AI Act: cosa è già obbligatorio oggi e cosa slitta al 2027 (guida per PMI, agosto 2026)

Il Digital Omnibus ha rinviato al 2027-2028 gli obblighi sui sistemi ad alto rischio. Quello che è esigibile adesso è l'articolo 50 sulla trasparenza — e per la maggior parte delle PMI si sistema in un pomeriggio. Guida a cosa fare oggi e cosa no.

BlueSky Agent AI · 2026-08-21

Gli articoli allarmistici sull'AI Act parlano quasi sempre degli obblighi sbagliati. Si scrive di valutazioni di conformità, sistemi di gestione del rischio, documentazione tecnica, organismi notificati: cose reali, che però riguardano i sistemi ad alto rischio, e quasi nessuna delle quali è esigibile oggi da una PMI che ha un chatbot sul sito.

L'obbligo davvero in vigore adesso, e che riguarda moltissime aziende, viene spiegato molto meno.

È l'articolo 50, e nella maggior parte dei casi si sistema in un pomeriggio.

Il Digital Omnibus ha spostato il calendario

Il punto di partenza è una notizia normativa che molte sintesi non hanno recepito: il Digital Omnibus rinvia al 2027 e al 2028 gli obblighi relativi ai sistemi ad alto rischio. L'alto rischio resta un tema serio, ma il calendario è diverso da quello che circola, e per una PMI nell'agosto 2026 le priorità sono altre.

Le sanzioni previste dall'art. 99 arrivano fino a 15 milioni di euro o il 3% del fatturato mondiale, con massimali ridotti per le PMI. Nella pratica gli obblighi esigibili oggi sono limitati e verificabili, il che rende la cifra più un argomento per non rimandare che un motivo di allarme.

Cosa dice l'articolo 50, in italiano

L'art. 50 riguarda la trasparenza e si riduce a un principio: una persona ha diritto di sapere quando sta interagendo con un'intelligenza artificiale, o quando sta guardando un contenuto generato da una. Per una PMI si traduce in tre obblighi concreti.

1. Il chatbot deve dichiararsi

Se sul vostro sito, sul WhatsApp aziendale o dentro il servizio clienti c'è un sistema di AI che dialoga con le persone, quelle persone devono sapere che non stanno parlando con un essere umano. L'informazione va data in modo chiaro e al momento giusto, cioè all'inizio dell'interazione e non in una nota dentro la privacy policy.

C'è l'eccezione per i casi in cui è palese dal contesto. Ma "palese" si valuta dal punto di vista dell'utente, non da quello di chi ha costruito il sistema: un assistente che si presenta con un nome proprio e scrive in modo naturale è esattamente il caso che la norma ha in mente.

2. I contenuti sintetici vanno segnalati

Immagini, audio, video e testi generati o manipolati artificialmente devono essere identificabili come tali, e per i deepfake, cioè i contenuti che riproducono persone o eventi reali, l'obbligo di segnalazione è esplicito e più stringente. Per la comunicazione aziendale ordinaria questo diventa una policy interna: chi produce materiale marketing con AI generativa deve sapere quali contenuti richiedono l'indicazione e dove va messa. È una questione di procedura più che di tecnologia.

3. Emozioni e biometria: informativa obbligatoria

Se usate sistemi che rilevano emozioni o categorizzano persone su base biometrica, e capita più spesso di quanto si pensi nel retail, nella sicurezza e in ambito HR, le persone esposte vanno informate. Qui l'AI Act si somma al GDPR, non lo sostituisce.

La checklist del pomeriggio

Quello che una PMI può fare oggi per essere in regola con la parte esigibile adesso è mezza giornata di lavoro.

1. Fate l'inventario. L'elenco dei punti in cui l'azienda usa AI a contatto con persone esterne: chatbot sul sito, assistente su WhatsApp, risponditore automatico, strumenti che generano testi o immagini pubblicate. Nella maggior parte delle PMI sono meno di cinque voci, e quasi sempre almeno una era stata dimenticata.
2. Aggiungete la dichiarazione. Per ogni punto di contatto conversazionale, una formula chiara all'avvio: "Sei in chat con un assistente virtuale. Se preferisci, ti passo a un collega." Due righe di testo, un rilascio.
3. Definite la regola sui contenuti generati. Una pagina interna che dice cosa marchiamo, come lo marchiamo, chi controlla prima della pubblicazione.
4. Verificate il percorso verso l'umano. Formalmente non è l'art. 50, ma è la prima cosa che un cliente scontento contesta: se l'assistente automatico non ha un'uscita verso una persona, la trasparenza è dichiarata e non praticabile.
5. Mettete una data e un responsabile. Chi in azienda risponde di questo tema, e quando lo si rivede. Un buon momento è l'avvicinarsi delle scadenze 2027.

