AI Act per PMI e studi professionali.
Anche chi utilizza ChatGPT o Copilot in azienda deve rispettare alcuni obblighi già in vigore. Le disposizioni sui sistemi ad alto rischio si applicheranno dal 2 dicembre 2027. Per i professionisti, la legge 132/2025 prevede anche l’obbligo di informare i clienti.
Trenta minuti gratuiti, senza impegno.
Le principali scadenze da conoscere.
L’AI Act è il Regolamento europeo 2024/1689, entrato in vigore il 1° agosto 2024. Il successivo Regolamento 2026/1744, in vigore dal 27 luglio 2026, ha posticipato le scadenze previste per i sistemi ad alto rischio.
2 febbraio 2025
Entrano in applicazione i divieti previsti dall’articolo 5 e gli obblighi di alfabetizzazione sull’AI stabiliti dall’articolo 4.
Disposizioni già applicabili.
2 agosto 2025
Diventano applicabili le norme sulla governance e gli obblighi per i fornitori di modelli di intelligenza artificiale per finalità generali.
Disposizioni già applicabili.
2 agosto 2026
L’AI Act diventa generalmente applicabile, compresi gli obblighi di trasparenza dell’articolo 50. Le autorità nazionali possono esercitare i poteri di vigilanza e sanzione previsti.
Disposizioni già applicabili.
2 dicembre 2026
Entrano in vigore nuovi divieti sui contenuti intimi non consensuali e sul materiale pedopornografico generato con l’AI. Scade anche il periodo transitorio per la marcatura di alcuni contenuti sintetici.
È la prossima scadenza.
2 dicembre 2027
Diventano applicabili gli obblighi per i sistemi ad alto rischio dell’Allegato III, che comprendono alcuni utilizzi dell’AI nella gestione del personale, nel credito e nelle assicurazioni.
Scadenza posticipata nel 2026.
2 agosto 2028
Entrano in applicazione gli obblighi per i sistemi ad alto rischio dell’Allegato I, relativi all’intelligenza artificiale integrata in determinate categorie di prodotti regolamentati.
Scadenza posticipata nel 2026.
Le scadenze riportate sono quelle pubblicate dalla Commissione europea. I collegamenti ai regolamenti ufficiali sono disponibili alla fine della pagina.
Quali obblighi sono già in vigore.
Un’azienda che utilizza sistemi di intelligenza artificiale per lavoro è generalmente considerata un deployer, cioè un utilizzatore professionale. Gli obblighi cambiano in base al ruolo e al tipo di sistema impiegato.
DivietiArticolo 5
Dal 2 febbraio 2025 sono vietati determinati utilizzi dell’AI. Un esempio vicino alle aziende è il riconoscimento delle emozioni dei dipendenti sul posto di lavoro, salvo specifiche eccezioni.
FormazioneArticolo 4
Devi adottare misure per sviluppare le competenze di chi utilizza l’AI, scegliendo modalità adeguate al lavoro svolto. Trovi una proposta pratica nella sezione sulla formazione.
TrasparenzaArticolo 50, nei casi previsti
Chi utilizza l’AI deve dichiarare i contenuti deepfake e rispettare gli altri obblighi applicabili. La marcatura tecnica dei contenuti sintetici spetta ai fornitori. Approfondisco il tema nell’articolo sui deepfake.
Protezione dei datiGDPR
Il GDPR si applica anche ai dati personali trattati attraverso l’AI. Uno dei rischi più comuni è l’utilizzo di account personali da parte dei dipendenti. Ecco quali dati non inserire in ChatGPT.
Come formare i collaboratori.
La normativa non impone un unico percorso formativo. Per questo propongo tre livelli di preparazione, organizzati in base alle responsabilità e alla frequenza con cui le persone utilizzano l’intelligenza artificiale.
Utilizzo occasionale
È il livello dedicato a tutti i collaboratori che utilizzano strumenti AI, anche saltuariamente.
Devono conoscere gli strumenti autorizzati, sapere quali dati non condividere e imparare a verificare i risultati. Si può iniziare con una riunione di un’ora e una pagina di regole scritte.
Utilizzo quotidiano
Riguarda chi utilizza regolarmente l’intelligenza artificiale per gestire documenti, pratiche e informazioni dei clienti.
Deve riconoscere gli errori più frequenti, verificare le informazioni e tutelare i dati personali. Propongo due o tre incontri pratici, utilizzando esempi tratti dal lavoro quotidiano.
Responsabilità decisionali
È il livello pensato per titolari, soci e responsabili che scelgono i sistemi o prendono decisioni sul personale.
Devono conoscere obblighi e responsabilità, individuare gli utilizzi ad alto rischio e valutare contratti e informative. È utile una sessione dedicata alle disposizioni ufficiali.
L’articolo 4, modificato dal Regolamento europeo 2026/1744, non impone esami o certificazioni specifiche. Puoi consultare il testo su EUR-Lex. Per documentare le attività formative è utile registrare data, partecipanti e argomenti trattati.
Studi professionali: informare il cliente è obbligatorio.
L’obbligo è previsto dall’articolo 13 della legge 132/2025. La normativa non stabilisce una modalità precisa per comunicarlo, ma il Consiglio nazionale dei commercialisti suggerisce di inserirlo nella lettera d’incarico.
L’AI deve rimanere uno strumento di supporto
Puoi utilizzarla per svolgere attività strumentali, come preparare documenti, effettuare ricerche o elaborare bozze.
Il lavoro intellettuale del professionista deve rimanere prevalente.
Il cliente deve essere informato
Devi comunicare l’utilizzo dei sistemi di AI con spiegazioni chiare, semplici e comprensibili.
