Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
«Le leggi inutili indeboliscono quelle necessarie» scriveva Montesquieu. Ma quando una legge è necessaria e precisa, ignorarla è una scelta che si paga. Dal 2 agosto 2026 non è più possibile rimandare: gli errori sull'AI Act e gli obblighi di trasparenza che le PMI commettono in questi mesi hanno ora una conseguenza diretta e misurabile.
Il Regolamento UE 2024/1689, meglio noto come AI Act, ha introdotto un sistema di regole graduate per i sistemi di intelligenza artificiale. Dopo l'applicazione anticipata del divieto dei sistemi ad alto rischio inaccettabile (febbraio 2025) e degli obblighi per i modelli di IA a uso generale (agosto 2025), dal 2 agosto 2026 sono entrati in vigore gli obblighi di trasparenza previsti dall'articolo 50. È questa la norma che tocca più da vicino la piccola e media impresa italiana, quella che usa un chatbot sul sito, uno strumento di generazione di contenuti, un assistente virtuale per il servizio clienti.
Le linee guida interpretative pubblicate dalla Commissione europea alla fine di luglio 2026 hanno chiarito alcuni punti controversi, ma per molte aziende sono arrivate quando i processi erano già definiti — o peggio, quando non erano stati definiti affatto.
Cosa prevede l'articolo 50 del Regolamento UE 2024/1689
L'articolo 50 dell'AI Act impone tre obblighi distinti, spesso confusi tra loro anche da chi si occupa di compliance.
Il primo riguarda i sistemi che interagiscono con persone fisiche: chiunque utilizzi un chatbot, un agente conversazionale o un sistema di risposta automatica deve informare l'utente, in modo chiaro e tempestivo, che sta interagendo con un'intelligenza artificiale e non con un essere umano. L'obbligo vale salvo che questo sia evidente dal contesto, clausola che le linee guida di luglio 2026 hanno interpretato in senso restrittivo: non basta che l'utente "potrebbe intuirlo", occorre che sia oggettivamente impossibile il dubbio.
Il secondo obbligo riguarda i contenuti sintetici e i deepfake: i contenuti audio, video e fotografici generati o modificati artificialmente devono essere etichettati come tali. L'etichettatura deve essere leggibile dalla persona che riceve il contenuto, non solo presente nei metadati tecnici del file.
Il terzo obbligo, spesso il più trascurato, riguarda i sistemi di riconoscimento delle emozioni e di categorizzazione biometrica: anche in questi casi scatta un obbligo di informazione preventiva verso le persone interessate.
Vigilantibus iura subveniunt: il diritto soccorre chi è attento. Ed è qui che molte PMI mostrano la prima crepa: confondono i tre obblighi, applicandone uno solo o male.
Gli errori più frequenti nelle aziende italiane — e come evitarli
Il primo errore è concettuale: molte imprese ritengono che l'AI Act riguardi solo chi sviluppa sistemi di intelligenza artificiale, non chi li utilizza. È un malinteso radicato. L'articolo 50 si applica al deployer, cioè all'azienda che mette in uso lo strumento, indipendentemente dal fatto che lo abbia costruito. Una PMI che integra sul proprio sito un chatbot basato su tecnologia di terzi è deployer a tutti gli effetti e risponde degli obblighi di trasparenza.
Il secondo errore riguarda il censimento degli strumenti. La maggior parte delle aziende che usa ChatGPT, Copilot, Gemini o sistemi analoghi per rispondere ai clienti non ha mai fatto un inventario interno dei propri sistemi IA. Senza un censimento, non è possibile sapere quali strumenti ricadano nell'ambito dell'articolo 50 e quali no. La domanda pratica da porsi è: questo sistema interagisce direttamente con un utente esterno o elabora dati in modo autonomo e visibile all'esterno? Se la risposta è sì, l'obbligo di disclosure scatta.
