AI Act per le PMI: cosa è obbligatorio dal 2 agosto 2026 (chatbot compresi) e cosa è stato rinviato

Risposta diretta: per quasi tutte le PMI italiane l’AI Act oggi significa tre cose. Dire alle persone quando parlano con un chatbot e non con un umano, segnalare immagini, video e audio realistici generati con l’IA, e sapere quali strumenti di IA si usano in azienda e da chi. Gli obblighi pesanti, quelli per i sistemi “ad alto rischio”, sono stati rinviati a dicembre 2027 dal Digital Omnibus. A questo si aggiunge la legge italiana 132/2025, che chiede di informare lavoratori e clienti in alcuni casi.

Sono Andrea Baglioni, sviluppo chatbot WhatsApp e automazioni con l’IA per PMI a Perugia e in tutta Italia. Non sono un avvocato: questo articolo serve a capire cosa riguarda un’azienda che usa o vuole usare l’IA, e cosa chiedere a chi gliela fornisce. Per un parere su un caso specifico rivolgiti a un legale o al tuo DPO. Ho scritto il testo partendo da fonti specializzate aggiornate a ottobre 2026; prima di decisioni importanti verifica il testo ufficiale su EUR-Lex e in Gazzetta Ufficiale.

Le date che contano, in una tabella

L’AI Act è il Regolamento (UE) 2024/1689. È in vigore dall’agosto 2024, ma si applica a tappe. Nel luglio 2026 il “Digital Omnibus” sull’IA, un regolamento europeo di semplificazione in vigore dal 27 luglio 2026, ha spostato alcune scadenze.

Il rinvio riguarda solo l’alto rischio. Chi ha letto “l’AI Act è slittato” e ha messo tutto in pausa ha capito male: la trasparenza dell’articolo 50 è già obbligatoria.

Fornitore o utilizzatore: quale ruolo ha la tua azienda

L’AI Act distingue tra chi sviluppa un sistema di IA e lo mette sul mercato (il fornitore, in inglese provider) e chi lo usa nella propria attività (l’utilizzatore, deployer).

La grande maggioranza delle PMI è utilizzatore: usa ChatGPT o Copilot in ufficio, un chatbot sul sito, un software che genera immagini per i social. Gli obblighi dell’utilizzatore sono più leggeri di quelli del fornitore, ma esistono, soprattutto verso chi entra in contatto con il sistema: clienti, utenti, dipendenti.

Se invece fai sviluppare un sistema su misura e lo vendi ad altri con il tuo marchio, diventi fornitore. È un caso meno frequente, ma va valutato con chi sviluppa.

Chatbot sul sito e su WhatsApp: l’obbligo di dirlo

È l’obbligo che tocca più PMI. Dal 2 agosto 2026 chi interagisce con un sistema di IA deve esserne informato, a meno che sia evidente dal contesto. Un chatbot che risponde come “Giulia dell’ufficio clienti” senza dire di essere automatico non è più accettabile.

In pratica, un chatbot conforme:

• si presenta come assistente automatico nel primo messaggio, con una frase semplice;
• non finge di essere una persona e, se l’utente chiede “sei umano?”, risponde di no;
• offre un’uscita verso una persona: un numero, un modulo, il passaggio a un operatore;
• dice dove vanno i dati o rimanda all’informativa privacy, perché il GDPR continua a valere;
• chiede di non inserire dati sensibili quando non servono.

Un esempio concreto: sul mio sito c’è un assistente di vendita basato su IA. Si apre con “Ciao! Sono l’assistente AI di Andrea Baglioni e rispondo in automatico”, sotto il campo di testo avvisa che può sbagliare e che le conversazioni sono elaborate da un fornitore esterno, e ha sempre un pulsante per scrivermi su WhatsApp. È lo stesso schema che uso nei chatbot WhatsApp per le aziende che sviluppo.

Immagini, video e testi generati con l’IA

L’articolo 50 tocca anche i contenuti.

• Deepfake. Se pubblichi immagini, audio o video generati o manipolati con l’IA che sembrano reali (una persona che dice cose mai dette, un luogo che non esiste presentato come vero), devi dichiarare che sono artificiali. Per opere chiaramente creative, satiriche o di finzione l’obbligo è attenuato, ma non sparisce.
• Testi su temi di interesse pubblico. Se pubblichi testi generati con l’IA per informare il pubblico su questioni di interesse pubblico, va dichiarato, salvo che il testo sia stato rivisto da una persona che se ne assume la responsabilità editoriale.
• Marcatura tecnica. I fornitori dei sistemi che generano contenuti devono marcarli in un formato leggibile dalla macchina. Per la PMI che usa questi strumenti l’obbligo è del fornitore, ma conviene non rimuovere le marcature.

