AI Act e PMI: le nuove scadenze, cosa cambia davvero e cosa fare adesso

Per mesi due parole hanno viaggiato insieme in ogni webinar e in ogni mail commerciale rivolta alle aziende: «AI Act» e «2 agosto 2026». La data che doveva far scattare gli obblighi più pesanti del regolamento europeo sull’intelligenza artificiale. Poi la scadenza si è spostata — e questa volta in via definitiva: il 29 giugno 2026 il Consiglio UE ha adottato formalmente il rinvio, chiudendo l’iter legislativo. Gran parte delle guide che trovi online dice ancora il contrario. Qui trovi il calendario corretto con le fonti ufficiali, cosa resta in vigore già oggi e cosa conviene fare adesso a una PMI che usa — o vuole usare — AI e automazioni nei propri processi.

Il rinvio è definitivo: cosa è successo, in ordine

Il percorso si è chiuso in tre passaggi. Il 7 maggio 2026 Consiglio e Parlamento europei hanno raggiunto l’accordo politico sul cosiddetto «Digital Omnibus», il pacchetto che semplifica le regole digitali UE e sposta le scadenze dell’AI Act sui sistemi ad alto rischio. Il 16 giugno 2026 il Parlamento europeo lo ha approvato con 423 voti favorevoli, 57 contrari e 174 astensioni. Il 29 giugno 2026 il Consiglio UE lo ha adottato formalmente: la procedura legislativa è conclusa, e il regolamento entra in vigore il terzo giorno dopo la pubblicazione in Gazzetta Ufficiale UE.

Vale la pena capire perché hanno rinviato, perché è meno rassicurante di quanto sembri: gli standard tecnici e le linee guida che servono alle aziende per applicare le regole sull’alto rischio non erano pronti. La scadenza è stata spostata perché mancavano gli strumenti per rispettarla — non perché le regole non servano più.

Il nuovo calendario dell’AI Act, data per data

Questo è il calendario aggiornato dopo il Digital Omnibus, come risulta dalla pagina ufficiale della Commissione europea e dalle analisi post-Omnibus:

Un dettaglio che quasi nessuno riporta: la scadenza dell’Allegato III può essere anticipata di sei mesi se la Commissione conferma che gli standard armonizzati sono disponibili prima del previsto. Chi pianifica la conformità all’ultimo minuto rischia quindi di trovarsi la data spostata — questa volta in avanti nel senso sbagliato.

Cosa resta in vigore già oggi (ed è qui che conviene guardare)

Il rinvio riguarda l’alto rischio. Due blocchi di obblighi sono invece già operativi dal 2 febbraio 2025, per tutti:

• I divieti. Le pratiche di AI considerate inaccettabili — come il social scoring o la manipolazione dannosa — sono vietate. Dal 2 dicembre 2026 si aggiungono i divieti su nudificazione non consensuale e materiale di abuso generato dall’AI.
• L’alfabetizzazione AI (art. 4). Chi usa sistemi di AI deve assicurarsi che le persone che li usano abbiano un livello di competenza adeguato al contesto. È l’obbligo che tocca davvero una PMI normale: non richiede certificazioni, richiede formazione proporzionata a come usi questi strumenti.

Gli obblighi sui modelli di AI generica (GPAI), in vigore da agosto 2025, riguardano invece chi i modelli li sviluppa — OpenAI, Google, Anthropic e simili — non chi li usa in azienda.

«Noi usiamo ChatGPT e qualche automazione»: cosa cambia per chi usa AI di terzi

L’AI Act distingue tra chi fornisce un sistema di AI (provider) e chi lo utilizza in un contesto professionale (deployer). La stragrande maggioranza delle PMI italiane sta nella seconda categoria: usa strumenti costruiti da altri. E per un deployer il quadro è molto meno drammatico di quanto i toni di certi webinar lascino intendere.

Gli usi tipici in una piccola impresa — scrivere bozze, riassumere documenti, rispondere alle email, automatizzare passaggi di back-office — non sono «alto rischio» ai sensi del regolamento. L’Allegato III scatta quando l’AI decide su cose che incidono sui diritti delle persone: selezionare il personale, valutare l’affidabilità creditizia, regolare l’accesso a servizi essenziali o all’istruzione. Se usi l’AI per filtrare i curriculum, quel confine lo stai toccando — e dal 2 dicembre 2027 arrivano obblighi veri. Se la usi per scrivere le descrizioni dei prodotti, no.