Fatto questo, la parte esigibile oggi è coperta. Valutazione di conformità, gestione del rischio e documentazione tecnica riguardano l'alto rischio: è una conversazione da avere nel 2027, con calma, e solo se l'azienda rientra davvero in quelle categorie.

Dove le PMI italiane si bloccano davvero

Sui numeri dell'adozione AI in Italia le fonti si contraddicono. ISTAT rileva il 16,4% di imprese che usano AI, con la media UE intorno al 20%, l'Osservatorio Look4ward di Intesa Sanpaolo indica il 31% in crescita dal 19% dell'anno precedente, e circolano stime ancora più alte. La discrepanza nasce dal fatto che le rilevazioni misurano cose diverse, ma su un punto convergono tutte.

• Solo il 19% delle aziende ha percorsi di formazione strutturati sull'AI.
• Solo il 22% dei leader ritiene che la propria organizzazione stia sviluppando le capacità digitali necessarie.
• Solo il 31% ritiene che il management abbia competenze AI sufficienti.

Economyup ha chiamato questo rischio la "fase artigianale": strumenti adottati, processi no. Ed è il punto in cui la conformità normativa e l'efficacia operativa si toccano, perché un'azienda in fase artigianale fatica con l'art. 50 per un motivo che con la norma non c'entra: non sa dove sta usando l'AI. Se cinque persone in cinque reparti usano cinque strumenti diversi, senza un responsabile e senza tracciamento, l'inventario del primo punto diventa un'indagine. Quando invece l'AI sta dentro un processo, con un responsabile, un registro di cosa fa e una misura del risultato, la conformità arriva insieme al resto.

Un approccio pratico

È la ragione per cui BlueSky Agent AI non parte mai dallo strumento ma dal processo. Un agente sulla piattaforma è definito da quale processo serve, chi ne risponde, a quali dati accede, cosa resta scritto di quello che fa e in quali punti si ferma per un'approvazione umana.

Detto in termini di AI Act, l'inventario esiste per costruzione, la tracciabilità è nativa, i punti di contatto con le persone sono censiti, e la dichiarazione richiesta dall'art. 50 si applica dove serve senza dover ricostruire niente a posteriori. La conformità in un click non esiste; gran parte del lavoro di conformità però è lavoro di organizzazione, e se lo si è già fatto per altri motivi non va rifatto. Sul fronte dei costi vale un principio analogo. Un processo agentico attraversa fasi con requisiti diversi, e usare il modello più potente su tutte è il modo più rapido per rendere insostenibile in produzione quello che in prova funzionava. ModelMatch instrada ogni fase sul modello adatto, con una riduzione media dei costi del 42% a qualità invariata, così la scelta del modello torna a essere un dettaglio tecnico invece di una decisione che tocca alla PMI.

In sintesi

• L'obbligo esigibile oggi e che riguarda quasi tutti è l'art. 50 sulla trasparenza: dichiarare i chatbot, segnalare i contenuti sintetici, informare dove si usa riconoscimento emotivo o biometrico.
• Il Digital Omnibus ha rinviato al 2027 e al 2028 gli obblighi sui sistemi ad alto rischio: se qualcuno vi vende urgenza su quelli, conviene chiedere su quale base.
• Le sanzioni dell'art. 99 arrivano a 15 milioni di euro o al 3% del fatturato mondiale, con massimali ridotti per le PMI.
• La checklist per la parte in vigore è mezza giornata: inventario dei punti di contatto, dichiarazione all'avvio delle chat, regola sui contenuti generati, uscita verso una persona, un responsabile con una data.
• L'ostacolo vero non è la norma ma non sapere dove l'AI è già entrata in azienda: l'inventario serve alla conformità e serve anche a tutto il resto.

Per una mappa di dove la vostra azienda usa già l'AI e di cosa serve per essere in regola con quello che è esigibile adesso, scriveteci: si parte dall'inventario.

Nota: questo articolo ha finalità informative e non costituisce consulenza legale. Per la valutazione del proprio caso specifico è opportuno confrontarsi con un legale specializzato.