Il 2 agosto 2026 è passato. Se hai un chatbot sul sito, da quel giorno hai un obbligo sanzionabile che prima non c'era.
Sui titoli leggi una cifra: 35 milioni di euro. Per la tua azienda quel numero non esiste, e tra poco vedi perché. Il rumore sulle sanzioni copre le due domande utili: cosa dell'AI Act in Italia è applicabile adesso e cosa devi cambiare davvero.
Noi di begrafix costruiamo i sistemi su cui questi obblighi ricadono: siti, chatbot, gestionali, automazioni. Da questo punto di vista la conformità è un elenco di interventi tecnici. Sono 4.
Cosa è scattato il 2 agosto 2026 e cosa è slittato
Dal 2 agosto 2026 sono applicabili gli obblighi di trasparenza dell'articolo 50: chi interagisce con un sistema di IA deve saperlo. Dalla stessa data le autorità nazionali di vigilanza hanno pieni poteri di controllo. Gli obblighi sui sistemi ad alto rischio, invece, sono stati rinviati.
Il calendario è stato riscritto 6 giorni prima della scadenza. Il Regolamento (UE) 2026/1744, l'Omnibus digitale sull'IA, è stato pubblicato in Gazzetta ufficiale europea il 24 luglio 2026 ed è in vigore dal 27 luglio.
| Obbligo | Data applicabile |
|---|---|
| Trasparenza su chatbot e contenuti (art. 50) | 2 agosto 2026 |
| Marcatura tecnica dei contenuti generati, sistemi già sul mercato | 2 dicembre 2026 |
| Nuovi divieti su immagini intime non consensuali e materiale pedopornografico | 2 dicembre 2026 |
| Sistemi ad alto rischio autonomi (Allegato III) | 2 dicembre 2027 |
| IA integrata nei prodotti (Allegato I) | 2 agosto 2028 |
Il rinvio riguarda selezione del personale, credit scoring, controlli biometrici, dispositivi medici. Se non fai queste cose, non ti tocca. Il chatbot sul tuo sito sì.
Quanto rischia davvero la tua azienda? Non 35 milioni
L'articolo 99 del regolamento sull'intelligenza artificiale prevede 3 fasce: fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate, fino a 15 milioni o il 3% per la violazione degli altri obblighi (trasparenza compresa), fino a 7,5 milioni o l'1% per informazioni scorrette alle autorità. Per le grandi imprese vale il valore più alto tra i due. Per PMI e start-up il paragrafo 6 ribalta la regola e applica il minore.
Cosa cambia in pratica, su uno scenario dichiarato. Un'azienda di impiantistica con 2 milioni di euro di fatturato che tiene online un chatbot senza avviso ha un tetto teorico di 60.000 euro, cioè il 3%. Non 15 milioni. Un laboratorio artigiano da 400.000 euro si ferma a 12.000.
E sono tetti, non importi automatici: l'articolo 99 chiede sanzioni proporzionate e valutate caso per caso, guardando gravità, durata, colpa e collaborazione. Il numero che riguarda la tua azienda non è quello dei titoli. È il 3% del tuo fatturato.
Il tuo chatbot deve dichiararsi. Il tuo blog quasi mai
Qui si è creata la confusione peggiore, quindi mettiamo il punto subito: l'AI Act non impone di dichiarare ogni utilizzo dell'intelligenza artificiale. Non devi scrivere "creato con IA" su ogni post, email o immagine.
L'obbligo scatta in 3 casi:
- Chatbot e assistenti vocali. Chi scrive o parla deve capire dal primo scambio che dall'altra parte c'è un sistema di IA, salvo che sia già evidente dal contesto. Un bot chiamato "Assistente virtuale" lo è. Un bot chiamato "Giulia" no.
- Deepfake. Immagini, audio e video che riproducono persone, luoghi o eventi reali vanno dichiarati.
- Testi generati con IA e pubblicati su questioni di interesse pubblico.
Non scatta invece sulle funzioni assistive di editing. Se usi l'IA per correggere un refuso, sistemare la sintassi o rifinire un testo scritto da te, non c'è niente da dichiarare: contenuto e significato restano tuoi.
