Siete già un deployer di AI

01 Cosa è scattato davvero il 2 agosto, e cosa no

Il 2 agosto 2026 è diventato applicabile un blocco dell’AI Act, e la stampa italiana l’ha raccontato per bene: gli obblighi di trasparenza dell’articolo 50, che impongono a chi mette in campo chatbot, assistenti vocali o contenuti sintetici di rendere evidente che quello con cui l’utente ha a che fare è stato generato o manipolato da una macchina. Chi li viola rischia fino a 15 milioni di euro o il 3% del fatturato mondiale annuo: il capo del Regolamento sulle sanzioni si applica dal 2 agosto 2025, e in Italia il decreto che organizza poteri e sanzioni delle autorità (decreto legislativo 179/2026) entra in vigore il 23 ottobre 2026.

Molto meno raccontato è quello che non è scattato. Il regolamento (UE) 2026/1744, l’«Omnibus digitale sull’IA», in vigore dal 27 luglio 2026, ha spostato in avanti gli obblighi per i sistemi ad alto rischio: al 2 dicembre 2027 per i sistemi autonomi dell’Allegato III, che comprendono selezione del personale, credito e istruzione, e al 2 agosto 2028 per i sistemi incorporati in prodotti regolamentati. La parte per cui quasi tutte le aziende si stavano preparando, quindi, è di là da venire.

La conclusione pratica che la maggior parte delle PMI italiane ha tratto da questa copertura è ragionevole e sbagliata: non ci riguarda niente, non vendiamo chatbot e non abbiamo sistemi ad alto rischio. La prima metà di solito è vera. La seconda metà salta un articolo che è vincolante da prima di tutto questo.

02 La parola che vi riguarda è «deployer»

Il Regolamento divide il mondo in ruoli, e i due che contano qui sono il fornitore e il deployer, termine che la versione italiana del Regolamento lascia in inglese. Il fornitore sviluppa un sistema di AI, o se lo fa sviluppare, e lo immette sul mercato a proprio nome. Non siete voi.

L’articolo 3, punto 4, definisce deployer chiunque, azienda o ente pubblico compresi, «utilizza un sistema di IA sotto la propria autorità», con una sola eccezione: l’uso «nel corso di un’attività personale non professionale».

L’eccezione va letta con attenzione, perché è tutto lì. Fuori c’è l’uso personale non professionale. Il vostro commerciale che martedì pomeriggio si fa riassumere una scheda tecnica da un chatbot non sta facendo niente di personale e non professionale. Sta facendo il suo lavoro, su vostra indicazione, sotto la vostra autorità. Questo rende l’azienda un deployer, e lo rende a prescindere dal fatto che qualcuno abbia mai firmato un ordine d’acquisto, aperto un progetto o avvisato il titolare.

La Commissione europea chiude la questione nelle sue domande e risposte sull’alfabetizzazione. Alla domanda se un’azienda i cui dipendenti usano ChatGPT per scrivere testi pubblicitari o tradurre debba rispettare l’articolo 4, risponde di sì: vanno informati dei rischi specifici, per esempio delle allucinazioni, cioè delle risposte inventate.

03 L’obbligo in vigore dal febbraio 2025

L’articolo 4 dell’AI Act si applica, secondo il calendario del Regolamento stesso, dal 2 febbraio 2025. Nella prima versione chiedeva a fornitori e deployer di garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione del personale. Dal 27 luglio 2026 l’Omnibus digitale l’ha sostituito con una formulazione più morbida:

In parole povere: se delle persone lavorano con sistemi di AI per vostro conto, dovete adottare misure che le aiutino a capire cosa stanno facendo. Non una certificazione. Non un livello garantito, che il nuovo testo esclude espressamente. Misure, proporzionate a chi sono quelle persone e a cosa servono quei sistemi. La riscrittura alleggerisce il quanto, non il se: l’obbligo resta, e si applica dal febbraio 2025.

Si guardi chi vincola. Non solo i fornitori. Fornitori e deployer. Che, data la definizione di prima, sono quasi tutte le aziende italiane con più di quattro persone in ufficio, dal febbraio 2025.

04 Il paradosso italiano contro cui va a sbattere

Nel nostro pezzo sull’AI personale e la memoria dell’azienda abbiamo usato due cifre che hanno senso solo insieme. Il 47% dei lavoratori italiani usa l’AI al lavoro, e di questi solo il 19% lo fa esclusivamente con strumenti forniti dall’azienda. Nello stesso tempo l’83,6% delle imprese italiane con almeno 10 addetti non usa nessuna tecnologia di AI.

