AI Act: cosa devono fare le aziende dal 2 agosto 2026

Dal 2 agosto 2026 l’AI Act entra in una fase decisiva: diventano applicabili gli obblighi per i modelli di AI generativa e il quadro di governance e vigilanza. Per la maggior parte delle aziende che usano l’AI, i primi adempimenti AI Act concreti sono due: garantire l’alfabetizzazione del personale (art. 4) e governare l’uso degli assistenti AI, riducendo i dati personali che vi finiscono.

Questa è la guida operativa agli obblighi dell’AI Act per le aziende nel 2026. Per il quadro d’insieme e il coordinamento con il GDPR, parti dalla pillar AI Act e GDPR per le aziende.

Risposta rapida

Se la tua azienda usa strumenti come ChatGPT, Claude o Gemini, dal 2 agosto 2026 sei un deployer ai sensi dell’AI Act e devi almeno:

1. Formare chi usa l’AI (obbligo di AI literacy, art. 4).
2. Sapere quali sistemi di AI usi e con quale livello di rischio.
3. Governare l’uso con una policy interna e regole chiare sui dati.
4. Minimizzare i dati personali che immetti negli assistenti AI.
5. Documentare le misure adottate, per poterle dimostrare.

Le scadenze chiave dell’AI Act

L’ AI Act (Reg. UE 2024/1689) non è entrato in vigore tutto insieme: si applica per tappe.

• 2 febbraio 2025 — divieti sulle pratiche di AI a rischio inaccettabile e primo obbligo di AI literacy.
• 2 agosto 2025 — regole sui modelli di AI per finalità generali (GPAI, come quelli dietro ChatGPT o Gemini) e assetto di governance.
• 2 agosto 2026 — diventa applicabile il grosso del Regolamento: obblighi sui sistemi ad alto rischio dell’Allegato III, poteri di vigilanza e sanzioni pienamente operativi.
• 2 agosto 2027 — ultima tranche, per i sistemi ad alto rischio incorporati in prodotti già regolati.

Il 2 agosto 2026 è la data che rende il quadro concretamente esigibile per la maggior parte delle imprese: da qui in poi le autorità possono vigilare e sanzionare.

Gli obblighi per chi usa l’AI (deployer)

La maggior parte delle aziende non sviluppa modelli di AI: li usa. In gergo AI Act è un deployer (utilizzatore). Gli obblighi principali per questo ruolo, quando si usano assistenti AI generici per compiti d’ufficio, sono:

• AI literacy (art. 4) — assicurare che chi usa l’AI abbia un livello sufficiente di competenza e consapevolezza sui rischi. È il primo obbligo che tocca tutte le aziende, a prescindere dal settore. Approfondisci nella guida dedicata all’obbligo di AI literacy dell’art. 4.
• Trasparenza (art. 50) — informare le persone quando interagiscono con un sistema di AI o quando un contenuto è generato dall’AI, nei casi previsti.
• Uso conforme alle istruzioni — usare i sistemi rispettando le indicazioni del fornitore e sorvegliandone l’operato (human oversight) dove il sistema è ad alto rischio.

A questi si somma un obbligo che l’AI Act non crea ma non cancella: quando l’assistente AI tratta dati personali, resta pienamente applicabile il GDPR, incluso il principio di minimizzazione dell’ GDPR art. 5(1)(c) : tratta solo i dati adeguati, pertinenti e limitati a quanto serve. Incollare un documento intero in ChatGPT va nella direzione opposta. Sul rapporto tra le due normative vedi AI Act e GDPR: come coordinarli.

I primi 5 passi pratici

Non serve un progetto di mesi per partire. Ecco i primi passi che un’azienda può compiere subito.

