AI Act rinviato: cosa resta in vigore per le PMI

In breve

• Il rinvio dell'AI Act è reale, ma parziale. Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus, è in vigore dal 27 luglio 2026 e sposta gli obblighi per i sistemi ad alto rischio dell'Allegato III al 2 dicembre 2027 e quelli dell'Allegato I al 2 agosto 2028. Tutto il resto dell'AI Act non è sospeso.
• La scadenza più vicina è il 2 dicembre 2026. Scattano due nuovi divieti dell'articolo 5 e il termine per la marcatura leggibile da macchina dei contenuti sintetici generati da sistemi immessi sul mercato prima del 2 agosto 2026 (articolo 111, paragrafo 4).
• Dal 2 febbraio 2025 sono già applicabili l'obbligo di alfabetizzazione in materia di IA (articolo 4) e i divieti (articolo 5). Gli obblighi di trasparenza dell'articolo 50 si applicano dal 2 agosto 2026, senza esenzioni per le piccole imprese.
• In Italia c'è anche una legge nazionale: la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, che obbliga il datore di lavoro a informare i lavoratori quando usa sistemi di IA nei processi di lavoro.
• Il collo di bottiglia non è la norma. Tra le imprese italiane che hanno valutato l'IA senza adottarla, il 47,3% cita la scarsa chiarezza normativa, ma il 45,2% indica dati indisponibili o di scarsa qualità e il 58,6% la mancanza di competenze (dati ISTAT 2025, elaborazione Assolombarda del 16 dicembre 2025).
• Il divario si allarga: usa l'IA il 53,1% delle grandi imprese contro il 15,7% delle PMI. La distanza è passata da 25 punti percentuali nel 2024 a 37 nel 2025 (ISTAT, Imprese e ICT – Anno 2025, 15 dicembre 2025).

Cosa ha cambiato davvero il Digital Omnibus

Per mesi la data che tutti ripetevano era il 2 agosto 2026: il giorno in cui l'AI Act, il Regolamento (UE) 2024/1689 sull'intelligenza artificiale, avrebbe reso operativi gli obblighi sui sistemi ad alto rischio. Quella data è stata spostata. Il Parlamento europeo ha votato il testo di modifica il 16 giugno 2026, il Consiglio dell'Unione europea lo ha adottato il 29 giugno 2026, e il risultato è il Regolamento (UE) 2026/1744 dell'8 luglio 2026.

Chi ha letto solo i titoli ha concluso che l'AI Act slitta al 2027. È vero per una parte precisa del regolamento e falso per il resto, e la differenza conta perché le due parti non riguardano le stesse aziende. Il calendario aggiornato, voce per voce:

• 2 dicembre 2026 — Nuovi divieti dell'articolo 5 (contenuti intimi o sessualmente espliciti generati senza consenso e materiale di abuso sessuale su minori). Termine per la marcatura leggibile da macchina dei contenuti sintetici per i sistemi immessi sul mercato prima del 2 agosto 2026, previsto dall'articolo 111, paragrafo 4. Riguarda: fornitori di sistemi generativi e chi pubblica contenuti prodotti con l'IA.
• 2 dicembre 2027 — Obblighi per i sistemi ad alto rischio autonomi dell'Allegato III: biometria, infrastrutture critiche, istruzione, selezione del personale, accesso a servizi essenziali. Data precedente: 2 agosto 2026. Riguarda: chi usa software di screening dei curriculum o di valutazione del personale.
• 2 agosto 2028 — Obblighi per i sistemi ad alto rischio dell'Allegato I, integrati come componenti di sicurezza in prodotti già regolati da normativa settoriale: macchinari, dispositivi medici, ascensori. Riguarda: chi produce macchine con funzioni di IA a bordo.

Un dettaglio va letto con attenzione: le date del 2027 e del 2028 sono tetti massimi, non appuntamenti fissi. Gli obblighi possono scattare prima, sei o dodici mesi dopo una decisione della Commissione europea sulla disponibilità degli standard tecnici. Un piano che si regge sull'ipotesi "ho tempo fino a dicembre 2027" è una scommessa su una data che può muoversi.

Cosa resta in vigore oggi per una PMI

Per la maggior parte delle PMI manifatturiere, edili, retail o di servizi il rinvio sull'alto rischio è irrilevante: non producono sistemi ad alto rischio e quasi mai li usano. Quello che le riguarda è già in vigore, e il Digital Omnibus non lo ha toccato.

