AI Act: i decreti italiani sono legge. 47 giorni — la checklist definitiva per le PMI

Il 10 giugno 2026, il Consiglio dei Ministri italiano ha approvato due decreti attuativi dell'AI Act europeo. Sette giorni dopo, il 17 giugno, sono entrati in vigore. Il 2 agosto 2026 — tra 47 giorni — scatta il regime generale dell'AI Act, con l'Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di vigilanza dal 3 agosto.

Non è più tempo di "aspettiamo di capire cosa succede". Le regole sono scritte, l'autorità è designata, le sanzioni sono definite. Questa guida ti dà la checklist operativa per essere in regola entro il 2 agosto.

Il quadro normativo: cosa è entrato in vigore e cosa arriverà

L'AI Act europeo ha una struttura temporale a fasi. Non tutto entra in vigore il 2 agosto 2026. Ecco la timeline aggiornata dopo l'accordo definitivo del 7 maggio 2026 e i decreti attuativi italiani del 10 giugno:

2 agosto 2026 — Regime Generale (CONFERMATO)

Il regime generale dell'AI Act è pienamente operativo. Include:

• Divieto assoluto dei sistemi AI vietati (manipolazione subliminale, scoring sociale, riconoscimento facciale in tempo reale negli spazi pubblici salvo eccezioni)
• Obblighi di trasparenza per i sistemi AI che interagiscono con persone fisiche
• Obbligo di AI Literacy per le organizzazioni che sviluppano o usano AI
• Regole per i modelli AI General Purpose (GPAI) con impatto sistemico

3 agosto 2026 — ACN come autorità di vigilanza

L'Agenzia per la Cybersicurezza Nazionale diventa l'autorità italiana di vigilanza sull'AI Act. Dal 3 agosto, ACN può ricevere segnalazioni, avviare ispezioni e irrogare sanzioni.

2 novembre 2026 — Watermarking AI

Obbligo di marcatura dei contenuti generati da AI (AI watermarking, ai sensi dell'Art. 50 AI Act). Google SynthID è già pronto; le aziende che producono contenuti AI dovranno implementare soluzioni conformi.

Dicembre 2027 — Sistemi alto rischio standalone

I sistemi AI ad alto rischio autonomi (non integrati in prodotti) avranno 18 mesi in più rispetto alla scadenza originaria di agosto 2026.

Agosto 2028 — AI in componenti di sicurezza

I sistemi AI integrati in prodotti regolamentati (dispositivi medici, macchinari, veicoli) avranno tempo fino ad agosto 2028.

Le sanzioni: i numeri che motivano l'azione

Le sanzioni dell'AI Act sono proporzionate al fatturato mondiale e alla gravità della violazione:

• Violazioni degli usi vietati: fino a 35 milioni di euro o il 7% del fatturato mondiale annuo (si applica il maggiore)
• Violazioni degli obblighi per sistemi ad alto rischio: fino a 15 milioni di euro o il 3% del fatturato mondiale
• Dichiarazioni false alle autorità: fino a 7,5 milioni di euro o l'1,5% del fatturato mondiale

Per una PMI con 5 milioni di euro di fatturato, la sanzione massima per uso vietato è comunque 35 milioni di euro — il tetto fisso si applica quando supera la percentuale sul fatturato.

Cosa interessa le PMI italiane al 2 agosto

La grande maggioranza delle PMI italiane non usa sistemi AI ad alto rischio e non sviluppa modelli AI. Ma quasi tutte usano strumenti basati su AI — CRM con AI, chatbot, strumenti di marketing automation, assistenti AI per il lavoro. E qui entrano in gioco gli obblighi del regime generale.

I tre obblighi più rilevanti per le PMI entro il 2 agosto:

1. AI Literacy — obbligatoria per chi usa AI

L'Art. 4 dell'AI Act richiede che le organizzazioni garantiscano un livello sufficiente di "competenza in materia di AI" per le persone che lavorano con sistemi AI. Non è richiesta una certificazione formale, ma è necessario documentare le azioni formative intraprese.

Azione concreta: organizzare almeno un'attività di formazione (anche online, anche autodidattica) e documentarla. Anthropic ha lanciato un corso gratuito "AI Fluency for SMEs". OpenAI ha material specifico per PMI. Il sito AI4Business.it raccoglie risorse in italiano.

2. Trasparenza verso gli utenti finali

Se usi chatbot o assistenti AI che interagiscono con i tuoi clienti, l'Art. 50 richiede di informarli chiaramente che stanno interagendo con un sistema AI. La comunicazione deve essere comprensibile e preventiva, non nascosta nei termini d'uso.

Azione concreta: verifica che tutti i punti di contatto AI con i clienti abbiano una disclosure chiara. "Stai parlando con un assistente AI" deve essere visibile, non sepolto.