Il CNDCEC suggerisce di inserire l’informativa nella lettera d’incarico.
Non è prevista una sanzione specifica
L’articolo 13 non stabilisce una sanzione autonoma per l’omessa comunicazione.
Eventuali responsabilità contrattuali o deontologiche devono essere valutate con un legale.
Un esempio di informativaDa personalizzare e sottoporre alla verifica di un legale
«Nello svolgimento dell’incarico, lo Studio utilizza strumenti di intelligenza artificiale per attività di supporto, come ricerche, bozze e sintesi documentali. I risultati vengono sempre verificati da un professionista dello Studio, che mantiene la responsabilità della prestazione. Le decisioni relative al cliente non sono affidate esclusivamente a sistemi automatici. Il trattamento dei dati personali avviene nel rispetto del GDPR. Per conoscere gli strumenti utilizzati o richiedere di non impiegarli nel proprio incarico, è possibile rivolgersi allo Studio.»
Quali regole valgono per i dipendenti.
Quando utilizzi l’AI nella gestione del personale devi rispettare gli obblighi di informazione e garantire un controllo umano effettivo sulle decisioni riguardanti il rapporto di lavoro.
Informare i dipendentiLegge 132/2025, articolo 11
Il datore di lavoro deve informare i dipendenti quando utilizza sistemi automatizzati di decisione o monitoraggio, secondo quanto previsto dall’articolo 1-bis del d.lgs. 152/1997.
Garantire il controllo umanoDecreto legislativo 179/2026
Le decisioni sul rapporto di lavoro adottate esclusivamente da sistemi automatici, comprese quelle disciplinari, sono nulle. L’utilizzo dell’AI che modifica l’organizzazione del lavoro deve essere considerato anche nella valutazione dei rischi.
Sanzioni e responsabilità.
Le cifre indicate rappresentano gli importi massimi previsti dall’AI Act. Per le PMI, comprese le start-up, si applica il limite più basso tra l’importo fisso e la percentuale del fatturato mondiale annuo.
35 milioni di euro o 7%
È la sanzione massima prevista per le violazioni dei divieti stabiliti dall’articolo 5.
15 milioni di euro o 3%
È il limite massimo previsto per determinate violazioni degli obblighi di fornitori e deployer, inclusi quelli di trasparenza dell’articolo 50.
7,5 milioni di euro o 1%
È la sanzione massima per chi trasmette alle autorità informazioni inesatte, incomplete o fuorvianti.
Responsabilità per eventuali danni
Il decreto legislativo 160/2026 consente al giudice di ordinare l’esibizione di log e documentazione tecnica. Questo non introduce un obbligo generale di conservare ogni richiesta fatta a ChatGPT. Approfondisco qui.
Come adeguarsi nei prossimi 90 giorni.
Un percorso pratico pensato per aziende e studi professionali di circa venti persone. Le attività sono distribuite in tre fasi, in modo che ogni intervento prepari quello successivo.
Entro i primi 30 giorni
Individua gli strumenti utilizzati
- Elenca i programmi di AI utilizzati e le persone che vi accedono.
- Per ciascuno identifica il fornitore e il ruolo della tua azienda.
- Verifica che gli utilizzi non rientrino tra quelli vietati.
- Individua eventuali applicazioni relative a personale e credito.
Entro i primi 60 giorni
Definisci le regole aziendali
- Prepara una pagina con le regole per utilizzare l’AI.
- Utilizza account aziendali e verifica i contratti dei fornitori.
- Organizza la formazione iniziale e documenta le presenze.
Entro i primi 90 giorni
Completa le verifiche
- Studi: aggiorna la lettera d’incarico e sottoponila a un legale.
- Aziende: verifica le informative per clienti e dipendenti.
- Se utilizzi chatbot sul sito, controlla come viene informato l’utente.
- Programma una revisione periodica delle procedure.
Le domande più frequenti sull’AI Act.
L’AI Act si applica anche se utilizziamo soltanto ChatGPT?
Sì. Chi usa ChatGPT per lavoro è un deployer: deve rispettare i divieti, sostenere la formazione di chi usa l’AI e dichiarare i deepfake. Restano il GDPR e, per i professionisti, la legge 132/2025.
È obbligatorio far ottenere un attestato ai collaboratori?
No. Secondo la Commissione europea l’articolo 4 non richiede certificati né esami e non chiede di garantire un livello specifico di competenze. Il testo esatto è nel Regolamento (UE) 2026/1744, su EUR-Lex.
Devo informare i clienti dell’utilizzo dell’AI nella lettera d’incarico?
La legge 132/2025 chiede di informare il cliente ma non dice in quale forma. Il CNDCEC indica la lettera d’incarico come sede naturale. La formulazione definitiva va fatta rivedere da un avvocato.
Sono obbligato a conservare tutte le conversazioni dei dipendenti con ChatGPT?
No, non esiste un obbligo generale. Il decreto legislativo 160/2026 conta nelle cause per danni e riguarda i log previsti dall’AI Act, che esistono in particolare per i sistemi ad alto rischio. Quanto conservare lo decidi con il tuo consulente privacy.
Fonti: Commissione europea, Regolamento (UE) 2024/1689 e Regolamento (UE) 2026/1744, legge 132/2025, d.lgs. 179/2026, d.lgs. 160/2026 e guida del CNDCEC.
Pagina aggiornata al 3 novembre 2026. Le informazioni hanno carattere divulgativo e non sostituiscono una consulenza legale.
Raccontami come usate l’AI.
Nella videocall gratuita di trenta minuti ti ascolto e alla fine ti dico se e come posso esserti utile. Per le questioni legali serve un avvocato.