Think Tank · Guide AI Act

AI Act: tutte le scadenze per le imprese in una pagina

L'AI Act entra in applicazione a tappe, e nel 2026 l'Omnibus digitale ha spostato alcune date. A queste si aggiungono gli obblighi della Legge italiana 132/2025. Ecco il calendario completo, con quello che una PMI deve fare a ogni scadenza.

Aggiornato al 23 ottobre 2026 · A cura del Think Tank di Visionari

2 febbraio 2025: divieti e formazione

Sono vietate le pratiche di AI considerate un rischio inaccettabile, come riconoscere le emozioni dei dipendenti o classificare le persone in base ai dati biometrici. E tutte le imprese che usano l'AI devono curare l'alfabetizzazione AI di chi la usa.

Cosa fare: controlla che nessuno strumento rientri nei divieti e forma il personale. Guide: Usi vietati dell'AI e Formazione AI dei dipendenti.

2 agosto 2025: modelli di AI per uso generale

Si applicano gli obblighi per chi sviluppa i grandi modelli di AI, come quelli alla base di ChatGPT, Gemini o Claude: documentazione, regole sul diritto d'autore, sintesi dei dati di addestramento. Da questa data si applicano anche le regole su autorità di controllo e sanzioni.

Cosa fare: per chi usa questi strumenti non ci sono obblighi nuovi diretti, ma conviene scegliere fornitori che rispettano le regole.

10 ottobre 2025: la Legge italiana 132/2025

La legge italiana sull'intelligenza artificiale si aggiunge all'AI Act. Per le imprese i punti principali sono:

• informativa scritta ai lavoratori quando l'AI è usata per gestirli o valutarli;
• obbligo per i professionisti di informare i clienti sui sistemi di AI usati;
• il nuovo reato di diffusione di deepfake che causano un danno (articolo 612-quater del Codice penale);
• il diritto d'autore protegge le opere create con l'AI solo se frutto del lavoro intellettuale di una persona.

Cosa fare: se usi l'AI per il personale, prepara l'informativa (guida: Informativa ai lavoratori). Se sei un professionista, aggiorna mandati e contratti (guida: ChatGPT e dati personali).

2 agosto 2026: trasparenza e controlli

Chi usa chatbot deve far sapere alle persone che stanno parlando con un'AI. Chi pubblica immagini, video o audio realistici creati con l'AI (deepfake) deve dichiararlo, così come i testi generati con l'AI pubblicati per informare il pubblico, salvo revisione umana. Da questa data le autorità nazionali possono controllare il rispetto degli obblighi già in vigore, formazione compresa.

Cosa fare: aggiorna chatbot e contenuti. Guida: Chatbot e contenuti generati con AI.

2 dicembre 2026: contenuti intimi falsi e marcatura

L'Omnibus digitale aggiunge il divieto dei sistemi di AI usati per creare immagini, video o audio intimi di persone reali senza il loro consenso, o materiale pedopornografico. Entro la stessa data i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i contenuti generati in modo che siano riconoscibili come artificiali.

Cosa fare: se usi strumenti per generare immagini o video, verifica che il fornitore si stia adeguando.

2 dicembre 2027: sistemi ad alto rischio

Data rinviata dall'Omnibus digitale (prima era il 2 agosto 2026). Si applicano gli obblighi per i sistemi ad alto rischio dell'Allegato III: AI usata per selezionare, gestire e valutare il personale, ma anche per l'accesso all'istruzione, al credito, alle assicurazioni e ai servizi essenziali. Chi li usa deve garantire supervisione umana, conservare i registri, informare lavoratori e persone interessate.

Cosa fare: fai l'elenco degli strumenti a rischio e chiedi ai fornitori come si stanno preparando. Guida: AI per selezionare e valutare il personale.

2 agosto 2028: AI nei prodotti

Anche questa data è stata spostata in avanti dall'Omnibus. Si applicano gli obblighi per l'AI integrata in prodotti già soggetti a regole europee di sicurezza, come macchinari, dispositivi medici, giocattoli e ascensori.

Cosa fare: riguarda soprattutto chi produce questi beni. Se è il tuo caso, coinvolgi per tempo chi si occupa della marcatura CE.

Domande frequenti

Le date possono cambiare ancora?

È possibile: l'Omnibus digitale ha già rinviato le regole sull'alto rischio. Aggiorniamo questa pagina quando cambia qualcosa. Gli obblighi già in vigore, però, non sono stati sospesi.

Chi controlla in Italia?

La Legge 132/2025 ha individuato l'Agenzia per l'Italia digitale (AgID) e l'Agenzia per la cybersicurezza nazionale (ACN) come autorità nazionali per l'intelligenza artificiale. Per i dati personali resta competente il Garante privacy, e per i lavoratori l'Ispettorato del lavoro.

Le piccole imprese hanno regole diverse?

Gli obblighi sono gli stessi, perché dipendono da come si usa l'AI. Per le PMI le sanzioni hanno però un tetto più basso: si applica il minore tra l'importo fisso e la percentuale del fatturato.

Fonti

• Regolamento (UE) 2024/1689 (AI Act), articoli 4, 5, 50, 99 e 113
• Regolamento (UE) 2026/1744 (Omnibus digitale sull'AI)
• Legge 23 settembre 2025, n. 132, "Disposizioni e deleghe al Governo in materia di intelligenza artificiale"

Questa guida offre un orientamento generale e non è una consulenza legale.