AI Act: 62 giorni. La checklist aggiornata giugno 2026 per le PMI italiane
Il 2 agosto 2026 il regime generale dell'AI Act diventa pienamente operativo. Mancano 62 giorni. L'Omnibus ha spostato alcune scadenze, ma il cuore della norma rimane invariato. Ecco la checklist aggiornata per le PMI italiane.
BlueSky Agent AI ·
<![CDATA[<h2>Il conto alla rovescia è iniziato</h2> <p>Il <strong>2 agosto 2026</strong> non è più una data lontana nel calendario: mancano esattamente 62 giorni. Quel giorno il regime generale dell'AI Act dell'Unione Europea diventa pienamente operativo per le imprese europee — comprese le PMI italiane che utilizzano, sviluppano o acquistano sistemi di intelligenza artificiale.</p> <p>L'accordo sull'<strong>AI Act Digital Omnibus</strong>, raggiunto il 7 maggio 2026, ha spostato alcune scadenze specifiche — ma <strong>non ha toccato il 2 agosto</strong>. Chi aspettava un rinvio generale sarà deluso: il conto alla rovescia non si ferma.</p> <p>Eppure i dati parlano chiaro: il 79% delle PMI italiane usa già strumenti AI, ma meno del 40% ha adottato una policy interna. E dall'agosto 2026, non averne una non sarà solo una lacuna organizzativa — potrebbe diventare una violazione normativa.</p>
<h2>Cosa cambia con l'AI Act Digital Omnibus: le scadenze aggiornate</h2> <p>L'accordo definitivo del 7 maggio ha ridisegnato alcune scadenze, creando un sistema a più livelli. Ecco il quadro completo aggiornato a giugno 2026:</p>
<h3>2 agosto 2026 — Regime generale (CONFERMATO, invariato)</h3> <ul> <li><strong>Divieti assoluti</strong> pienamente applicabili (sistemi di social scoring, manipolazione subliminale, profilazione biometrica in tempo reale in spazi pubblici)</li> <li><strong>Obblighi di trasparenza</strong> per i sistemi AI general purpose (Art. 50)</li> <li><strong>AI literacy obbligatoria</strong>: ogni organizzazione deve garantire che il personale che utilizza o supervisiona sistemi AI abbia un livello adeguato di competenza (Art. 4)</li> <li><strong>Supervisione ACN</strong>: dal 3 agosto 2026, l'Agenzia per la Cybersicurezza Nazionale assume il ruolo di autorità nazionale di vigilanza AI per l'Italia</li> </ul>
<h3>2 novembre 2026 — Watermarking AI</h3> <ul> <li>Obbligo di contrassegnare i contenuti generati da AI (testi, immagini, video, audio) con marcatura tecnica verificabile</li> <li>Google ha già risposto con SynthID, standard verificabile su Android/Chrome/Gemini</li> <li>Le PMI che producono contenuti AI-generated (marketing, comunicazione, customer service) devono dotarsi di strumenti compatibili</li> </ul>
<h3>Dicembre 2027 — Sistemi AI ad alto rischio (stand-alone)</h3> <ul> <li>Software AI classificati come alto rischio (es. AI in HR per recruitment, AI in processi creditizi, AI in gestione infrastrutture critiche)</li> <li>Spostato da agosto 2026 a dicembre 2027: un anno e mezzo in più per adeguarsi</li> </ul>
<h3>Agosto 2028 — Componenti AI ad alto rischio in prodotti</h3> <ul> <li>AI embedded in prodotti fisici (macchinari, dispositivi medici, veicoli) soggetti a direttive di sicurezza esistenti</li> <li>La scadenza più lontana: le PMI manifatturiere hanno più tempo per prepararsi</li> </ul>
