L’AI Act europeo nel 2027: cosa devono rispettare le PMI

L’AI Act dell’UE non è più una norma del futuro. I suoi divieti e l’obbligo di alfabetizzazione in materia di IA si applicano da febbraio 2025, le regole per l’IA per finalità generali da agosto 2025 e la maggior parte delle altre disposizioni dal 2 agosto 2026. Ciò per cui molte PMI devono ancora prepararsi è il 2027: il 2 dicembre 2027 scattano gli obblighi per i sistemi di IA ad alto rischio in ambiti come selezione del personale, valutazione del merito creditizio e istruzione.

Questa guida riflette il quadro normativo dopo il Digital Omnibus sull’IA, adottato a luglio 2026, che ha spostato le date per l’alto rischio. Distingue ciò che è già in vigore, ciò che si applica nel 2027 e ciò che è solo proposto. Ricerca aggiornata al 10 novembre 2026. Si tratta di informazioni generali, non di consulenza legale; verificate il vostro caso con un legale o con il vostro consulente privacy.

La risposta breve

Per la maggior parte delle PMI l’AI Act oggi significa quattro cose: non usare pratiche di IA vietate, adottare misure per l’alfabetizzazione in materia di IA del personale che la usa, rendere trasparenti chatbot e contenuti generati dall’IA e sapere quali dei propri casi d’uso potrebbero essere ad alto rischio. Chi usa l’IA per selezionare candidati, valutare dipendenti, valutare il merito creditizio o fissare i prezzi di assicurazioni vita e malattia deve rispettare tutti gli obblighi del deployer per l’alto rischio dal 2 dicembre 2027. L’IA ad alto rischio integrata in prodotti regolamentati, come dispositivi medici o giocattoli, segue il 2 agosto 2028, non nel 2027 come riportano ancora molte guide meno recenti.

Il calendario attuale (a novembre 2026)

• 1 agosto 2024: l’AI Act, Regolamento (UE) 2024/1689, è entrato in vigore.
• 2 febbraio 2025: si applicano le disposizioni generali, compresa l’alfabetizzazione in materia di IA, e i divieti delle pratiche di IA proibite.
• 2 agosto 2025: si applicano gli obblighi per i fornitori di modelli di IA per finalità generali, e gli Stati membri devono aver istituito autorità e regole sulle sanzioni.
• 2 agosto 2026: si applica la maggior parte delle restanti regole, compresi gli obblighi di trasparenza dell’articolo 50, e parte l’applicazione per IA per finalità generali, divieti, trasparenza e alfabetizzazione.
• 2 dicembre 2026: si applicano due nuovi divieti, e i sistemi di IA generativa immessi sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile da macchina.
• 2 agosto 2027: i fornitori di modelli di IA per finalità generali immessi sul mercato prima del 2 agosto 2025 devono essere conformi, e ogni Stato membro dovrebbe avere almeno uno spazio di sperimentazione normativa per l’IA operativo.
• 2 dicembre 2027: si applicano le regole per i sistemi di IA ad alto rischio elencati nell’allegato III, ad esempio occupazione, istruzione, merito creditizio, servizi essenziali e biometria.
• 2 agosto 2028: si applicano le regole per l’IA ad alto rischio integrata in prodotti coperti dalla normativa UE di prodotto dell’allegato I.

Queste date seguono il calendario di attuazione della Commissione europea, che include già le modifiche introdotte dal Digital Omnibus sull’IA.

Cosa è cambiato con il Digital Omnibus sull’IA

La Commissione ha proposto il Digital Omnibus sull’IA il 19 novembre 2025, soprattutto perché norme armonizzate e autorità nazionali non erano pronte per la data originaria del 2 agosto 2026 per l’alto rischio. Parlamento e Consiglio hanno raggiunto l’accordo il 7 maggio 2026, il Consiglio ha dato il via libera definitivo il 29 giugno 2026 e il Regolamento (UE) 2026/1744 è stato pubblicato in Gazzetta ufficiale il 24 luglio 2026. È entrato in vigore il 27 luglio 2026, quindi le seguenti modifiche sono legge:

• Nuove date fisse per gli obblighi ad alto rischio: 2 dicembre 2027 per i sistemi autonomi dell’allegato III e 2 agosto 2028 per i sistemi integrati in prodotti dell’allegato I.
• Un obbligo di alfabetizzazione riformulato: fornitori e deployer devono adottare misure per sostenere l’alfabetizzazione in materia di IA del personale, ma non devono garantire un livello specifico per ogni persona.
• Agevolazioni estese alle piccole imprese a media capitalizzazione (SMC): PMI, start-up e SMC possono usare una documentazione tecnica semplificata per i sistemi ad alto rischio, e le sanzioni devono tenere conto della loro sostenibilità economica.
• Nuovi divieti dal 2 dicembre 2026 per l’IA che genera immagini intime non consensuali di persone identificabili o materiale pedopornografico, e le macchine dotate di IA spostate nel regolamento settoriale sulle macchine.

Una conseguenza pratica: la data del 2 agosto 2027 per l’IA ad alto rischio legata ai prodotti, presente in molti articoli scritti prima di metà 2026, non vale più. Quella data è ora il 2 agosto 2028.

In vigore, in arrivo nel 2027 e solo proposto

Si applica già oggi

I divieti dell’articolo 5, l’obbligo di alfabetizzazione dell’articolo 4, gli obblighi per i fornitori di modelli di IA per finalità generali, le regole di trasparenza dell’articolo 50 e il quadro nazionale di vigilanza e sanzioni. Se non ve ne siete ancora occupati, partite da qui, perché questi obblighi sono già applicabili.

Si applica nel corso del 2027

Il 2 agosto 2027 termina la transizione per i modelli di IA per finalità generali già sul mercato prima di agosto 2025, il che riguarda soprattutto i fornitori dei modelli, non i loro utenti aziendali. Il 2 dicembre 2027 le regole ad alto rischio per i casi d’uso dell’allegato III si applicano a fornitori e deployer. L’IA ad alto rischio legata ai prodotti dell’allegato I segue ad agosto 2028.

Proposto, non adottato

Un Digital Omnibus separato su protezione dei dati, privacy e notifica degli incidenti informatici è ancora in fase legislativa: il Consiglio ha concordato la sua posizione negoziale il 21 ottobre 2026, il Parlamento non ancora, quindi nulla di esso è legge. Le linee guida della Commissione sulla classificazione dei sistemi di IA ad alto rischio sono state pubblicate in bozza il 19 maggio 2026 e al momento della stesura risultano ancora in bozza. Non pianificate ulteriori rinvii: le date per l’alto rischio sono ora fissate nel regolamento stesso.

Quali regole contano davvero per una PMI tipica

La maggior parte delle PMI è deployer: usa sistemi di IA sviluppati da altri, come ChatGPT, Microsoft Copilot, un chatbot sul sito o funzioni di IA nel proprio ERP. L’AI Act distingue questi ruoli e gli obblighi del deployer sono molto più leggeri di quelli del fornitore. Quattro domande coprono la maggior parte dei casi:

• Un uso è vietato? L’articolo 5 vieta, tra l’altro, il riconoscimento delle emozioni sul luogo di lavoro o nell’istruzione (salvo motivi medici o di sicurezza), le tecniche manipolative che causano danni significativi, lo sfruttamento delle vulnerabilità, il social scoring e la categorizzazione biometrica che deduce caratteristiche sensibili.
• Serve trasparenza? Le persone devono sapere quando parlano con un sistema di IA, salvo che sia evidente, il che riguarda ogni chatbot AI su un sito web. I deepfake e i testi generati dall’IA pubblicati per informare il pubblico su questioni di interesse pubblico devono essere dichiarati; per le immagini, vedete il nostro articolo sulle immagini generate dall’IA su siti web e negozi.
• Il personale è preparato? Chi utilizza o gestisce l’IA per vostro conto dovrebbe ricevere una formazione adatta al proprio ruolo e al contesto d’uso.
• Potrebbe essere ad alto rischio? L’allegato III comprende l’IA usata per selezione del personale e screening dei CV, decisioni su promozioni, licenziamenti o assegnazione dei compiti, monitoraggio e valutazione dei dipendenti, verifiche del merito creditizio, valutazione del rischio e prezzi nelle assicurazioni vita e malattia, ammissioni e valutazioni nell’istruzione, biometria e infrastrutture critiche.