Restano due obblighi di trasparenza alla portata di tutti: se un chatbot parla con i tuoi clienti, deve essere chiaro che stanno parlando con una macchina; e i contenuti sintetici vanno etichettati come tali (dal 2 agosto 2026, con la marcatura tecnica dal 2 dicembre 2026, in capo soprattutto ai fornitori degli strumenti). Se ti stai chiedendo quali automazioni abbiano davvero senso per la tua azienda, ne abbiamo scritto in dettaglio nella guida sugli agenti AI per le PMI.

La vera notizia non è la scadenza: è il divario

Mentre il dibattito era tutto su una data, i numeri raccontavano un’altra storia. Secondo l’ISTAT (Imprese e ICT, 2025), l’uso dell’AI nelle imprese italiane con almeno 10 addetti è raddoppiato in un anno: dall’8,2% al 16,4%. Ma la crescita non è stata uniforme: le grandi imprese sono passate dal 32,5% al 53,1%, le PMI dal 7,7% al 15,7%. Il divario è salito a circa 37 punti percentuali — era intorno a 20 nel 2023 — ed è l’unico indicatore digitale in cui il gap, invece di chiudersi, cresce.

Due dati dello stesso rapporto spiegano il perché e smontano l’alibi della scadenza. Tra le aziende che hanno valutato l’AI e poi hanno rinunciato, quasi il 60% lo ha fatto per mancanza di competenze — non per la paura delle multe. E l’incertezza normativa frenava il 47,3%: un freno che, con il calendario ora definitivo, non ha più ragione d’essere. Tradotto: la scadenza non è mai stata il motivo per muoversi. Quel divario sì.

Cosa fare adesso, con il tempo guadagnato

Il rinvio non è una scusa per rimandare: è tempo regalato per adottare l’AI bene, non di corsa. La checklist onesta per una PMI che usa (o vuole usare) strumenti di terzi:

1. Censisci gli strumenti AI già in uso. Compresi quelli «non ufficiali»: l’account personale di ChatGPT del commerciale conta. Non puoi governare ciò che non sai di usare.
2. Metti in regola l’alfabetizzazione (art. 4). È già un obbligo ed è la barriera numero uno secondo l’ISTAT. Formazione proporzionata al ruolo: chi usa l’AI per scrivere email non ha bisogno dello stesso percorso di chi la usa sui dati dei clienti. Due ore di formazione onesta valgono più di dieci strumenti comprati a caso.
3. Verifica se qualche uso tocca l’alto rischio. Selezione del personale, credito, accesso a servizi: se ci sei dentro, hai tempo fino a dicembre 2027 — ma è il tipo di adeguamento che si pianifica, non si improvvisa.
4. Tieni l’umano nel loop sulle decisioni che contano. Quando l’AI tratta dati personali si applica il GDPR — il Garante Privacy dedica al tema una sezione con provvedimenti e linee guida. Tenere la supervisione umana sulle decisioni che contano, oltre che buon senso, è il modo più solido di costruire: chi lo fa oggi è già a norma domani.
5. Documenta: quale strumento, per quale processo, su quali dati. Una pagina per sistema basta. Quando gli obblighi veri scatteranno, ti ringrazierai.
6. Usa questi mesi per partire dal processo giusto. La domanda non è «voglio l’AI?», è «qual è il lavoro ripetitivo che ruba più ore a settimana?». Se non sai da dove cominciare, abbiamo mappato i cinque processi da cui iniziare con l’AI in azienda.

E un avvertimento, da chi la tecnologia la costruisce: diffida di chi vende «la conformità all’AI Act in un click» o l’agente magico che fa tutto da solo. L’AI seria si costruisce sul tuo processo e si sorveglia nel tempo. Il resto è marketing — lo stesso marketing che per due anni ha venduto l’urgenza di una scadenza che non c’è più.

In sintesi: la scadenza si è spostata, l’opportunità no

Le regole più dure sull’alto rischio arrivano tra la fine del 2027 e il 2028; divieti, alfabetizzazione e trasparenza valgono già o quasi. Ma il rischio concreto per una PMI italiana, oggi, non è una multa: è restare nel 15,7% mentre le grandi imprese superano il 53%. Se vuoi capire quale processo della tua azienda automatizzare per primo — a norma e senza fuffa — parti da una consulenza gratuita: mezz’ora sul tuo processo, non sul nostro listino.