Sono gli stessi uffici. La tecnologia è entrata dalla curiosità individuale invece che dagli acquisti, che è un modo perfettamente italiano di far entrare una tecnologia, e produce una stranezza giuridica precisa: un gran numero di aziende ha oggi un obbligo su una pratica che non ha mai formalmente riconosciuto di avere.

L’obbligo non è farla smettere. Niente nel Regolamento dice che il personale non possa usare l’AI. L’obbligo è adottare misure perché impari a usarla bene, e questo è impossibile per una pratica che si finge inesistente. Non si può formare la gente su strumenti che non si è ammesso siano in azienda, e di sicuro non si può dimostrare di averlo fatto.

05 Per questo non c’è una multa, ed è la parte scomoda

Qui buona parte di quello che si è letto è impreciso, e vale la pena essere esatti. L’articolo 99 elenca le disposizioni la cui violazione fa scattare le sanzioni amministrative: l’articolo 5 sulle pratiche vietate in cima alla scala; poi, nella fascia dei 15 milioni o del 3%, gli obblighi di fornitori, rappresentanti autorizzati, importatori, distributori e deployer di sistemi ad alto rischio, degli organismi notificati e gli obblighi di trasparenza (articoli 16, 22, 23, 24, 25, 26, 31, 33, 34 e 50); poi le informazioni inesatte o incomplete in fondo. L’articolo 4 non è nell’elenco. Non esiste una sanzione europea dedicata per chi non sostiene l’alfabetizzazione sull’AI. E non esiste una sanzione italiana: l’articolo 23 del decreto legislativo 179/2026, che dal 23 ottobre 2026 fissa le sanzioni nazionali, non cita l’articolo 4.

Il che non va letto come «quindi non conta», per tre motivi.

1. Resta un obbligo vincolante. L’articolo 99, paragrafo 1, impone agli Stati membri di stabilire le norme sulle sanzioni e sulle altre misure per le violazioni del Regolamento, effettive, proporzionate e dissuasive, tenendo conto degli interessi delle PMI, delle start-up e delle piccole imprese a media capitalizzazione. L’assenza di un massimale dedicato non è un’esenzione.
2. L’Italia ha già nominato chi controlla. La legge 132/2025 designa AgID e l’Agenzia per la cybersicurezza nazionale come autorità nazionali per l’intelligenza artificiale, con la vigilanza del mercato e le funzioni ispettive e sanzionatorie in capo ad ACN, accanto alle competenze immutate di Banca d’Italia, Consob, IVASS, Garante privacy e AGCOM nei rispettivi ambiti. Il decreto legislativo 179/2026 ora dà loro gli strumenti; cos’altro chiede la legge italiana a imprese e professionisti lo trovate nella nostra guida alla legge italiana sull’AI.
3. Si presenta molto prima di un’ispezione. Gli obblighi senza una multa appariscente emergono di solito nei posti ordinari: nel questionario fornitori di un cliente, in una due diligence, in una polizza assicurativa, nelle dichiarazioni contrattuali che un cliente grande chiede di firmare a un fornitore piccolo. È lì che arriva la domanda «cosa avete fatto e come lo dimostrate», e dimostrarlo richiede di aver fatto qualcosa apposta.

06 Cosa può fare concretamente un’azienda normale

La nuova formulazione, che esclude espressamente un livello garantito, e la considerazione degli interessi delle PMI nell’articolo 99 indicano un insieme di misure piccolo e onesto invece di un progetto di compliance. Per un’azienda da quaranta a duecento persone somiglia a questo:

1. Chiedere, senza conseguenze, chi usa cosa. Il primo ostacolo è che la gente non lo dice, perché dà per scontato di star violando una regola. Va detto chiaramente che non sono nei guai. Non si governa una pratica che non si vede, e la mappa costa una conversazione onesta per reparto.
2. Mettere per iscritto cosa può e cosa non può finire in uno strumento esterno. Una pagina. Dati dei clienti, disegni, listini, dati personali dei dipendenti: le categorie, e dove passa la linea. È la misura col rapporto più alto tra protezione e fatica. Prima di approvare uno strumento, fate al fornitore le domande giuste.
3. Dare una strada aziendale migliore di quella personale. Un divieto che lascia le persone messe peggio viene aggirato in silenzio. L’unica applicazione che funziona è essere più utili dell’alternativa.
4. Fare la formazione sui materiali vostri, non con un corso generico. L’articolo 4 chiede alfabetizzazione nel contesto in cui i sistemi vengono usati. Una presentazione su cos’è un modello linguistico non soddisfa nessuno; venti esempi di domande vere del vostro lavoro, con com’è fatta una risposta buona e una sbagliata, soddisfa sia l’obbligo sia chi è in aula.
5. Tenere traccia. Date, chi ha partecipato, cosa diceva la regola e quando è cambiata. La Commissione conferma che non serve un certificato e che si può tenere un registro interno delle formazioni e delle altre iniziative. Poco affascinante, ed è l’unica differenza tra essersi messi in regola e poterlo dire.

