AI Act (Reg. UE 2024/1689): cosa devono fare le PMI entro agosto 2026 sui sistemi ad alto rischio

Il 2 agosto 2026 il Regolamento (UE) 2024/1689 diventa pienamente applicabile ai sistemi AI classificati nell'Allegato III. Se la vostra azienda usa software di screening CV, scoring creditizio o valutazione delle performance dei dipendenti, siete già deployer con obblighi precisi — indipendentemente da chi ha sviluppato il sistema.

Il Regolamento (UE) 2024/1689, noto come AI Act, ha un calendario di applicazione a strati che molte PMI italiane hanno frainteso. Non è un regolamento che riguarda solo chi sviluppa intelligenza artificiale: riguarda anche chi la utilizza. E la scadenza operativa più rilevante per la maggior parte delle aziende è il 2 agosto 2026 — meno di due mesi da oggi.

Chi arriva a settembre senza aver completato l'inventario dei sistemi e la documentazione tecnica non avrà una scusa normativa valida. Il Digital Omnibus, la proposta di modifica che slitterebbe alcune scadenze, non è ancora stato adottato formalmente alla data di questo articolo.

Cosa si applica dal 2 agosto 2026 (e cosa aspetta il 2027)

La confusione più comune nasce da una lettura imprecisa dell'Art. 113, che scandisce le date di applicazione per fasi.

Dal 2 agosto 2026 entrano in vigore gli obblighi pieni per:

• I sistemi AI ad alto rischio elencati nell'Allegato III (Art. 6(2)) — credito, HR, istruzione, identificazione biometrica, giustizia
• Gli obblighi di trasparenza verso gli utenti finali per sistemi interattivi come chatbot e per contenuti AI-generati (deepfake, immagini, audio, video sintetici) — Art. 50. Il versante trasparenza è approfondito in AI Act: la trasparenza obbligatoria dal 2 agosto 2026.

Dal 2 agosto 2027 si applicherà invece il solo Art. 6(1): sistemi AI integrati come componente di sicurezza in prodotti soggetti a legislazione armonizzata Allegato I (dispositivi medici, macchine, veicoli) che richiedono conformity assessment da parte di organismi notificati. Questa è la scadenza per i produttori manifatturieri, non per le PMI di servizi.

Nota sul Digital Omnibus: il 7 maggio 2026 la Commissione europea ha raggiunto un accordo provvisorio per prorogare alcune scadenze di 16 mesi (Allegato III → 2 dicembre 2027; Allegato I → 2 agosto 2028). Il voto in plenaria del Parlamento europeo è previsto per il 20 giugno 2026. Fino all'adozione formale e alla pubblicazione in Gazzetta Ufficiale UE, le date vigenti restano agosto 2026. Avevamo analizzato il pacchetto di semplificazione in AI Act e pacchetto Omnibus.

Chi rientra nell'Allegato III — i casi tipici per le PMI

L'Allegato III elenca otto categorie di sistemi AI ad alto rischio. Le più frequenti nelle PMI italiane:

Credito e assicurazioni (punti 5b e 5c)

Software che valuta il merito creditizio di persone fisiche per mutui, leasing o prestiti (punto 5b). Software che calcola il rischio assicurativo individuale per polizze vita o salute (punto 5c). Se usate un motore di scoring esterno integrato nel vostro CRM o software bancario, rientrate in questa categoria come deployer.

Selezione e gestione del personale (punto 4)

Sistemi per lo screening automatico dei CV, il filtraggio delle candidature, la valutazione delle performance o il monitoraggio dell'attività dei dipendenti. Questa categoria include i moduli AI di molte piattaforme HR SaaS oggi diffuse sul mercato italiano.

Istruzione e formazione professionale (punto 3)

Sistemi di ammissione a percorsi formativi, valutazione delle competenze, o proctoring durante esami online. Rilevante per enti di formazione professionale, scuole private, piattaforme e-learning.

Giustizia e processi democratici (punto 8)

Sistemi di supporto alle decisioni giudiziarie. Rara nelle PMI generali, ma rilevante per studi legali o consulenti che utilizzano strumenti di analisi predittiva giurisdizionale.

La distinzione operativa fondamentale: il fornitore SaaS che ha costruito il sistema è il provider; la vostra azienda che lo usa nelle proprie operazioni è il deployer. Entrambi hanno obblighi distinti, e quelli del deployer sono esigibili dal 2 agosto 2026.

