3 obblighi AI Act prima del 2 agosto: cosa fare, nell'ordine giusto
Guida operativa per PMI e freelancer italiani: i 3 obblighi AI Act che entrano in vigore il 2 agosto 2026, con i passi concreti per adeguarsi prima della scadenza.
Il punto
36 giorni al 2 agosto. Non è molto, ma è abbastanza per i 3 obblighi che valgono per tutti, anche se non sai ancora se i tuoi sistemi rientrano nell'alto rischio.
La scadenza per la compliance dei sistemi AI ad alto rischio (Allegato III) è stata posticipata al 2 dicembre 2027. Ma tre obblighi entrano in vigore in parallelo, o valgono indipendentemente dalla categoria di rischio del tuo sistema. E la maggior parte delle PMI italiane non li ha ancora affrontati.
Andiamo per ordine.
Obbligo 1: alfabetizzazione AI (Art. 4 AI Act)
Il più sottovalutato. L'Art. 4 dell'AI Act dice che ogni operatore che usa sistemi AI deve garantire che le persone coinvolte abbiano un livello adeguato di alfabetizzazione AI. Non solo i tecnici. Tutti.
Non serve un corso costoso. Servono evidenze documentate. In pratica:
- Identifica chi usa strumenti AI in azienda, anche solo ChatGPT o Claude per le email
- Documenta come li usa e con che scopo
- Organizza almeno una sessione di formazione base e tienila a verbale
Il punto: il contabile che usa l'AI per le note spese rientra nell'ambito dell'Art. 4. Non è un obbligo per i soli developer o i team IT. È trasversale.
Come so che questo è il più trascurato? Ho un Apify Actor che monitora la Gazzetta Ufficiale ogni giorno per gli aggiornamenti AI Act. La mia lettura delle ultime settimane: le PMI che si avvicinano alla compliance si concentrano sul registro (obbligo 3) e saltano l'alfabetizzazione (obbligo 1). Sbagliato.
Obbligo 2: DPA firmato con ogni fornitore AI
Ogni volta che un dipendente inserisce dati aziendali in un sistema AI, stai trasferendo dati a un data processor. Il GDPR ti obbliga ad avere un Data Processing Agreement con ogni fornitore.
Anthropic, OpenAI, Google hanno tutti il loro DPA standard per le aziende europee. Il problema: quasi nessuna PMI italiana l'ha firmato formalmente. Si usa il tool, si accettano i termini generali, e si ignora la questione del trattamento dati.
Cosa fare:
- Fai la lista di tutti i tool AI che usi in azienda: Claude, ChatGPT, Gemini, Midjourney, etc.
- Per ciascuno: verifica se il DPA è disponibile nella sezione Legal o Business del sito
- Firma il modulo corretto e tienilo in un file con data e versione
Attenzione ai dati sensibili. Dati personali di clienti, dati sanitari, informazioni riservate non vanno mai inseriti in un prompt AI senza un DPA in regola. Se un tool non ha un DPA per aziende europee, smetti di usarlo per dati aziendali.
Questo vale a prescindere dal 2 agosto. È un obbligo GDPR attivo da anni. L'AI Act lo rende più visibile perché gli audit includeranno anche questo layer.
Obbligo 3: registro dei sistemi AI ad alto rischio
Se usi sistemi AI che rientrano nelle categorie dell'Allegato III AI Act, serve un registro documentato. Le categorie ad alto rischio includono sistemi usati in:
- selezione del personale e valutazione dei candidati
- scoring creditizio o valutazione del merito finanziario
- sistemi biometrici per l'identificazione
- sistemi decisionali in ambito sanitario
Per la maggior parte delle PMI italiane, i sistemi ad alto rischio sono pochi o zero. Ma vale la pena fare la verifica, perché il registro ti serve comunque come base documentale per qualsiasi audit, anche su sistemi a rischio limitato.
Come strutturarlo:
- Elenca ogni sistema AI in uso: nome, fornitore, versione, scopo, chi lo usa
- Per ciascuno: assegna la categoria di rischio (minimo, limitato, alto) con la motivazione
- Per i sistemi ad alto rischio: aggiungi documentazione tecnica, misure di supervisione umana, log di utilizzo
Se hai dubbi sulla classificazione, l'AGID e la Commissione Europea pubblicano linee guida operative. Il mio tracker monitora anche queste pubblicazioni ogni giorno.
Come procedere in 36 giorni
I 3 obblighi sono ordinati per priorità e difficoltà crescente:
- Alfabetizzazione (Art. 4): risolvibile in una settimana. Una sessione documentata, anche interna, è sufficiente come punto di partenza.
- DPA fornitori: risolvibile in 2-3 giorni. Lista dei tool, ricerca del DPA, firma. Non ci vuole un avvocato per il primo step.
- Registro sistemi AI: richiede 1-2 settimane di analisi interna. Dipende dalla complessità del tuo stack.
Se hai bisogno di supporto strutturato su tutti e 3, AI Setup Compliant è il servizio che ho costruito per questo: analisi del tuo stack AI, classificazione dei sistemi, documentazione pronta per il 2 agosto.
I dettagli su giovanniliguori.it.