Il Digital Omnibus ha riscritto il calendario europeo e i decreti italiani hanno fissato vigilanza e sanzioni. Questa guida mette in fila gli obblighi già attivi per una PMI, le scadenze dal 2026 al 2028 e una checklist in sette passi per arrivare pronti alle verifiche.
L'AI Act è uscito dalla fase dei convegni ed è entrato in quella delle verifiche. Dal 2 agosto 2026 gli obblighi di trasparenza si applicano a chiunque metta un sistema di intelligenza artificiale davanti a clienti o dipendenti; da settembre e ottobre 2026 due decreti italiani hanno dato alla cornice europea autorità di vigilanza, sanzioni e perfino un articolo del codice penale. Eppure la maggior parte delle PMI italiane guarda ancora al regolamento come a un tema da grandi gruppi: una percezione comprensibile, e rischiosa.
Questa guida è scritta per chi guida o amministra una piccola o media impresa italiana che usa l'AI, anche solo attraverso strumenti di terzi. Mette in fila tre cose: il calendario reale degli obblighi dopo il Digital Omnibus, ciò che l'Italia ha aggiunto con i decreti di adeguamento, e una checklist in sette passi con lo scadenzario da mettere in agenda. In chiusura, le domande che riceviamo più spesso.
Il Regolamento (UE) 2026/1744, il pacchetto di semplificazione noto come Digital Omnibus, è in vigore dal 27 luglio 2026 e ha riscritto in profondità le scadenze dell'AI Act. Chi ha stampato un piano di adeguamento prima dell'estate lavora quasi certamente su date superate. La nostra analisi del regolamento entra nel dettaglio; qui serve la sintesi operativa.
| Data | Cosa scatta | Chi riguarda |
|---|---|---|
| 2 agosto 2026 | Obblighi di trasparenza: chatbot e assistenti dichiarano la propria natura, i contenuti sintetici richiedono marcatura tecnica e informativa | Ogni impresa con sistemi AI rivolti a persone |
| 30 settembre 2026 | D.Lgs. 160/2026: articolo 437-bis del codice penale e AI nel catalogo 231 | Chi sviluppa, immette sul mercato o adopera sistemi ad alto rischio |
| 23 ottobre 2026 | D.Lgs. 179/2026: vigilanza ACN e AgID, sanzioni fino a 35 milioni di euro o al 7 % del fatturato, decisione finale sul rapporto di lavoro riservata a una persona fisica | Ogni impresa italiana che usa l'AI, in particolare verso i dipendenti |
| 2 dicembre 2026 | Etichettatura dei contenuti generati dall'AI a regime (scadenza anticipata dall'Omnibus) e divieti su nudificazione e contenuti intimi privi di consenso | Fornitori e utilizzatori di AI generativa |
| 2 agosto 2027 | Sandbox regolamentari nazionali operative | Chi vuole sperimentare in ambiente protetto |
| 2 dicembre 2027 | Obblighi per i sistemi ad alto rischio autonomi | Fornitori e deployer di sistemi ad alto rischio |
| 2 agosto 2028 | Obblighi per i sistemi ad alto rischio integrati nei prodotti | Manifattura, dispositivi, macchine |
Due letture sbagliate circolano ancora. La prima: "l'alto rischio è slittato, quindi c'è tempo". Vero solo a metà: la proroga al 2027-2028 riguarda i requisiti dei sistemi ad alto rischio, mentre trasparenza, etichettatura e l'intera attuazione italiana corrono sul calendario 2026, cioè adesso. La seconda: "siamo una PMI, il regolamento punta ai big". L'AI Act ragiona per ruoli e per rischio, e una PMI che espone un chatbot ai clienti ha gli stessi obblighi di trasparenza di una multinazionale; cambiano le semplificazioni documentali, ampliate proprio dall'Omnibus, e resta identica la sostanza.
Trasparenza verso le persone. Dal 2 agosto 2026 chi interagisce con un sistema di AI deve saperlo, salvo che sia evidente dal contesto. Vale per chatbot sul sito, assistenti vocali, sistemi di riconoscimento delle emozioni, generatori di immagini e video. Cosa è scattato ad agosto e per chi lo abbiamo ricostruito voce per voce. Le violazioni su questo fronte arrivano a 15 milioni di euro o al 3 % del fatturato mondiale.
Marcatura dei contenuti sintetici. I contenuti generati dall'AI richiedono una marcatura leggibile dalle macchine a carico dei fornitori e un'informativa a carico di chi li usa verso il pubblico. Il Digital Omnibus ha anticipato la piena operatività al 2 dicembre 2026. Fa eccezione il testo sottoposto a revisione umana del quale una persona, fisica o giuridica, assume la responsabilità editoriale.
La decisione sul lavoro resta a una persona. Il D.Lgs. 179/2026, in vigore dal 23 ottobre, riserva a una persona fisica la decisione finale sul rapporto di lavoro: assunzioni, provvedimenti, licenziamenti. Chi usa sistemi di screening dei CV, scoring dei candidati o valutazione automatizzata delle prestazioni deve garantire, e poter dimostrare, che l'ultima parola spetta a un umano. Sul punto convergono anche le linee guida del Decreto Lavoro 180/2025.
Alfabetizzazione e formazione. Il Digital Omnibus ha alleggerito il carico documentale dell'obbligo di alfabetizzazione per le PMI, e il principio resta: chi mette l'AI nelle mani dei propri dipendenti deve metterli in condizione di usarla con competenza. I numeri italiani dicono quanto il tema sia concreto: l'adozione è raddoppiata in un anno al 19,5 %, mentre il 58,6 % delle PMI indica le competenze come primo freno e solo il 7 % ha avviato formazione strutturata. La formazione è insieme un obbligo attenuato e il principale moltiplicatore di valore dell'investimento già fatto.