Se usate l’IA solo per scrivere bozze, riassumere, cercare internamente, aiutare nella programmazione o generare idee di marketing, i vostri obblighi riguardano soprattutto l’alfabetizzazione e, quando pubblicate contenuti, la trasparenza. È la situazione della maggior parte delle piccole imprese.

Se usate IA ad alto rischio da dicembre 2027

I deployer di sistemi ad alto rischio devono rispettare gli obblighi dell’articolo 26. In pratica significa:

• usare il sistema secondo le istruzioni per l’uso del fornitore, con misure tecniche e organizzative adeguate;
• affidare la sorveglianza umana a persone con competenza, formazione e autorità necessarie;
• garantire che i dati di input sotto il vostro controllo siano pertinenti e sufficientemente rappresentativi per la finalità prevista;
• monitorare il sistema, informare fornitore e autorità di vigilanza del mercato di rischi o incidenti gravi e sospenderne l’uso se necessario;
• conservare i log generati automaticamente sotto il vostro controllo per almeno sei mesi, salvo diversa previsione di legge;
• informare i rappresentanti dei lavoratori e i dipendenti interessati prima di usare un sistema ad alto rischio sul luogo di lavoro, e informare le persone quando un sistema ad alto rischio prende o supporta decisioni che le riguardano.

Enti pubblici, imprese private che forniscono servizi pubblici e deployer che usano l’IA per il merito creditizio o per i prezzi di assicurazioni vita e malattia devono anche svolgere una valutazione d’impatto sui diritti fondamentali. I sistemi ad alto rischio già in uso prima del 2 dicembre 2027 rientrano in genere nelle regole solo se il loro design cambia in modo significativo dopo tale data, ma contare su questa esenzione è rischioso se prevedete di aggiornare o cambiare strumenti.

Quando una PMI diventa fornitore

Assumete gli obblighi del fornitore se apponete il vostro nome o marchio su un sistema ad alto rischio, lo modificate in modo sostanziale o cambiate la finalità di un sistema di IA in modo che diventi ad alto rischio. Un esempio tipico è costruire un proprio strumento di ranking dei CV su un modello per finalità generali. I fornitori di sistemi ad alto rischio devono avere gestione del rischio, governance dei dati, documentazione tecnica, registrazione dei log, sorveglianza umana, un sistema di gestione della qualità, una valutazione della conformità e la registrazione nella banca dati UE. Se costruite sui vostri dati, come descritto in come costruire un’AI privata sui dati della tua azienda, chiarite presto se il caso d’uso è ad alto rischio. Un fornitore che conclude che un sistema dell’allegato III non è ad alto rischio perché svolge solo un compito limitato o preparatorio deve documentare tale valutazione e registrare comunque il sistema.

Germania: chi vigila sul regolamento sull’IA

La Germania ha attuato la parte nazionale con il KI-MIG (legge sulla vigilanza del mercato e la promozione dell’innovazione dell’IA) del 22 luglio 2026, in vigore dal 29 luglio 2026. La Bundesnetzagentur è l’autorità centrale di vigilanza del mercato e punto di contatto unico, salvo competenza di un’autorità specializzata. La BaFin vigila sull’IA direttamente collegata ad attività finanziarie regolamentate, e le autorità di prodotto esistenti coprono l’IA nei prodotti dell’allegato I. La Bundesnetzagentur deve inoltre gestire almeno uno spazio di sperimentazione per l’IA (KI-Reallabor), dove le PMI possono testare nuove applicazioni.

Quali sono le sanzioni?

Secondo l’articolo 99, l’uso di IA vietata può comportare sanzioni fino a 35 milioni di euro o il 7% del fatturato mondiale annuo, le violazioni degli obblighi degli operatori, come quelli dei deployer o le regole di trasparenza, fino a 15 milioni di euro o il 3%, e le informazioni inesatte alle autorità fino a 7,5 milioni di euro o l’1%. Per PMI e start-up si applica il minore dei due importi, e le SMC beneficiano dello stesso limite per la seconda e la terza categoria. Gli Stati membri fissano le regole di dettaglio e devono tenere conto della sostenibilità economica delle imprese più piccole.

