Il 2 agosto 2026 è la data in cui il Regolamento europeo sull’intelligenza artificiale diventa applicabile in via generale. Per molte imprese italiane il tema è arrivato come un adempimento in più, e questo è il modo sbagliato di guardarlo: gli AI Act obblighi per le aziende non si sovrappongono al GDPR, ci si intrecciano, e la stessa pratica può essere contestata su due fronti con due apparati sanzionatori distinti.
Il calendario, in ordine
Il Regolamento (UE) 2024/1689 è entrato in vigore il 1° agosto 2024 e si applica per blocchi successivi.
- 2 febbraio 2025. Diventano applicabili i divieti sulle pratiche vietate (articolo 5) e l’obbligo di alfabetizzazione in materia di intelligenza artificiale (articolo 4).
- 2 agosto 2025. Entrano in applicazione le regole sui modelli per finalità generali, l’assetto di governance e il regime sanzionatorio.
- 2 agosto 2026. Applicazione generale del Regolamento, compresi gli obblighi di trasparenza dell’articolo 50.
- 2 agosto 2027. Scade il periodo di adeguamento per i modelli per finalità generali già immessi sul mercato prima del 2 agosto 2025.
In Italia la legge 132 del 2025 ha definito l’assetto istituzionale: all’Agenzia per la cybersicurezza nazionale sono attribuiti i compiti di vigilanza, con poteri ispettivi e sanzionatori; all’Agenzia per l’Italia digitale quelli di promozione e di accreditamento degli organismi di valutazione della conformità.
AI Act obblighi per le aziende: l’articolo 4 riguarda anche chi usa, non solo chi costruisce
È l’equivoco più diffuso. Molte imprese ritengono che il Regolamento riguardi i produttori di sistemi di intelligenza artificiale e non chi semplicemente li adotta. L’articolo 4 dice il contrario: l’obbligo di garantire un livello sufficiente di competenza alle persone che utilizzano i sistemi grava sia sui fornitori sia sui deployer, cioè su chi li impiega nella propria attività.
È un obbligo orizzontale: vale per le grandi aziende, per le piccole e medie imprese, per gli studi professionali e per gli enti pubblici. Lo standard richiesto è proporzionato alle dimensioni e al contesto dell’organizzazione, ma la proporzionalità attenua il contenuto, non l’esistenza del dovere. E il Regolamento non prevede alcun periodo di tolleranza: l’obbligo è operativo dal febbraio 2025.
Gli importi: fino al 7 per cento del fatturato
L’articolo 99 del Regolamento costruisce tre fasce, e si applica sempre l’importo più elevato tra la cifra fissa e la percentuale sul fatturato mondiale annuo.
- 35 milioni di euro o il 7 per cento per la violazione dei divieti sulle pratiche vietate dell’articolo 5.
- 15 milioni di euro o il 3 per cento per la violazione degli altri obblighi del Regolamento.
- 7,5 milioni di euro o l’1 per cento per la comunicazione di informazioni false o fuorvianti alle autorità.
Per piccole e medie imprese e start-up il riferimento è il minore tra l’importo fisso e la percentuale. Resta il fatto che il massimale del 7 per cento è superiore a quello del GDPR, che si ferma al 4 per cento.
Dove l’AI Act incrocia il GDPR
Qui si gioca la parte che interessa più direttamente chi si occupa di protezione dei dati. Quasi ogni sistema di intelligenza artificiale usato in azienda tratta dati personali: nei dati di addestramento, negli input forniti dagli utenti, negli output che producono decisioni.
Ne derivano questioni che il Regolamento sull’IA non risolve e che restano interamente nel perimetro del GDPR: su quale base giuridica si trattano i dati immessi nel sistema; che cosa dice l’informativa sull’uso di strumenti automatizzati; se la decisione prodotta rientri nell’ambito dell’articolo 22 sulle decisioni automatizzate; se il trattamento richieda una valutazione d’impatto, come ricostruito nell’articolo su quando la DPIA è obbligatoria; dove si trovino i server del fornitore, con tutto ciò che ne segue in tema di trasferimento dei dati extra UE.
Sul fronte europeo il Comitato europeo per la protezione dei dati ha posto in consultazione pubblica, fino al 30 ottobre 2026, linee guida sul web scraping nel contesto dell’intelligenza artificiale generativa, dedicate alla base giuridica e alle condizioni per il trattamento delle categorie particolari di dati. Chi utilizza strumenti generativi addestrati su dati raccolti dalla rete ha un interesse diretto a seguirne l’esito.
Il rischio che le aziende non vedono: lo shadow AI
Nella maggior parte delle organizzazioni l’intelligenza artificiale è già entrata senza che nessuno l’abbia deliberata. Un collaboratore incolla un documento in uno strumento generativo per farsi aiutare a riassumerlo; un altro usa un servizio di trascrizione per una riunione; un terzo chiede a un assistente di redigere una comunicazione a un cliente.
Ogni volta che quei testi contengono dati personali — nomi di clienti, dati di dipendenti, informazioni contrattuali — si è realizzato un trasferimento verso un fornitore che il titolare non ha valutato, non ha nominato come responsabile e non ha inserito nel registro dei trattamenti. È una violazione che non produce rumore e che emerge soltanto quando qualcuno va a cercarla: tipicamente in sede di verifica, come accade per il registro dei trattamenti, che è il primo documento richiesto.
Cosa serve sapere prima del 2 agosto
La verifica preliminare è meno complicata di quanto sembri, ma va fatta: quali strumenti di intelligenza artificiale sono effettivamente in uso in azienda, chi li usa e per quali attività, quali dati vi transitano, in quale ruolo si colloca l’impresa rispetto a ciascuno di essi e quale classificazione di rischio il Regolamento assegna a quegli impieghi. Da queste risposte dipende l’intero impianto documentale successivo; senza di esse, qualunque adempimento è costruito su un inventario che non esiste.
Lo studio, con sede a Napoli e attività su tutto il territorio nazionale, assiste aziende ed enti nell’adeguamento all’AI Act in raccordo con la disciplina sulla protezione dei dati e svolge la formazione richiesta dall’articolo 4: il perimetro è descritto nel servizio di consulenza privacy e nella pagina dedicata alla formazione. Per una valutazione preliminare degli strumenti in uso e degli obblighi applicabili si può scrivere dalla pagina dei contatti. Per i profili amministrativi e di contenzioso il riferimento è lo studio legale dell’avv. Elio Errichiello.
Avv. Elio Errichiello