Per un post promozionale con un’immagine illustrativa evidentemente grafica non serve un cartello. Per una foto “realistica” del tuo prodotto in un ambiente che non esiste, una nota “immagine generata con IA” ti toglie ogni dubbio e non costa nulla.

Alfabetizzazione: sapere chi usa cosa

Dal febbraio 2025 l’articolo 4 chiede a fornitori e utilizzatori di curare la competenza sull’IA di chi usa questi strumenti per conto dell’azienda. Il Digital Omnibus ne ha ammorbidito la formulazione: si parla di misure effettive e proporzionate al contesto, non di un livello di competenza prestabilito per ogni persona. Le fonti specializzate non concordano ancora su tutte le conseguenze di questa modifica, quindi è un punto da verificare con un legale.

Per una PMI la versione proporzionata è semplice: un elenco degli strumenti usati, una pagina di regole interne e un’ora di formazione su cosa non fare. È anche il modo più rapido per evitare il rischio più concreto, che non è la sanzione dell’AI Act ma il dipendente che incolla un contratto o i dati di un cliente in uno strumento gratuito.

La legge italiana 132/2025: lavoratori e clienti dei professionisti

La legge 23 settembre 2025, n. 132, è la legge italiana sull’intelligenza artificiale, in vigore dal 10 ottobre 2025. Non sostituisce l’AI Act: lo affianca. Per le PMI contano soprattutto due articoli.

Articolo 11, lavoro. Il datore di lavoro, o il committente, deve informare il lavoratore quando usa sistemi di IA, nei casi e con le modalità previste dalla normativa sulle informazioni ai lavoratori (articolo 1-bis del d.lgs. 152/1997). Riguarda soprattutto gli strumenti che incidono su assunzione, organizzazione del lavoro, valutazione o controllo. L’informativa va data per iscritto, anche alle rappresentanze sindacali dove ci sono.

Articolo 13, professioni intellettuali. Commercialisti, avvocati, consulenti del lavoro, ingegneri, architetti e in generale i professionisti possono usare l’IA solo per attività strumentali e di supporto: il lavoro intellettuale resta loro, e con esso la responsabilità. Devono informare il cliente sui sistemi di IA usati, con un linguaggio chiaro, semplice ed esaustivo. Diverse associazioni di categoria hanno preparato modelli di informativa da allegare all’incarico.

La legge affida le funzioni di autorità nazionali per l’IA all’Agenzia per l’Italia digitale (AgID) e all’Agenzia per la cybersicurezza nazionale (ACN).

Alto rischio: quando una PMI ci rientra davvero

I sistemi ad alto rischio sono quelli elencati nell’Allegato III dell’AI Act. Per una PMI i casi realistici sono pochi:

• selezione del personale: software che filtra i curriculum, classifica i candidati o valuta i colloqui;
• gestione dei lavoratori: sistemi che assegnano compiti, monitorano o valutano le prestazioni in base a comportamenti o caratteristiche personali;
• accesso a servizi essenziali: valutazione del merito creditizio, calcolo di premi assicurativi sulla persona.

Un chatbot che risponde alle domande sui tuoi servizi, un’automazione che smista le email o un’IA che riassume i preventivi non sono ad alto rischio. Se usi uno strumento di selezione del personale con IA, il rinvio al 2 dicembre 2027 ti dà tempo, ma conviene chiedere già ora al fornitore come intende adeguarsi.

Le sanzioni, senza allarmismi

Per la violazione degli obblighi di trasparenza l’AI Act prevede sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo. Per PMI e start-up vale il minore dei due importi, e il Digital Omnibus chiede agli Stati di considerare la sostenibilità economica delle PMI, con la possibilità di avvertimenti e misure non pecuniarie. Le regole sulle sanzioni le definisce ogni Stato.

Il punto non è la cifra massima: è che gli adempimenti per una PMI utilizzatrice costano poco. Una frase nel chatbot, una nota sulle immagini realistiche, un’informativa e un elenco degli strumenti.