3. Inventario dei sistemi AI in uso

Non c'è un obbligo esplicito di tenere un registro, ma è fortemente raccomandato — sia per dimostrare compliance in caso di ispezione, sia perché capire cosa usi effettivamente è il prerequisito per qualsiasi valutazione del rischio.

Azione concreta: crea un inventario semplice (anche un foglio Excel) di tutti i sistemi AI usati in azienda: nome, fornitore, funzione, dati elaborati, categoria di rischio.

La checklist operativa AI Act per PMI — 47 giorni

Questa checklist copre le azioni prioritarie entro il 2 agosto 2026. Non è una guida legale completa — per valutazioni specifiche, consulta un professionista. Ma copre il 90% di ciò che la maggioranza delle PMI deve fare.

Settimana 1-2 (entro il 29 giugno)

• ☐ Inventario sistemi AI: elenca tutti gli strumenti AI in uso (ChatGPT, Claude, Copilot, Gemini, CRM con AI, marketing automation, chatbot...)
• ☐ Classificazione uso vietato: verifica che nessuno dei sistemi in uso rientri nelle categorie vietate (scoring sociale dei dipendenti, manipolazione comportamentale, ecc.)
• ☐ Mappa dei dati: per ogni sistema AI, identifica quali dati personali vengono elaborati e se è già coperto da policy GDPR aggiornata

Settimana 3-4 (entro il 13 luglio)

• ☐ AI Literacy: pianifica e documenta la formazione per dipendenti che usano AI. Almeno 1-2 ore per persona, con attestazione.
• ☐ Aggiornamento policy interne: integra la policy sull'uso degli strumenti AI aziendali (acceptable use policy) con riferimento all'AI Act
• ☐ Disclosure clienti: verifica che tutti i chatbot e assistenti AI rivolti ai clienti abbiano disclosure AI chiara e visibile

Settimana 5-6 (entro il 27 luglio)

• ☐ Valutazione fornitori: contatta i principali fornitori di AI per chiedere documentazione sulla loro compliance all'AI Act (chi fornice modelli GPAI deve già avere policy di trasparenza)
• ☐ Record delle azioni: documenta tutto ciò che hai fatto. In caso di ispezione, dimostrare "diligenza ragionevole" è cruciale.
• ☐ Designa un referente interno AI: anche in una PMI piccola, avere un responsabile nominato per le questioni AI Act semplifica la gestione futura

Entro il 2 agosto

• ☐ Tutti i punti sopra completati e documentati
• ☐ Policy AI interna approvata dalla direzione
• ☐ Disclosure AI verso clienti attiva su tutti i canali

Il watermarking AI: prepararsi per novembre 2026

Anche se la scadenza è il 2 novembre 2026, vale la pena pianificare ora. Il watermarking AI riguarda tutte le aziende che producono contenuti generati da AI per uso pubblico — immagini, video, audio, testi.

Google ha già implementato SynthID per i contenuti generati da Gemini. Le aziende che usano altri strumenti di generazione dovranno verificare che i propri fornitori offrano soluzioni conformi. Chi produce contenuti AI con strumenti propri dovrà implementare una soluzione di watermarking certificata.

Come BlueSky Agent AI supporta la compliance AI Act

La compliance all'AI Act non deve essere un ostacolo all'adozione dell'AI — deve essere progettata dentro il sistema, non aggiunta dopo come una patch.

BlueSky Agent AI è costruito con questo principio. Gli agenti AI sviluppati sulla piattaforma includono:

• Disclosure automatica: ogni agente che interagisce con utenti finali identifica chiaramente la sua natura AI
• Log delle interazioni: tutte le sessioni sono registrate e accessibili per audit, facilitando la dimostrazione di compliance
• Controllo umano (HITL): i processi critici prevedono supervisione umana esplicita, documentata e tracciabile
• Routing trasparente: ModelMatch documenta quale modello ha gestito ogni task, per piena trasparenza sulla catena di elaborazione

Per le PMI italiane che vogliono adottare AI rimanendo compliant, questo non è un vantaggio secondario — è parte fondamentale del valore offerto.

Conclusione: 47 giorni sono pochi ma sufficienti

Il 2 agosto 2026 è vicino. Ma la compliance per la maggior parte delle PMI non richiede mesi di lavoro — richiede chiarezza su cosa fare e l'azione concreta per farlo.

Il regime generale dell'AI Act non vieta l'uso dell'AI nelle PMI. Richiede che sia fatto con consapevolezza, trasparenza verso gli utenti, e una minima struttura interna. Sono requisiti ragionevoli che, se affrontati sistematicamente, richiedono settimane, non anni.

Non aspettare agosto per iniziare. Chi inizia ora ha 47 giorni per farlo con calma. Chi aspetta dovrà farlo in fretta.

Vuoi sapere come BlueSky Agent AI ha già integrato i requisiti AI Act nella piattaforma? Contattaci per una demo.