1. Fai l’inventario. Elenca quali sistemi di AI usate davvero — inclusi quelli adottati spontaneamente dai dipendenti (la cosiddetta Shadow AI) — e per quali compiti.
2. Classifica il rischio. Per la maggior parte degli usi d’ufficio si tratta di rischio minimo o limitato; verifica però se rientri in un caso ad alto rischio dell’Allegato III (es. selezione del personale).
3. Forma il personale. Organizza la formazione minima richiesta dall’art. 4: cosa può e non può fare l’AI, quali dati non vanno mai inseriti, come segnalare problemi.
4. Scrivi una policy AI. Metti nero su bianco strumenti ammessi, dati vietati, ruoli e responsabilità. Una regola su tutte: non incollare dati personali o riservati in chiaro negli assistenti AI.
5. Adotta una misura tecnica di minimizzazione. Fai in modo che la regola “non far uscire i dati” sia praticabile ogni giorno, non solo scritta: maschera i dati identificativi prima dell’invio all’AI.

In pratica: rendere eseguibile la regola sui dati

I primi tre passi sono organizzativi. Il quinto è tecnico ed è dove molte aziende si fermano: la policy vieta di incollare dati personali, ma nessuno controlla davvero cosa finisce ogni giorno negli assistenti AI. È qui che uno strumento di supporto all’anonimizzazione aiuta.

PrivActa individua e maschera automaticamente nomi, codici fiscali, IBAN, P.IVA e indirizzi italiani, sostituendoli con segnaposto coerenti, sul dispositivo, prima che il testo raggiunga qualunque motore AI — che si usi ChatGPT, Claude, Gemini o un altro assistente. Il documento originale non esce dal computer. Così la regola “non incollare dati in chiaro” diventa un passaggio di pochi secondi, e resta una traccia locale di ciò che è stato mascherato — utile per dimostrare diligenza.

Attenzione al framing corretto: PrivActa non ti mette a norma con l’AI Act. È una misura tecnica di minimizzazione che riduce l’esposizione dei dati; la governance, la formazione e la valutazione del rischio restano adempimenti dell’azienda, in qualità di titolare del trattamento e di deployer.

Cosa rischi se non ti adegui

Le sanzioni dell’AI Act non sono simboliche. Per le violazioni più gravi (pratiche vietate) si arriva fino a 35 milioni di euro o al 7% del fatturato mondiale annuo; per gli altri obblighi le soglie sono più basse ma comunque significative. A questo si somma il rischio GDPR: se, nell’usare l’AI senza controllo, un dipendente espone dati personali di clienti o pazienti, l’azienda risponde anche di un eventuale data breach. Il costo maggiore, spesso, è quello reputazionale: perdere la fiducia di chi ti ha affidato i propri dati.

Domande frequenti

Cosa cambia con l’AI Act dal 2 agosto 2026? Dal 2 agosto 2026 diventano applicabili gli obblighi per i modelli di AI per finalità generali e il grosso del quadro di governance e vigilanza. Per la maggior parte delle aziende che usano l’AI, i primi adempimenti concreti sono l’alfabetizzazione del personale e la governance interna dell’uso.

Anche le piccole aziende devono adeguarsi all’AI Act? Sì. Gli obblighi si applicano in base al ruolo e al livello di rischio del sistema, non alla dimensione. Anche una piccola impresa che usa ChatGPT, Claude o Gemini per lavoro è un deployer e deve almeno garantire la formazione (art. 4) e un uso governato.

L’AI Act sostituisce il GDPR? No. Convivono: l’AI Act regola i sistemi di AI in base al rischio, il GDPR il trattamento dei dati personali. Essere conformi all’uno non basta per l’altro.

Usare uno strumento di anonimizzazione mi mette a norma con l’AI Act? No. Ridurre i dati identificativi prima di inviarli all’AI è una misura tecnica di minimizzazione che abbassa l’esposizione, non un timbro di conformità. Gli adempimenti dell’AI Act restano responsabilità dell’azienda.

Da dove iniziare

Se in azienda l’AI è già usata ma senza regole, la priorità è governare l’uso senza vietarlo: scopri come funziona PrivActa e come rende praticabile la regola sui dati. Per capire da dove partire con gli adempimenti, vedi le nostre soluzioni per le aziende e la pagina conformità, oltre alla guida completa su AI Act e GDPR per le aziende.