Checklist in 8 punti per una PMI

1. Fai l’elenco degli strumenti di IA usati in azienda, da chi e per cosa: assistenti di scrittura, chatbot, generatori di immagini, funzioni IA dentro CRM e gestionali.
2. Separa gli usi interni da quelli verso l’esterno. Gli obblighi di trasparenza riguardano soprattutto ciò che vede il cliente.
3. Controlla i chatbot: presentazione come assistente automatico, nessuna finzione umana, passaggio a una persona, rimando alla privacy.
4. Decidi come segnalare i contenuti generati realistici: una dicitura standard per immagini e video.
5. Scrivi una pagina di regole interne: quali dati non vanno mai inseriti negli strumenti di IA, chi può usare cosa, chi controlla i risultati.
6. Verifica i fornitori: dove finiscono i dati, se c’è un accordo sul trattamento dei dati personali (DPA), se i dati vengono usati per addestrare i modelli.
7. Prepara le informative previste dalla legge 132/2025: ai lavoratori nei casi dell’articolo 11 e, se sei un professionista, ai clienti.
8. Segnati le prossime date: 2 dicembre 2026 per la marcatura dei contenuti, 2 dicembre 2027 se usi IA nella selezione o valutazione del personale.

Come costruisco chatbot e automazioni con l’IA

Quando sviluppo un chatbot WhatsApp con IA o un’automazione con n8n, la trasparenza fa parte del progetto, non è un’aggiunta finale:

• il bot si presenta come assistente automatico e non si spaccia per una persona;
• c’è sempre il passaggio a un operatore, con la conversazione salvata per chi riprende in mano il contatto;
• il bot raccoglie solo i dati che servono e rimanda all’informativa privacy;
• le risposte su prezzi, tempi e servizi vengono da una base di informazioni che controlli tu, non dalla fantasia del modello;
• le conversazioni restano consultabili, così puoi verificare cosa ha risposto e correggerlo.

Il chatbot WhatsApp parte da 129 € al mese di canone più uno sviluppo da 990 €; i consumi di WhatsApp Business e del modello di IA sono a parte, al costo. Le automazioni partono da 89 € al mese più uno sviluppo da 690 €. Il preventivo esatto arriva dopo una call gratuita di 20 minuti.

Il prossimo passo

Se hai già un chatbot o stai valutando di usare l’IA per rispondere ai clienti, in 20 minuti guardiamo insieme cosa usi e cosa manca per essere in regola con la trasparenza. Scrivimi dai contatti o su WhatsApp.

Per approfondire:

• Chatbot WhatsApp AI per aziende: come funziona, cosa costa, cosa risponde
• Automazioni AI per PMI: processi, strumenti e casi d’uso
• CRM e WhatsApp per PMI: consenso, passaggio umano e follow-up
• Quanto costa un’automazione aziendale: prezzi e calcolo del ritorno

Domande frequenti

L’AI Act è stato rinviato?

Solo in parte. Il Digital Omnibus sull’IA, in vigore dal 27 luglio 2026, ha spostato al 2 dicembre 2027 gli obblighi per i sistemi ad alto rischio dell’Allegato III (per esempio selezione del personale e valutazione del credito) e al 2 agosto 2028 quelli per l’IA integrata in prodotti regolamentati. Divieti, obblighi sui modelli per finalità generali e trasparenza dell’articolo 50 non sono stati rinviati: la trasparenza si applica dal 2 agosto 2026.

Se uso un chatbot sul sito o su WhatsApp cosa devo fare?

Dal 2 agosto 2026 chi parla con il chatbot deve sapere che sta interagendo con un sistema di intelligenza artificiale, a meno che sia evidente dal contesto. In pratica: il chatbot si presenta come assistente automatico nel primo messaggio, non finge di essere una persona, risponde di no se gli chiedono se è umano e offre un modo per parlare con qualcuno del team.

Usare ChatGPT in ufficio è vietato o richiede autorizzazioni?

No. Usare un assistente AI per scrivere bozze, riassumere documenti o preparare testi interni non richiede autorizzazioni. Restano tre attenzioni: non inserire dati personali o riservati senza un accordo adeguato con il fornitore, rivedere ciò che produce prima di usarlo, e informare dipendenti o clienti nei casi previsti dalla legge italiana 132/2025.

Quali obblighi aggiunge la legge italiana 132/2025?

La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, chiede al datore di lavoro di informare i lavoratori quando usa sistemi di IA nei casi previsti dalla normativa sul lavoro (articolo 11) e ai professionisti intellettuali di usare l’IA solo come supporto e di informarne il cliente con un linguaggio chiaro (articolo 13).

Quanto rischia una PMI che non rispetta l’AI Act?

Per la violazione degli obblighi di trasparenza l’AI Act prevede sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo. Per PMI e start-up si applica il minore dei due importi, e gli Stati membri devono tenere conto della sostenibilità economica dell’impresa. Le regole sulle sanzioni le fissano le autorità nazionali.