L'Italia ha completato l'adeguamento con due decreti legislativi costruiti sulla legge 132/2025, dopo l'approvazione definitiva di agosto.
Il D.Lgs. 160/2026, in vigore dal 30 settembre, produce tre effetti che arrivano dritti sul tavolo dei consigli di amministrazione. Primo: l'articolo 437-bis del codice penale rende penalmente rilevante l'omissione delle misure di sicurezza sui sistemi ad alto rischio. Secondo: l'articolo 25-vicies porta i reati legati all'AI nel catalogo del D.Lgs. 231/2001, quindi il modello organizzativo delle società va aggiornato. Terzo: nel processo civile il danneggiato da un sistema AI gode di una presunzione sul nesso causale che alleggerisce il suo onere probatorio, spostando sul convenuto, cioè sull'impresa, il peso di dimostrare di aver fatto le cose per bene. La documentazione tecnica smette di essere burocrazia e diventa la prima difesa in giudizio.
Il D.Lgs. 179/2026 completa il quadro con la governance: la vigilanza fa capo all'Agenzia per la Cybersicurezza Nazionale e ad AgID, dentro un assetto a sei autorità che mantiene le competenze settoriali di Banca d'Italia, Consob, IVASS e Garante. Le sanzioni arrivano a 35 milioni di euro o al 7 % del fatturato mondiale annuo per le violazioni più gravi. Per una PMI il messaggio pratico è un altro: con autorità operative, le richieste di informazioni e le ispezioni diventano routine, come l'enforcement europeo sui fornitori ha già mostrato. La domanda da porsi è "cosa esibisco se me lo chiedono domattina?".
I passi che seguono valgono per qualsiasi PMI, a prescindere dal fornitore tecnologico scelto. Sono ordinati: ciascuno produce l'input del successivo.
Se dalla checklist dovete scegliere un solo punto da cui partire questa settimana, è il primo. Un registro dei sistemi AI efficace sta in un foglio condiviso con otto colonne: sistema e fornitore, funzione di business, dati trattati, persone impattate, classificazione di rischio con motivazione, obblighi applicabili, referente interno, prossima scadenza. Trenta righe compilate con onestà valgono più di cento pagine di policy copiata: il registro è ciò che trasforma "stiamo seguendo il tema" in evidenza esibibile, ed è la base comune di trasparenza, contratti, formazione e 231.
Per il passo 2, la classificazione, Synthos Logic mette a disposizione AI Act Check, un pre-screening gratuito del Regolamento UE 2024/1689 pensato per le PMI italiane: una serie di domande guidate sul caso d'uso restituisce una prima indicazione del profilo di rischio e degli obblighi applicabili. Come funziona e perché lo abbiamo costruito è raccontato nella sala stampa. Il pre-screening orienta; la classificazione formale di un caso d'uso critico merita poi una verifica professionale.
La conformità all'AI Act dà il meglio quando entra nel ciclo di vita dei progetti, anziché inseguirli. È l'impostazione della AI Methodology, il processo di adozione AI di Synthos Logic: classificazione del rischio e requisiti di trasparenza definiti in fase di disegno, documentazione prodotta dal processo stesso, decisioni su persone presidiate da ruoli espliciti. Se state scegliendo chi vi accompagna, la nostra guida alla scelta del partner AI include i criteri di conformità da pretendere da qualunque fornitore, noi compresi. Per sottoporci il vostro caso, la porta è qui.
Sì. Chi utilizza un sistema AI sotto la propria autorità è "deployer" e ha obblighi propri: trasparenza verso le persone, uso conforme alle istruzioni del fornitore, supervisione umana dove richiesta e, in Italia, la riserva di decisione umana sul rapporto di lavoro. Comprare invece di sviluppare riduce gli obblighi, e li sposta, anziché azzerarli.
Dal 2 agosto 2026 la trasparenza: chatbot dichiarati, contenuti sintetici marcati, informativa alle persone. Dal 30 settembre il decreto 160 con l'articolo 437-bis e il 231; dal 23 ottobre il decreto 179 con vigilanza, sanzioni e decisione umana sul lavoro. L'etichettatura dei contenuti generati va a regime il 2 dicembre 2026.
Il 2 dicembre 2027 per i sistemi ad alto rischio autonomi e il 2 agosto 2028 per quelli integrati nei prodotti, secondo il calendario fissato dal Digital Omnibus. Chi sviluppa o adotta sistemi di questa fascia fa bene a usare la proroga per portare i requisiti dentro il ciclo di sviluppo, con le sandbox nazionali disponibili dal 2 agosto 2027.
Il decreto 179 porta le sanzioni amministrative fino a 35 milioni di euro o al 7 % del fatturato mondiale per le violazioni più gravi; le violazioni di trasparenza arrivano a 15 milioni o al 3 %. Il decreto 160 aggiunge il piano penale con l'articolo 437-bis e la responsabilità dell'ente ex 231. Le soglie sono tarate per mordere anche su fatturati da PMI.
L'obbligo formale di registrazione dipende dal ruolo e dalla classe di rischio. Nella pratica il registro interno conviene a tutti: è la prima richiesta delle autorità, la base della presunzione probatoria a vostro favore nel civile e lo strumento che rende gestibili trasparenza, contratti e formazione. Otto colonne in un foglio condiviso bastano per iniziare.
Il principio di alfabetizzazione resta, con un carico documentale alleggerito per le PMI. Oltre l'obbligo, i dati italiani parlano chiaro: le competenze sono il primo freno dichiarato dal 58,6 % delle PMI, quindi la formazione è l'investimento con il ritorno più rapido sull'AI già adottata. Un piano proporzionato ai ruoli, documentato, copre entrambi i fronti.