Niente di tutto questo è costoso, e niente richiede un consulente. Richiede la decisione di trattare una cosa che sta già succedendo come una cosa che l’azienda fa apposta, che è poi la stessa decisione che trasforma una manciata di account personali in una memoria aziendale condivisa. Qui l’esigenza di conformità e quella operativa puntano nella stessa direzione, il che non capita abbastanza spesso da poterlo sprecare.

07 Nota sulle fonti

Questo articolo non è consulenza legale. Riporta cosa dicono gli articoli e cosa è stato ufficialmente designato in Italia. Una valutazione concreta richiede un professionista che abbia visto come lavora davvero la vostra azienda.

• Gli articoli citati sono il 3 (punti 3 e 4), il 4, il 50, il 99, il 111 e il 113 del regolamento (UE) 2024/1689, nel testo consolidato al 27 luglio 2026. L’articolo 4 si applica dal 2 febbraio 2025 secondo il calendario del Regolamento stesso; la formulazione attuale viene dal regolamento (UE) 2026/1744. Le citazioni italiane sono dal testo ufficiale.
• L’affermazione centrale, cioè che l’articolo 4 non compare tra le disposizioni sanzionate dall’articolo 99, è stata ricontrollata il 10 ottobre 2026 sull’articolo 99 nel testo modificato dall’Omnibus e sull’articolo 23 del decreto legislativo 179/2026.
• Il rinvio dell’alto rischio e il nuovo articolo 4 vengono dal regolamento (UE) 2026/1744, letto su EUR-Lex: pubblicato nella Gazzetta ufficiale dell’Unione il 24 luglio 2026, in vigore dal 27 luglio 2026.
• Il quadro italiano è la legge 132/2025 (articolo 20) con il decreto legislativo 179/2026, letti su Normattiva.
• I dati di adozione vengono da Istat (dicembre 2025) e dall’Osservatorio del Politecnico di Milano (febbraio 2026), ricontrollati il 10 ottobre 2026.
• Aggiornamento del 10 ottobre 2026: nuovo testo dell’articolo 4, l’Omnibus citato per numero, aggiunto il decreto 179/2026, collocate correttamente nel tempo le sanzioni (il capo europeo si applica da agosto 2025, il decreto italiano dal 23 ottobre 2026), precisato il dato Istat (imprese con almeno 10 addetti).

Un avvertimento specifico su questo pezzo. È materia che si muove in fretta, e buona parte di quello che è circolato nei giorni intorno al 2 agosto era impreciso in entrambe le direzioni, descrivendo obblighi che erano stati rinviati o multe che non esistono. Lo stesso testo dell’articolo 4 è cambiato a luglio. Se state leggendo a distanza di tempo dalla pubblicazione, controllate le date sul testo vigente prima di farci qualunque cosa.

Domande e risposte

Riferimenti

1. Regolamento (UE) 2024/1689 (AI Act), testo consolidato al 27 luglio 2026, articoli 3, 4, 50, 99, 111 e 113, EUR-Lex.
2. Regolamento (UE) 2026/1744 (Omnibus digitale sull’IA), Gazzetta ufficiale dell’Unione europea, 24 luglio 2026.
3. AI Literacy, Questions & Answers, Commissione europea, aggiornato al 27 luglio 2026.
4. Legge 23 settembre 2025, n. 132, in materia di intelligenza artificiale, Normattiva (articolo 20: designazione di AgID e ACN).
5. Decreto legislativo 7 ottobre 2026, n. 179, Gazzetta Ufficiale n. 234 dell’8 ottobre 2026 (articolo 23: sanzioni).
6. Imprese e ICT, anno 2025, Istat, 15 dicembre 2025.
7. Il mercato dell’AI in Italia cresce del 50% nel 2025, Osservatorio Artificial Intelligence, Politecnico di Milano, febbraio 2026.
8. ekory, Il ChatGPT personale non è la memoria dell’azienda, agosto 2026.