Se la tua azienda usa ChatGPT, Copilot, Gemini o uno strumento simile, l'AI Act ti riguarda già, anche se il rinvio di cui si parla da mesi ti ha fatto pensare il contrario. Il rinvio c'è, ma tocca soprattutto i sistemi ad alto rischio. Formazione del personale, divieti e protezione dei dati personali non aspettano nessuno.
Cosa ha cambiato il Digital Omnibus
Il Digital Omnibus sull'AI è il Regolamento (UE) 2026/1744, firmato l'8 luglio 2026, pubblicato in Gazzetta ufficiale dell'Unione europea il 24 luglio ed entrato in vigore il 27 luglio 2026. Non sospende l'AI Act: ne sposta alcune date e ne alleggerisce alcune parti. Le novità principali:
- gli obblighi per i sistemi ad alto rischio dell'Allegato III (per esempio selezione del personale o valutazione del credito) passano al 2 dicembre 2027;
- quelli per i sistemi inseriti in prodotti già regolati, come macchinari e dispositivi medici, passano al 2 agosto 2028;
- dal 2 dicembre 2026 scattano due nuovi divieti: le app che spogliano le persone nelle immagini e il materiale di abuso su minori generato con l'AI;
- nasce la categoria della «piccola impresa a media capitalizzazione», con alcune semplificazioni documentali, e restano agevolazioni per le PMI.
Per una PMI che non sviluppa sistemi ad alto rischio, il rinvio cambia poco. Chi li usa soltanto, cioè quasi tutti, ha comunque doveri propri.
Gli obblighi già in vigore
Dal 2 febbraio 2025 si applicano i divieti sulle pratiche a rischio inaccettabile (articolo 5) e l'obbligo di alfabetizzazione sull'AI (articolo 4). Dal 2 agosto 2025 valgono le regole per i modelli di uso generale, che però riguardano i fornitori dei modelli, non chi li usa. Dal 2 agosto 2026 si applica anche l'articolo 50, sulla trasparenza: chi pubblica contenuti sintetici o deepfake deve dichiararlo. Per i sistemi già sul mercato prima di quella data, la marcatura leggibile dalle macchine dei contenuti generati ha tempo fino al 2 dicembre 2026, ma tocca ai fornitori degli strumenti, non a te.
In Italia c'è anche la legge 132/2025, in vigore dall'ottobre 2025. Secondo le analisi che ho consultato, non aggiunge obblighi tecnici oltre l'AI Act: porta principi, alcune regole di informazione e sanzioni penali, per esempio sui deepfake. Se il tuo settore è regolato (professioni, sanità, lavoro), fatti confermare da un professionista cosa vale per te.
Alfabetizzazione del personale: cosa chiede davvero
È l'obbligo più citato e più frainteso. Il Digital Omnibus ha riscritto l'articolo 4: fornitori e utilizzatori devono «adottare misure per sostenere» la competenza sull'AI di chi lavora con i sistemi, e il testo precisa che non devono garantire un livello specifico a ogni persona. Quindi non serve un patentino, né un attestato per ciascuno. Servono misure sensate e dimostrabili.
L'obbligo resta su chi usa l'AI, anche se la proposta iniziale della Commissione lo avrebbe spostato su Stati e Commissione. Vale a prescindere dalla dimensione dell'azienda. Per una PMI, «misure sensate» significa:
- sapere chi usa quali strumenti, perché non si forma chi non si sa che esista;
- una formazione breve e proporzionata al ruolo: chi scrive testi non ha le stesse esigenze di chi tocca dati dei clienti;
- spiegare limiti pratici: i modelli sbagliano con sicurezza, e il controllo umano non è facoltativo;
- tenere traccia di cosa è stato fatto: data, partecipanti, contenuti.
Quali dati non dare a un modello
Qui conta il GDPR più dell'AI Act. La regola pratica: ciò che non metteresti in una mail a un fornitore senza accordo, non va in una chat con un modello senza sapere dove va a finire. In concreto, tieni fuori dagli strumenti non verificati:
- dati di categorie particolari: salute, orientamento sessuale, opinioni politiche, appartenenza sindacale, dati biometrici;
- dati di clienti, pazienti, dipendenti o candidati con nome e cognome, codice fiscale, indirizzi, contatti;
- documenti coperti da segreto professionale o da accordi di riservatezza;
- contratti, listini riservati, codice sorgente, credenziali e chiavi di accesso;
- dati di terzi che non sanno che li stai usando, comprese le registrazioni di riunioni.
Per tutto il resto dipende dallo strumento. Le versioni a pagamento per aziende offrono in genere condizioni diverse da quelle gratuite, per esempio sull'uso dei dati per l'addestramento, ma vanno lette e non date per scontate. Se il fornitore tratta dati personali per tuo conto, servono la nomina a responsabile del trattamento e un'informativa aggiornata. Per usi sistematici o su dati delicati, una valutazione d'impatto può essere necessaria. Sono temi da affrontare con il tuo consulente privacy o il DPO, non da risolvere a intuito.
Cosa mettere nel regolamento interno
Non serve un manuale di cinquanta pagine: due o tre pagine che le persone leggano davvero. Il contenuto minimo:
- Strumenti ammessi: elenco di quelli approvati, con account aziendali. Niente account personali per lavoro.
- Dati vietati: l'elenco sopra, scritto con esempi del vostro mestiere.
- Controllo umano: nessun testo, preventivo, risposta a un cliente o decisione su una persona parte senza che qualcuno l'abbia letta e ne risponda.
- Trasparenza: quando dichiarare l'uso dell'AI, in particolare per immagini, voci e video sintetici.
- Responsabile: una persona a cui chiedere prima di provare uno strumento nuovo.
- Formazione e revisione: chi si forma, quando, e ogni quanto si aggiorna il documento.
- Incidenti: cosa fare se qualcuno incolla per errore dati che non doveva.
Cosa fare
- Questa settimana: fai un elenco degli strumenti AI che usano davvero le persone, anche quelli gratuiti.
- Entro un mese: scrivi il regolamento interno e fallo firmare per presa visione.
- Entro due mesi: una sessione di formazione per ruolo, con registro delle presenze.
- Controlla con i fornitori contratti, nomina a responsabile e impostazioni sui dati.
- Se usi l'AI per selezionare personale, valutare persone o concedere credito, parlane con un professionista prima di dicembre 2027, non dopo.
Domande frequenti
Le risposte brevi sono nella sezione dedicata qui sotto. Le norme cambiano in fretta: verifica sempre le date con un legale.
Se vuoi partire da una mappa degli strumenti in uso e da un regolamento scritto su misura, ne parliamo con Aironman nella consulenza.