<h2>Nuovi divieti dal 2 agosto: attenzione a questi casi d'uso</h2> <p>L'Omnibus non ha solo spostato scadenze — ha anche aggiunto nuovi divieti espliciti. Dal 2 agosto 2026 saranno vietati:</p> <ul> <li><strong>CSAM generato da AI</strong>: materiale che raffigura minori in modo sessualizzato, anche sinteticamente prodotto</li> <li><strong>Deepfake non consensuali</strong>: immagini o video iperrealistici di persone reali senza il loro esplicito consenso, anche a scopo non commerciale</li> <li><strong>Inferenza emotiva in luoghi di lavoro e scuole</strong>: sistemi che tentano di dedurre le emozioni dei dipendenti o studenti senza giustificazione medica o di sicurezza</li> </ul> <p>Per la maggior parte delle PMI italiane, questi divieti non rappresentano un rischio immediato. Ma chi utilizza strumenti di analisi del sentiment sul personale, o chatbot che profilano le reazioni degli utenti, deve rivedere la propria configurazione entro il 2 agosto.</p>
<h2>AI literacy obbligatoria: cosa significa in pratica</h2> <p>L'Art. 4 dell'AI Act introduce l'obbligo di <strong>AI literacy</strong> per le organizzazioni. Non è richiesta una certificazione formale, ma la norma impone di garantire che chi usa, supervisiona o approva decisioni supportate dall'AI abbia:</p> <ul> <li>Comprensione delle capacità e limitazioni del sistema AI in uso</li> <li>Consapevolezza dei rischi connessi all'uso specifico</li> <li>Capacità di intervenire e correggere output errati</li> </ul> <p>In parole semplici: non puoi usare un agente AI per il customer service senza che almeno una persona nell'organizzazione sappia esattamente cosa fa, cosa non fa e come correggerlo quando sbaglia. Questo è il principio di <strong>Human in the Loop</strong> — non come best practice, ma come obbligo di legge.</p>
<h2>La legge italiana L.132/2025: il doppio binario normativo</h2> <p>L'Italia è stata il primo Paese UE ad approvare una legge nazionale sull'AI, la <strong>L.132/2025</strong>, entrata in vigore nell'autunno 2025. Questa norma si affianca all'AI Act europeo creando un sistema a due livelli:</p> <ul> <li>L'AI Act europeo è il riferimento primario per classificazione dei sistemi e obblighi di conformità</li> <li>La L.132/2025 italiana aggiunge norme specifiche su utilizzo AI nel settore pubblico, tutela dei lavoratori e responsabilità civile per danni causati da AI</li> </ul> <p>Per le PMI, il punto critico è la <strong>responsabilità civile</strong>: la legge italiana introduce norme specifiche sulla liability quando un sistema AI causa danni a terzi. Non è più sufficiente dire "è colpa dell'AI" — l'imprenditore che ha adottato il sistema risponde in prima persona se non ha adottato misure ragionevoli di controllo e supervisione.</p>
<h2>La checklist pratica: cosa fare entro il 2 agosto</h2> <p>Sulla base del quadro normativo aggiornato, ecco le azioni concrete che ogni PMI italiana dovrebbe completare entro il 2 agosto 2026:</p>
<h3>Settimana 1-2: Inventario dei sistemi AI in uso</h3> <ul> <li>Censire tutti i software, strumenti e servizi AI attualmente in uso (inclusi quelli "nascosti" nei pacchetti software esistenti)</li> <li>Classificare ogni sistema: qual è il suo scopo? Chi lo usa? Quali decisioni supporta?</li> <li>Identificare eventuali sistemi potenzialmente ad alto rischio (HR, finanza, sicurezza fisica)</li> </ul>
<h3>Settimana 3-4: Policy interna AI</h3> <ul> <li>Redigere una policy d'uso dei sistemi AI per il personale (chi può usarli, per quali scopi, con quale supervisione)</li> <li>Definire i ruoli di responsabilità: chi è il referente AI interno?</li> <li>Stabilire procedure di revisione umana per le decisioni critiche supportate da AI</li> </ul>
<h3>Settimana 5-6: Trasparenza verso clienti e partner</h3> <ul> <li>Aggiornare privacy policy e termini di servizio per dichiarare esplicitamente l'uso di AI</li> <li>Verificare che contenuti AI-generated siano correttamente contrassegnati (anticipando il watermarking di novembre)</li> <li>Rivedere eventuali chatbot o agenti AI che interagiscono con clienti: i clienti devono sapere che stanno parlando con una AI</li> </ul>