L'obbligo di alfabetizzazione (articolo 4)

Si applica dal 2 febbraio 2025 a chiunque fornisca o utilizzi sistemi di IA, qualunque sia la dimensione aziendale. Il Digital Omnibus lo ha riscritto in forma più morbida: ora chiede misure a sostegno dell'alfabetizzazione in materia di IA, senza pretendere un livello garantito per ogni singola persona. Resta un obbligo: se qualcuno in azienda usa IA generativa per scrivere offerte, rispondere ai clienti o analizzare dati, serve una formazione documentata.

I divieti (articolo 5)

In vigore dal 2 febbraio 2025, con due nuove fattispecie dal 2 dicembre 2026. Sono pratiche vietate in assoluto, dal punteggio sociale al riconoscimento delle emozioni sul posto di lavoro. Quest'ultimo punto riguarda chi valuta sistemi di monitoraggio della produttività: tra misurare un processo e inferire lo stato emotivo di una persona la linea è più vicina di quanto sembri.

La trasparenza (articolo 50)

Si applica dal 2 agosto 2026 e distingue con precisione i ruoli. I paragrafi 1 e 2 riguardano i fornitori: i sistemi che interagiscono con le persone devono renderlo evidente, quelli che generano contenuti sintetici devono marcare l'output in formato leggibile da macchina. I paragrafi 3 e 4 riguardano gli utilizzatori: chi genera o manipola deepfake deve dichiararlo, come chi pubblica testi generati dall'IA su temi di interesse pubblico, salvo revisione umana con un responsabile editoriale.

Tradotto per una PMI: usare l'IA per scrivere una bozza commerciale e poi revisionarla non fa scattare l'obbligo di dichiarazione del paragrafo 4; pubblicare un video promozionale con il volto sintetico di una persona reale sì. L'articolo 50 non prevede esenzioni per le piccole imprese.

La legge italiana 132/2025

L'Italia è stata il primo Paese dell'Unione a dotarsi di una legge nazionale sull'IA affiancata all'AI Act: la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025. Il passaggio più concreto per un imprenditore è l'obbligo di informare i lavoratori ogni volta che sistemi di IA vengono impiegati nei processi di lavoro, con trasparenza su finalità, logica, dati e parametri e sui meccanismi di supervisione umana. La legge delega il Governo ad adottare decreti legislativi entro dodici mesi: il quadro di dettaglio può ancora cambiare.

Il 47,3% che aspetta la norma e il 45,2% che non ha i dati

Qui i numeri raccontano una storia diversa da quella del dibattito pubblico. L'Istituto nazionale di statistica, nella rilevazione Imprese e ICT – Anno 2025 diffusa il 15 dicembre 2025, misura l'uso dell'IA nel 16,4% delle imprese italiane con almeno 10 addetti, il doppio dell'8,2% del 2024 e comunque sotto la Germania, dove si arriva al 26%.

Tra le imprese che hanno valutato l'IA e hanno deciso di non adottarla, gli ostacoli dichiarati sono, in ordine:

• Mancanza di competenze — 58,6%
• Scarsa chiarezza normativa — 47,3%
• Dati indisponibili o di scarsa qualità — 45,2%
• Privacy e protezione dei dati — 43,2%
• Costi elevati — 43,0%
• Considerazioni etiche — 25,7%

Fonte: dati ISTAT 2025 nell'elaborazione del Centro Studi Assolombarda del 16 dicembre 2025. La rilevazione copre le imprese con almeno 10 addetti.

Il 47,3% che indica la chiarezza normativa come freno ha appena ricevuto, con il Digital Omnibus, un'altra ragione per rimandare. Il 45,2% che indica i dati ha invece nominato l'ostacolo che nessun rinvio risolve. I due numeri non sono alternativi: convivono nella stessa azienda, dove l'incertezza normativa è la motivazione dichiarata e la mancanza di dati utilizzabili è la causa reale.

Un terzo numero chiude il quadro: tra le piccole imprese da 10 a 49 addetti che dichiarano di usare l'IA, il 27,8% non indica un ambito chiaro di utilizzo. Gli ambiti dichiarati dal resto del campione sono sottili: marketing e vendite 5,4%, processi amministrativi 4,2%, ricerca e sviluppo 3,3%. Una quota consistente di aziende ha adottato strumenti di IA senza che tocchino un processo misurabile. È lo stesso tema del perché nelle PMI il problema non è il modello, sono i dati.

