORA, il Regolamento (UE) 2022/2554, applicabile dal 17 gennaio 2025, e le organizzazioni rientranti nella NIS2, la Direttiva (UE) 2022/2555, devono inserire i sistemi di IA e i relativi fornitori nei regimi già esistenti di gestione del rischio ICT, segnalazione degli incidenti e supervisione delle terze parti. In pratica, questo significa che il vostro questionario per i fornitori di IA dovrebbe essere lo stesso documento del questionario per i fornitori ICT terzi, con l'aggiunta di poche domande specifiche sull'IA.

Il Data Act, il Regolamento (UE) 2023/2854, in vigore dall'11 gennaio 2024 e applicabile dal 12 settembre 2025, spinge nella stessa direzione dal lato dei dati, rafforzando i diritti sui dati generati dai prodotti connessi e agevolando il passaggio tra fornitori cloud ed edge. Per l'integrazione dell'IA la conseguenza pratica è che la portabilità e una descrizione contrattuale chiara dei dati non sono più un optional.

I primi 90 giorni, realisticamente

Nulla di tutto questo richiede un programma di trasformazione. Richiede un registro e poche decisioni.

Cominciate elencando i sistemi di IA già in uso, compresi quelli che i dipendenti hanno adottato senza chiedere, e annotate per ciascuno il fornitore, il responsabile aziendale, i dati che tratta e se il caso d'uso rientra in una delle categorie dell'allegato III. Quel registro è l'unico artefatto da cui dipende tutto il resto, e la maggior parte delle aziende scopre durante l'esercizio di usare più IA di quanta pensasse e meno IA ad alto rischio di quanta temesse.

Classificate poi il vostro ruolo per ciascuna voce, fornitore o utilizzatore, e annotate ogni punto in cui potreste scivolare verso lo status di fornitore attraverso il fine-tuning o l'apposizione del marchio. Verificate i requisiti di trasparenza dell'articolo 50 rispetto a tutto ciò che pubblicate o generate verso l'esterno, perché quella scadenza è già passata. Attuate le misure di alfabetizzazione in materia di IA, che per la maggior parte delle organizzazioni significano una sessione formativa breve e documentata anziché un programma di certificazione. E dove individuate un vero caso d'uso ai sensi dell'allegato III, usate deliberatamente il tempo che vi separa da dicembre 2027: assegnate la sorveglianza umana, definite la registrazione dei log e redigete la valutazione d'impatto prima che il sistema entri in funzione, non prima della scadenza.

Le aziende che faranno più fatica non sono quelle con più IA. Sono quelle che non sanno dire quali sistemi utilizzano, chi ne è responsabile e quali dati toccano. È un problema di inventario prima ancora che giuridico, ed è lo stesso inventario che rende possibile l'integrazione dell'IA, argomento che approfondiamo nella nostra guida all'integrazione dell'IA nei software aziendali.

Questo articolo riflette il quadro normativo in vigore ad agosto 2026 e non costituisce consulenza legale. Parlate con WWG IT se volete supporto per mappare i vostri sistemi di IA, classificare il vostro ruolo e integrare i controlli nell'architettura anziché applicarli a posteriori.

Fonti

• EUR-Lex, Regolamento (UE) 2024/1689 (Regolamento sull'intelligenza artificiale), pubblicato il 12 luglio 2024.
• Regolamento (UE) 2026/1744, Digital Omnibus sull'IA, pubblicato nella Gazzetta ufficiale il 24 luglio 2026, in vigore dal 27 luglio 2026.
• Commissione europea, calendario di attuazione dell'AI Act, AI Act Service Desk.
• Articolo 26, obblighi degli utilizzatori dei sistemi di IA ad alto rischio.
• Articolo 27, valutazione d'impatto sui diritti fondamentali.
• Commissione europea, orientamenti sulle valutazioni d'impatto sulla protezione dei dati, GDPR articoli 35 e 36.
• Commissione europea, Data Act, Regolamento (UE) 2023/2854.