<h3>Settimana 7-8: Formazione e AI literacy</h3> <ul> <li>Organizzare sessioni di formazione interne sui sistemi AI in uso</li> <li>Documentare la formazione svolta (questa documentazione potrebbe essere richiesta dall'ACN in caso di verifica)</li> <li>Nomina formale del referente AI aziendale con definizione delle sue responsabilità</li>
<h3>Settimana 9: Verifica finale e aggiornamento contratti</h3> <ul> <li>Rivedere i contratti con i fornitori AI: chi è responsabile della conformità? Cosa garantisce il fornitore?</li> <li>Verificare che i fornitori AI che usi abbiano già la propria conformità all'AI Act (trasparenza, watermarking, documentazione tecnica)</li> <li>Conservare tutta la documentazione di conformità</li> </ul> </ul>
<h2>Come BlueSky Agent AI affronta la compliance AI Act</h2> <p>Le PMI che utilizzano la piattaforma BlueSky Agent AI beneficiano di un'architettura progettata con la compliance in mente fin dall'inizio. Alcuni elementi concreti:</p> <ul> <li><strong>Human in the Loop nativo</strong>: ogni agente AI su BlueSky è configurato con checkpoint di supervisione umana per le decisioni critiche — esattamente quello che l'Art. 4 richiede come standard</li> <li><strong>Audit trail automatico</strong>: ogni azione degli agenti è registrata con timestamp, input, output e operatore responsabile — documentazione pronta per eventuali verifiche ACN</li> <li><strong>Data sovereignty UE</strong>: tutti i dati elaborati dagli agenti BlueSky risiedono su infrastruttura europea, eliminando i rischi di trasferimento dati extra-UE</li> <li><strong>ModelMatch e routing intelligente</strong>: il motore di routing di BlueSky seleziona automaticamente il modello AI più appropriato per ogni task, garantendo anche che i modelli utilizzati rispettino i requisiti di trasparenza dell'AI Act</li> </ul> <p>Non è un vantaggio secondario: poter dimostrare che i propri sistemi AI includono supervisione umana, audit trail e governance documentata è esattamente ciò che le autorità di vigilanza richiederanno nelle prime verifiche post-agosto 2026.</p>
<h2>Le sanzioni: quanto costa non adeguarsi</h2> <p>Per completezza, il quadro sanzionatorio dell'AI Act:</p> <ul> <li><strong>Violazione dei divieti assoluti</strong>: fino a 35 milioni di euro o il 7% del fatturato globale annuo (il maggiore dei due)</li> <li><strong>Violazione di altri obblighi</strong>: fino a 15 milioni o il 3% del fatturato globale</li> <li><strong>Informazioni false alle autorità</strong>: fino a 7,5 milioni o l'1,5% del fatturato</li> </ul> <p>Per una PMI con 5 milioni di fatturato, il 3% significa 150.000 euro. Non è un rischio astratto.</p> <p>Tuttavia, l'approccio dell'ACN nelle prime fasi sarà prevalentemente orientativo e formativo. Le PMI che dimostrano un approccio proattivo — anche se non perfettamente compliant su ogni dettaglio — avranno trattamento diverso rispetto a chi ignora completamente la norma.</p>
<h2>Il momento di agire è adesso</h2> <p>62 giorni sembrano tanti. In realtà, considerando ferie estive, la normale operatività aziendale e i tempi burocratici, sono pochissimi. Le PMI italiane che vogliono essere pronte entro il 2 agosto devono iniziare questa settimana.</p> <p>Il buon notizia è che non si tratta di un adeguamento impossibile. Per la maggior parte delle PMI italiane che usano strumenti AI standard (chatbot, strumenti di produttività, automazione di base), la compliance richiede principalmente documentazione, formazione interna e piccoli aggiustamenti di processo — non una rivoluzione tecnologica.</p> <p>L'importante è iniziare adesso. Non il 1° agosto.</p>]]>