Perché la conformità all'AI Act si gioca nel gestionale

C'è un filo che unisce gli obblighi già in vigore. L'articolo 4 chiede di sapere chi in azienda usa l'IA e con quale preparazione. L'articolo 50, quali contenuti sono generati dall'IA. La legge 132/2025, in quali processi di lavoro è impiegata. Tre richieste diverse, una premessa comune: devi poter vedere dove l'IA tocca i tuoi processi.

Un'azienda che lavora su fogli di calcolo sparsi e strumenti scelti reparto per reparto non ha quella visibilità, non perché manchi una procedura ma perché non esiste un posto dove la risposta sia già scritta. Se il commerciale usa un assistente generativo per i preventivi, il magazzino un altro per le previsioni e l'amministrazione un terzo per leggere le fatture, l'elenco di cosa usa chi è un esercizio di memoria collettiva. È lo stesso problema di fondo di cui abbiamo scritto spiegando dove si nasconde il costo di Excel in azienda.

Chi ha un sistema informativo integrato è in una posizione diversa, e non per ragioni formali. Il gestionale è il punto in cui i processi sono già descritti: chi accede a quali dati, quale passaggio genera quale documento, quando un dato è stato modificato e da chi. Su quella base la documentazione richiesta dalla norma diventa un'estrazione, non un progetto. Ed è la stessa base che serve per far funzionare l'IA: un modello è utile quanto il contesto operativo che gli dai, e quel contesto vive nel gestionale, non nel prompt.

Da qui la conseguenza sulla scelta tra software in canone e software su misura. Chi possiede il proprio sistema decide quali dati esporre all'IA, con quale granularità e con quali log. Chi affitta un SaaS affitta anche il substrato: le funzioni di IA che il fornitore attiva arrivano con le sue impostazioni e i suoi tempi. È il motivo per cui la portabilità dei dati è diventata materia di legge, come abbiamo visto a proposito di cosa cambia per chi cambia fornitore cloud dal 12 gennaio 2027.

Cosa fare nelle prossime settimane

Il 2 dicembre 2026 è tra poche settimane, le date del 2027 sono lontane ma mobili. Quattro passi, in ordine di urgenza, senza spendere nulla sui primi due.

1. Fai l'inventario di chi usa cosa. Una riga per ogni strumento di IA in uso in azienda, anche gratuito, anche personale: chi lo usa, per quale processo, su quali dati. Quasi sempre l'elenco è più lungo di quanto l'imprenditore immagina, perché include strumenti adottati dai singoli senza una decisione aziendale.

2. Verifica i contenuti pubblicati. Se l'azienda pubblica immagini, video o testi generati con l'IA, controlla quali casi ricadono negli obblighi di dichiarazione dell'articolo 50, paragrafo 4, con attenzione ai volti e alle voci di persone reali.

3. Metti nero su bianco la formazione. L'articolo 4 non chiede una certificazione, chiede misure. Due ore documentate su cosa si può mettere in un prompt, chi autorizza uno strumento nuovo e cosa non esce mai dall'azienda valgono più di un corso generico, e servono anche per l'obbligo di informazione ai lavoratori della legge 132/2025.

4. Scegli un processo e misuralo. Prima di valutare qualsiasi progetto di IA, individua un processo dove il dato esiste, è pulito ed è aggiornato. Se non ne trovi nessuno, hai la risposta su dove investire per primo, e non è l'IA.

Domande frequenti

L'AI Act è stato rinviato al 2027?

Solo in parte. Il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, ha spostato al 2 dicembre 2027 gli obblighi per i sistemi ad alto rischio dell'Allegato III dell'AI Act e al 2 agosto 2028 quelli dell'Allegato I. Tutto il resto resta in vigore secondo il calendario originale: i divieti e l'obbligo di alfabetizzazione dal 2 febbraio 2025, gli obblighi di trasparenza dell'articolo 50 dal 2 agosto 2026.

Una PMI che usa ChatGPT ha obblighi secondo l'AI Act?

