AI Act: 10 Giorni. La Checklist Finale per le PMI Italiane
A 10 giorni dal regime generale AI Act. Il 65% delle imprese italiane non è ancora compliant. Ecco la checklist operativa per completare mappatura sistemi AI, AI literacy e obblighi di trasparenza entro il 2 agosto 2026.
Bruno Maggioni — Co-founder & Commercial Director ·
10 giorni. Non 10 mesi, non 10 settimane: 10 giorni.
Il 2 agosto 2026 entra in vigore il regime generale dell'AI Act dell'Unione Europea. Quella data, che molti hanno trattato come un orizzonte lontano, è ora a poco più di una settimana di distanza. E secondo gli ultimi dati disponibili, il 65% delle imprese italiane non ha ancora completato i requisiti minimi di compliance.
Questo articolo è una guida operativa per chi deve ancora completare la preparazione — o per chi vuole verificare di non aver dimenticato niente di essenziale.
Cosa cambia il 2 agosto 2026
Il 2 agosto non è la scadenza dell'AI Act nella sua interezza. Il Regolamento prevede un'applicazione progressiva:
- 2 agosto 2026: regime generale operativo — trasparenza (Art. 50), AI literacy obbligatoria, mappatura sistemi AI completata
- Dicembre 2026: watermarking dei contenuti generati da AI
- Dicembre 2027: sistemi AI ad alto rischio stand-alone
- Agosto 2028: componenti di sicurezza AI integrati in prodotti
La buona notizia: se la tua PMI non sviluppa sistemi AI ad alto rischio, i requisiti del 2 agosto sono raggiungibili. La cattiva notizia: molte aziende li stanno ignorando proprio perché sembrano "soft" rispetto alle scadenze future.
Dal 3 agosto 2026, l'ACN (Agenzia per la Cybersicurezza Nazionale) inizia la vigilanza. Non si tratta di un'authority che annuncia ispezioni con mesi di preavviso.
I 3 obblighi operativi da completare entro il 2 agosto
1. Mappatura dei sistemi AI in uso
Hai un inventario aggiornato di tutti i sistemi AI che la tua azienda utilizza? Non solo quelli sviluppati internamente — anche i tool AI di terzi integrati nei processi aziendali.
La mappatura deve includere:
- Nome e fornitore del sistema
- Tipo di decisioni che supporta o automatizza
- Categoria di rischio (minimo, limitato, alto, inaccettabile)
- Dati personali trattati
- Responsabile interno
Se usi CRM con AI, chatbot clienti, strumenti di HR analytics, sistemi di scoring — tutti vanno censiti. La mappatura è il presupposto per tutto il resto.
2. AI Literacy obbligatoria per i dipendenti
L'Art. 4 dell'AI Act richiede che le organizzazioni assicurino un livello adeguato di "AI literacy" per tutti i dipendenti che interagiscono con sistemi AI. Non basta distribuire una circolare: serve una formazione strutturata e documentata.
Contenuti minimi di un programma di AI literacy ai sensi dell'Art. 4:
- Cosa sono i sistemi AI e come funzionano (concettualmente)
- Rischi e limitazioni dei sistemi in uso
- Responsabilità del lavoratore nell'interazione con AI
- Come segnalare anomalie o output inattesi
Il 65% delle imprese italiane non ha ancora completato questa formazione. Se appartieni a questa maggioranza, hai 10 giorni.
3. Obblighi di trasparenza (Art. 50)
Se usi AI per comunicare con persone fisiche — chatbot, voicebot, sistemi di risposta automatica — devi informare gli utenti in modo chiaro che stanno interagendo con un sistema AI. Le azioni concrete:
- Etichettare i chatbot come "Assistente AI"
- Inserire disclaimer nei contenuti generati da AI pubblicati sul sito
- Aggiornare i moduli di consenso GDPR per includere il trattamento da parte di sistemi AI
Cosa rimane fuori dal 2 agosto (e perché conta)
Il Digital Omnibus ha spostato alcune scadenze originali. I sistemi AI ad alto rischio avranno tempo fino a dicembre 2027 o agosto 2028. Ma la trasparenza e la literacy si applicano già dal 2 agosto a tutti i sistemi AI, indipendentemente dal livello di rischio.
Le sanzioni: perché il 2 agosto non è una scadenza morbida
L'AI Act prevede sanzioni graduate:
- Violazioni di pratiche proibite: fino a 35 milioni di euro o 7% del fatturato globale
- Violazioni degli obblighi di conformità per sistemi ad alto rischio: fino a 15 milioni di euro o 3% del fatturato
- Informazioni false alle autorità: fino a 7,5 milioni di euro o 1,5% del fatturato
Per una PMI con 5 milioni di euro di fatturato, la sanzione massima applicabile può superare il fatturato annuo. Il rischio non è teorico.
La checklist dei 10 giorni
Settimana 1 (entro il 25 luglio)
- ☐ Completare la mappatura di tutti i sistemi AI in uso
- ☐ Classificare ogni sistema per livello di rischio
- ☐ Identificare i responsabili interni per ogni sistema
- ☐ Avviare la formazione AI literacy (sessioni online o sincrona)
Settimana 2 (entro il 2 agosto)
- ☐ Completare e documentare la formazione AI literacy
- ☐ Aggiornare i chatbot e assistenti AI con dichiarazioni di trasparenza
- ☐ Aggiornare i moduli di consenso e le informative privacy
- ☐ Predisporre un registro interno dei sistemi AI
- ☐ Nominare un responsabile per la conformità AI
Il contesto: il mercato AI italiano a luglio 2026
I numeri di luglio 2026 raccontano un paradosso italiano: il mercato AI ha raggiunto 4,1 miliardi di euro (Italian Tech Landscape 2026). Il 38% delle PMI ha lanciato almeno un progetto AI nel 2024. Ma il gap grande impresa/PMI è aumentato: 53,1% di adozione nelle grandi imprese contro 15,7% nelle PMI. Le grandi aziende hanno risorse legali e compliance dedicate. Le PMI spesso no.
È qui che il rischio è più concentrato: le aziende che usano AI senza governance strutturata, spesso inconsapevolmente fuori compliance.
Come BlueSky Agent AI supporta la compliance AI Act
BlueSky è progettato con la compliance AI Act come requisito architetturale. Ogni agente AI distribuito attraverso la piattaforma include audit trail completo, transparent identification degli utenti, human-in-the-loop strutturato per workflow critici, e mappatura automatica dei sistemi AI.
Per le PMI che hanno già attivato agenti BlueSky, molti requisiti del 2 agosto sono già soddisfatti by design. Per chi sta valutando di iniziare: un agente AI conforme all'AI Act si implementa in settimane, non mesi.
Conclusione: 10 giorni sono ancora abbastanza
Dieci giorni, usati bene, sono sufficienti per completare i requisiti minimi del 2 agosto — soprattutto per PMI che non operano in settori ad alto rischio. La checklist sopra è il punto di partenza. L'importante è iniziare oggi, non domani.
Se hai bisogno di supporto nella mappatura dei sistemi AI o nell'implementazione di un processo di governance conforme, contatta BlueSky Agent AI — possiamo aiutarti a essere pronti entro il 2 agosto.