Il calendario operativo — cosa è già in vigore e cosa scade ad agosto

Già scaduto

• 2 febbraio 2025: divieto di pratiche AI proibite (Art. 5) — social scoring, manipolazione subliminale, bias sistematici basati su caratteristiche protette
• 2 agosto 2025: sanzioni applicabili, governance GPAI (sistemi AI general purpose come i modelli linguistici di grandi dimensioni)

Scadenza 2 agosto 2026 — obblighi per deployer Allegato III

Gli obblighi del deployer sono definiti dall'Art. 26 del Regolamento e includono:

• Supervisione umana: designare una persona responsabile del controllo del sistema e formarla adeguatamente
• Monitoraggio continuo: verificare che il sistema funzioni come indicato dal provider; segnalare anomalie
• Conservazione dei log: conservare i registri generati automaticamente dal sistema per almeno 6 mesi
• Reporting degli incidenti gravi: notificare le autorità competenti in caso di incidenti seri
• Informativa ai lavoratori: se il sistema riguarda i dipendenti, informarli del suo utilizzo prima della messa in funzione

Il provider (tipicamente il fornitore SaaS) deve a sua volta avere rilasciato la documentazione tecnica, la dichiarazione di conformità EU e, per i sistemi Allegato III, avere registrato il sistema nel database EU (Art. 49 e Art. 71). Come deployer privato, il vostro compito è verificare che il fornitore abbia adempiuto a questi obblighi. Le PMI private come deployer non sono direttamente obbligate a registrarsi nel database EU AI Office.

Cosa fare adesso — sei passi operativi

1. Inventario sistemi AI: mappare ogni applicazione acquistata o in uso che potrebbe rientrare nell'Allegato III, inclusi moduli SaaS per HR, CRM con scoring, piattaforme di formazione. Il criterio è la funzione, non l'etichetta commerciale del prodotto.
2. Verifica contratti con il fornitore: il contratto deve prevedere che il provider rilasci documentazione tecnica e dichiarazione di conformità. Se il fornitore non la rilascia entro agosto 2026, il rischio di inadempienza ricade in parte su di voi come deployer.
3. Nomina del supervisore umano: Art. 26 richiede la designazione formale di un responsabile. Non è sufficiente che "qualcuno guardi i risultati" — servono mansioni documentate e formazione tracciata.
4. Attivazione dei log: verificare che il sistema registri automaticamente le decisioni rilevanti e che voi abbiate accesso a questi log per almeno 6 mesi.
5. Informativa ai lavoratori: se usate AI nell'HR, aggiornare le informative sindacali e individuali. L'Art. 26 lo richiede esplicitamente prima della messa in funzione del sistema.
6. Aggiornamento delle informative sui sistemi interattivi: se il sito aziendale o il customer service usa chatbot, aggiornare le informative agli utenti finali (Art. 50 — obbligo dal 2 agosto 2026).

Le sanzioni — Art. 99

Le sanzioni del Regolamento sono graduate su tre livelli:

Per le PMI si applica il minore tra la soglia assoluta e quella percentuale (Art. 99(6)). Esempi concreti:

• PMI con €5M di fatturato: sanzione max per violazione high-risk = €150.000
• PMI con €10M di fatturato: sanzione max = €300.000
• PMI con €20M di fatturato: sanzione max = €600.000

Sul piano nazionale, la Legge 23 settembre 2025, n. 132 (GU n. 223 del 25/09/2025, in vigore dal 10 ottobre 2025) ha designato l'ACN (Agenzia per la Cybersicurezza Nazionale) come autorità nazionale competente per l'applicazione del Regolamento in Italia.

Fonti

• Regolamento (UE) 2024/1689 — testo ufficiale EUR-Lex
• Allegato III — testo annotato (artificialintelligenceact.eu)
• Art. 113 — date di applicazione
• Art. 26 — obblighi deployer
• Art. 50 — obblighi di trasparenza
• Art. 99 — sanzioni
• Gazzetta Ufficiale italiana — Legge 132/2025
• ANSA — Via libera commissioni PE all'AI Omnibus, voto plenaria a giugno
• Agenda Digitale — Digital Omnibus e AI Act: cosa può slittare
• AI Act Service Desk (EU)

Nota redazionale: questo articolo sarà aggiornato dopo il voto del Parlamento europeo in plenaria sul Digital Omnibus (previsto il 20 giugno 2026) per riflettere l'eventuale slittamento delle scadenze.