Sì, due in particolare. L'obbligo di alfabetizzazione dell'articolo 4, applicabile dal 2 febbraio 2025 a chi utilizza sistemi di IA qualunque sia la dimensione aziendale, che richiede misure a sostegno della preparazione di chi li usa. E gli obblighi di trasparenza dell'articolo 50 quando l'azienda pubblica deepfake o testi generati dall'IA su temi di interesse pubblico. Non scattano gli obblighi sui sistemi ad alto rischio, che riguardano usi specifici elencati negli Allegati I e III.

Cosa scade il 2 dicembre 2026?

Due cose. Entrano in vigore i nuovi divieti introdotti nell'articolo 5 dell'AI Act, relativi alla generazione di contenuti intimi o sessualmente espliciti di persone identificabili senza consenso e di materiale di abuso sessuale su minori. Scade inoltre il termine, previsto dall'articolo 111, paragrafo 4, entro cui i fornitori di sistemi immessi sul mercato prima del 2 agosto 2026 devono marcare i contenuti sintetici in formato leggibile da macchina.

Quante PMI italiane usano l'intelligenza artificiale?

Secondo l'ISTAT, nel 2025 usava tecnologie di IA il 15,7% delle PMI italiane da 10 a 249 addetti, contro il 53,1% delle imprese con oltre 250 addetti: un divario passato da 25 punti percentuali nel 2024 a 37 nel 2025. Il dato per le imprese con almeno 10 addetti è 16,4%, contro l'8,2% del 2024 (comunicato Imprese e ICT – Anno 2025, 15 dicembre 2025).

Conviene aspettare il 2027 prima di muoversi sull'IA?

Aspettare la norma e aspettare per i dati sono due decisioni diverse. Gli obblighi rinviati riguardano usi che la maggior parte delle PMI non fa, quindi il rinvio non libera tempo utile. Il lavoro che serve comunque — sapere quali strumenti sono in uso, quali dati toccano e se quei dati sono affidabili — non dipende da nessuna scadenza e richiede mesi. Chi lo inizia adesso arriva pronto a qualunque data.

Serve un gestionale per essere conformi all'AI Act?

La norma non impone alcun software specifico. Impone però di saper rispondere a domande su dove e come l'IA è usata in azienda, chi vi ha accesso e su quali dati opera. In un'azienda con un sistema informativo integrato quelle risposte sono estraibili; in un'azienda che lavora su file separati vanno ricostruite a mano ogni volta che qualcuno le chiede. La differenza non è la conformità in sé, è quanto costa dimostrarla.

Fonti

• AI Act Explorer – Digital Omnibus on AI: Regolamento (UE) 2026/1744 dell'8 luglio 2026, in vigore dal 27 luglio 2026, nuove date di applicazione e nuovi divieti dell'articolo 5. Il testo ufficiale è pubblicato nella Gazzetta ufficiale dell'Unione europea.
• AI Act, articolo 50 – Obblighi di trasparenza: ripartizione degli obblighi tra fornitori (paragrafi 1 e 2) e utilizzatori (paragrafi 3 e 4), applicabili dal 2 agosto 2026.
• ISTAT, Imprese e ICT – Anno 2025, comunicato del 15 dicembre 2025: uso dell'IA, adozione di ERP e CRM per classe di addetti e settore.
• Centro Studi Assolombarda, Utilizzo dell'Intelligenza Artificiale nelle imprese, 16 dicembre 2025: elaborazione su dati ISTAT 2025 su ostacoli, ambiti di applicazione e confronto europeo.
• Norton Rose Fulbright, Italy enacts Law no. 132/2025 on artificial intelligence: contenuti della legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, e deleghe al Governo.

Tutte le date e le percentuali citate provengono da queste fonti. La distinzione tra fornitori e utilizzatori è riportata come la riporta il testo normativo: è la variabile che cambia di più gli obblighi concreti di una PMI.

Il prossimo passo

Se l'inventario degli strumenti di IA in uso in azienda oggi non esiste, è da lì che conviene partire, prima di qualunque valutazione di conformità. Edera Digital, software house di Castiglione delle Stiviere, lavora con PMI manifatturiere, edili, retail e di servizi tra Mantova, Brescia e Verona per mettere in ordine i dati operativi e capire quali processi reggono un intervento di IA. Scrivici per una valutazione dei tuoi processi: si parte da dove stanno i tuoi dati oggi, non da un catalogo di moduli.