AI Act, il rinvio ha toccato solo l'alto rischio. Alfabetizzazione, trasparenza e sanzioni sono già operative

Da qualche settimana gira una frase comoda: “l’AI Act è slittato”. È vero a metà. E la metà sbagliata è proprio quella che riguarda la tua azienda.

Se usi ChatGPT, Copilot o un chatbot sul sito, non stai sviluppando un sistema ad alto rischio. Stai facendo quello che la norma chiama deployer: usi l’AI per lavoro. E gli obblighi di chi usa non sono stati rinviati.

Cosa è slittato davvero

Il Digital Omnibus, pubblicato come Regolamento (UE) 2026/1744 e in vigore dal 27 luglio 2026, ha spostato una cosa sola: le regole sui sistemi ad alto rischio.

L’Allegato III (selezione del personale, credito, istruzione, biometria) passa dal 2 agosto 2026 al 2 dicembre 2027. L’Allegato I (AI integrata in prodotti regolati, come dispositivi medici o giocattoli) va al 2 agosto 2028.

Il motivo dichiarato è dare tempo a standard e strumenti di supporto. Non è un condono.

Cosa resta com’è

Restano alle date previste:

1. Alfabetizzazione del personale (art. 4), in vigore dal 2 febbraio 2025.
2. Divieti sulle pratiche vietate, con un nuovo divieto sui contenuti sessuali non consensuali generati dall’AI dal 2 dicembre 2026.
3. Trasparenza (art. 50): chatbot e contenuti generati o manipolati dall’AI vanno dichiarati, dal 2 agosto 2026.
4. Vigilanza e sanzioni: dal 2 agosto 2026 le autorità nazionali sono operative e possono verificare anche obblighi già applicabili dal 2025.

Una sfumatura sull’alfabetizzazione

L’Omnibus ha ammorbidito la formula dell’art. 4: non più “misure per garantire” un livello sufficiente di competenza, ma misure “volte a sostenerne lo sviluppo”. Il testo è meno rigido. L’obbligo di fare qualcosa di documentabile sulla formazione, invece, c’è ancora.

Il rinvio ha tolto una scadenza ai fornitori di sistemi ad alto rischio. A chi usa l’AI ogni giorno non ha tolto niente.

Il punto che il rinvio non risolve: un registro non è governo

Molte PMI risponderanno a questo scenario nel modo più rapido: un registro degli strumenti AI, una policy scaricata, un corso una tantum. Sono tutti documenti utili. Nessuno dei tre dice chi decide.

Il giorno dopo aver compilato il registro, restano aperte domande che nessun foglio risolve:

• Chi autorizza un nuovo strumento prima che il team lo usi?
• Chi aggiorna il registro quando il commerciale attiva un plugin nuovo?
• Chi valida un output prima che arrivi a un cliente?
• Chi risponde, davanti al titolare, se qualcosa va storto?

Se la risposta è “dipende” o “nessuno”, hai della documentazione. Non hai un sistema. Ne parliamo anche nella checklist operativa sulla policy AI e nel caso dello shadow AI.

Errori comuni dopo il rinvio

• Rimandare tutto a dicembre 2027 perché “l’AI Act è slittato”.
• Confondere “non sono alto rischio” con “non ho obblighi”.
• Fare formazione una volta e archiviare l’attestato.
• Affidare l’AI a un fornitore e dimenticare che l’uso resta dell’azienda.

Cosa fare questa settimana

1. Elenca gli strumenti AI che il team usa davvero, non quelli approvati sulla carta.
2. Segna dove l’AI parla o produce contenuti verso l’esterno (chatbot, testi, immagini): lì scatta la trasparenza.
3. Assegna un nome e cognome a chi risponde dell’AI in azienda.
4. Metti a calendario una formazione breve e ripetibile, con traccia di chi l’ha fatta.

Se vuoi sapere a che punto sei, parti dalil diagnostico PMI. Per capire come costruire il sistema, c’è il percorso Per Aziende. Il quadro generale resta nell’articolo sull’EU AI Act per PMI.