Il terzo errore è tecnico-redazionale: le informative già predisposte sono spesso generiche o sepolte in un'informativa privacy che l'utente non legge. L'articolo 50 richiede che l'avviso sia chiaro, visibile e tempestivo, cioè fornito prima o contestualmente all'interazione, non a posteriori e non in un documento accessorio. Un banner in fondo alla pagina o una clausola nelle condizioni generali di contratto non è sufficiente.
Il quarto errore è quello sull'AI policy aziendale. Poche PMI hanno adottato un documento interno che regoli l'uso dei sistemi di IA da parte dei dipendenti, stabilisca chi può usare quali strumenti, con quali finalità e con quali cautele. Questo documento non è solo un requisito di compliance: è uno strumento di governance che, in caso di contestazione, dimostra che l'azienda ha agito con diligenza.
Il quinto errore — forse il più sottovalutato — riguarda la formazione del personale. L'AI Act, all'articolo 4, introduce l'obbligo di AI literacy per i dipendenti che usano sistemi di IA. Non si tratta di corsi avanzati di informatica, ma di una consapevolezza minima sui limiti, sui rischi e sulle responsabilità connesse all'uso degli strumenti. Ignorare questo obbligo significa esporre l'azienda a una violazione strutturale difficile da sanare ex post.
Una precisazione temporale è necessaria per i sistemi già in uso. L'accordo del 6 maggio 2026 ha introdotto una modifica all'articolo 111, paragrafo 4 del Regolamento: i sistemi immessi sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026 per adeguare la marcatura tecnica. Questo non significa, però, che nel frattempo possano operare senza alcuna disclosure verso gli utenti: l'obbligo informativo verso le persone fisiche decorre comunque dal 2 agosto 2026, mentre la scadenza di dicembre riguarda specificamente gli adempimenti tecnici di marcatura del sistema. Confondere le due scadenze è un errore che può costare caro.
Sul piano sanzionatorio, l'AI Act prevede per le violazioni degli obblighi di trasparenza sanzioni fino a 15 milioni di euro o al 3% del fatturato annuo mondiale, con la soglia più alta tra le due che si applica. Per una PMI con un milione di euro di fatturato, il 3% è 30.000 euro: una cifra significativa ma non devastante. Il rischio reputazionale, però, in un mercato dove la fiducia del cliente è tutto, può essere ben più grave.
Per quanto riguarda le pronunce in materia, si segnala che alla data di redazione del presente articolo non risultano ancora decisioni sanzionatorie adottate dalle autorità di vigilanza nazionali in applicazione dell'AI Act, trattandosi di un regime di recente piena operatività. È tuttavia possibile richiamare l'orientamento già espresso dal Garante per la protezione dei dati personali nel provvedimento dell'11 febbraio 2025 nei confronti di un noto sistema di intelligenza artificiale generativa — orientamento che ha anticipato i criteri oggi codificati nell'AI Act in tema di trasparenza e informazione degli utenti, e che sarà verosimilmente applicato anche nelle future istruttorie. Analogamente, il Garante europeo della protezione dei dati (EDPS) ha pubblicato nel maggio 2026 una nota interpretativa sui rapporti tra AI Act e GDPR, chiarendo che le due normative si applicano cumulativamente: la conformità all'una non esonera dall'altra.
Non è banale osservare che la vera criticità per le PMI italiane non è tecnica ma organizzativa: non si tratta di sviluppare tecnologie, ma di costruire processi interni — un censimento, una policy, una formazione, un avviso — che richiedono competenza giuridica più che informatica. È un passaggio che molte aziende tendono a delegare al fornitore tecnologico, dimenticando che la responsabilità da deployer è propria e non delegabile.
L'AI Act non chiede alle PMI di essere laboratori di ricerca. Chiede loro di sapere cosa usano, di dirlo ai propri utenti e di formare chi lavora con questi strumenti. Tre obblighi semplici nella loro formulazione, complessi nella loro attuazione concreta — e non più rinviabili.
Redazione - Staff Studio Legale MP