Una roadmap di conformità 2027 per le PMI

1. Create subito un inventario dell’IA

Elencate ogni strumento e funzione di IA in uso, comprese le funzioni di IA nei software esistenti e gli strumenti che i dipendenti usano di propria iniziativa. Annotate per ciascuno fornitore, finalità, dati coinvolti e un responsabile interno.

2. Classificate ogni caso d’uso

Assegnate ogni uso a una categoria: vietato, ad alto rischio secondo l’allegato III, rilevante per la trasparenza o a rischio minimo. Usate la bozza di linee guida della Commissione e documentate il ragionamento, perché è ciò che mostrerete a un’autorità o a un cliente.

3. Sistemate prima la trasparenza

Assicuratevi che i chatbot dichiarino di essere IA ed etichettate deepfake e testi di interesse pubblico generati dall’IA. Il codice di buone pratiche della Commissione sui contenuti generati dall’IA e le icone di etichettatura UE offrono un modello pratico.

4. Gestite l’alfabetizzazione come un programma

Offrite brevi formazioni per ruolo: cosa possono e non possono fare gli strumenti, quali dati si possono inserire, come verificare i risultati. Tenete una semplice registrazione di chi è stato formato e quando.

5. Preparate i casi ad alto rischio per dicembre 2027

Per i casi d’uso in selezione, HR, credito o assicurazioni, chiedete subito ai fornitori istruzioni per l’uso, opzioni di logging e funzioni di sorveglianza. Pianificate l’informativa ai lavoratori, assegnate i ruoli di sorveglianza e verificate se vi si applica una valutazione d’impatto sui diritti fondamentali.

6. Integrate la governance nei sistemi

La conformità è più semplice quando fa parte del flusso di lavoro: approvazioni umane prima che una decisione dell’IA produca effetti, log conservati automaticamente e limiti chiari a ciò che un agente può fare. Le nostre previsioni sugli agenti AI in azienda nel 2027 e la nostra esperienza nel collegare l’AI a Odoo mostrano come funziona in pratica.

7. Rivedete due volte l’anno

Linee guida definitive, norme armonizzate e prassi nazionali continueranno ad arrivare nel corso del 2027. Fissate una revisione in primavera e una in autunno e aggiornate l’inventario ogni volta che aggiungete un nuovo strumento di IA.

Come aiuta Metanow

Metanow lavora a progetti di IA, automazione ed ERP dal 2022. Aiutiamo le aziende a mappare l’uso dell’IA, classificare i casi d’uso, progettare sorveglianza e logging nei flussi Odoo e n8n, aggiungere avvisi ai chatbot e svolgere sessioni pratiche di alfabetizzazione sull’IA per i team. Non siamo uno studio legale: per le valutazioni giuridiche collaboriamo con il vostro consulente legale o privacy e ci concentriamo sul far funzionare la parte tecnica e organizzativa.

Domande frequenti

Fonti ufficiali

• EUR-Lex — Regulation (EU) 2024/1689 (Artificial Intelligence Act)
• EUR-Lex — Regulation (EU) 2026/1744 (Digital Omnibus on AI)
• European Commission AI Act Service Desk — implementation timeline
• AI Act Service Desk — Article 4: AI literacy (as amended)
• AI Act Service Desk — Article 26: obligations of deployers of high-risk AI systems
• AI Act Service Desk — Article 50: transparency obligations
• AI Act Service Desk — Article 99: penalties
• Council of the EU — final green light for the AI simplification rules (29 June 2026)
• European Parliament Legislative Train — Digital Omnibus on AI
• European Commission — guidelines on the classification of high-risk AI systems (draft)
• European Commission — Code of Practice on transparency of AI-generated content
• KI-MIG — German AI market surveillance act (gesetze-im-internet.de)
• Council of the EU — position on the Digital Omnibus for data protection, privacy and cyber reporting (21 October 2026)