Tre controlli da fare oggi. Apri il tuo sito in una finestra anonima e avvia il chatbot: l'avviso compare nel primo messaggio o è nascosto nella pagina privacy? Rifai la prova da smartphone, perché su schermo piccolo l'avviso spesso finisce fuori dall'area visibile. Se hai un centralino con voce sintetica o un assistente che risponde sui social, vale la stessa regola: qui trovi come impostarlo su WhatsApp Business con un chatbot, e qui come lo integriamo nei flussi di automazione del sito.
Cosa incolli nei prompt? Qui il problema è il GDPR
L'AI Act regola la trasparenza verso le persone. Il GDPR regola cosa fai dei dati personali. Incollare l'anagrafica clienti in una chat pubblica riguarda il secondo, non il primo, e i due regimi vengono scambiati continuamente.
Le piattaforme gratuite possono usare quello che scrivi per addestrare i modelli. Quattro accorgimenti:
- Non caricare fatture, curriculum, listini o contratti coperti da NDA.
- Se devi far analizzare un testo, togli prima nomi, importi e codici identificativi.
- Usa account business, dove l'esclusione dall'addestramento è scritta nel contratto.
- Sugli account standard disattiva a mano la condivisione dati: spesso è attiva per impostazione predefinita.
Resta il punto che quasi nessuno mappa: gli strumenti che i tuoi collaboratori usano senza dirtelo. Vale la stessa logica dei fogli Excel sparsi. Se i dati dei clienti vivono dentro un gestionale su misura, nessuno li incolla in una chat perché era la strada più rapida.
Chi controlla in Italia e cosa devi avere pronto
In Italia vigila l'Agenzia per la cybersicurezza nazionale (ACN), con poteri ispettivi e sanzionatori. L'Agenzia per l'Italia digitale (AgID) è l'autorità di notifica. La legge 132/2025, in vigore dal 10 ottobre 2025, ha disegnato questo assetto e il 4 agosto 2026 il Consiglio dei Ministri ha approvato in via definitiva i 2 decreti legislativi di adeguamento.
Restano competenti Banca d'Italia, Consob e IVASS sui sistemi ad alto rischio nei servizi finanziari, e il Garante privacy sul trattamento dei dati personali.
Tre cose da avere pronte:
- Un registro dei sistemi di IA in uso. Strumento, chi lo usa, per quale attività, quali dati tocca, chi verifica gli output.
- Misure di alfabetizzazione del personale. L'articolo 4 è stato riformulato dall'Omnibus: chiede misure proporzionate al ruolo, non un livello di competenza da certificare. Non serve un attestato. Servono regole scritte e un momento formativo tracciato.
- Supervisione umana sugli output, con un responsabile indicato per ogni processo.
Una precisazione che cambia le priorità: l'articolo 4 non ha una sanzione autonoma. Pesa però come elemento organizzativo quando l'autorità calcola la sanzione per un'altra violazione. Non è la prima cosa da fare, ma è quella che ti fa sconto su tutto il resto.
Conclusione
L'AI Act in Italia non chiede alla tua azienda di smettere di usare l'intelligenza artificiale. Chiede di rendere visibile dove la usi e tracciabile come la usi. Sono modifiche che vivono nel sito, nel gestionale e nelle procedure, non in un parere legale chiuso in un cassetto.
Se non sai in quale punto sei fuori, facciamo un controllo gratuito della situazione della tua azienda: chatbot, contenuti pubblicati, flussi di dati. Ti diciamo cosa va sistemato e in che ordine, senza vendere allarmi.
Scrivici su WhatsApp oppure dalla pagina contatti.
FAQ
Devo dichiarare che uso ChatGPT per scrivere i testi del sito? Nella maggior parte dei casi no. L'obbligo riguarda i testi generati con IA e pubblicati su questioni di interesse pubblico, non ogni pagina o email. Se usi l'IA per correggere o rifinire un testo tuo, sei nelle funzioni assistive, che sono esentate.
L'AI Act vale anche per le ditte individuali e le microimprese? Sì. La dimensione dell'attività non determina da sola l'applicabilità: conta cosa fai con l'IA. Il regolamento prevede però misure di sostegno per PMI e start-up, e sulle sanzioni applica il minore tra importo fisso e percentuale di fatturato.
Chi controlla l'AI Act in Italia? ACN come autorità di sorveglianza del mercato, con i poteri ispettivi e sanzionatori, e AgID come autorità di notifica. Restano ferme le competenze di Banca d'Italia, Consob, IVASS e del Garante privacy nei rispettivi ambiti.
