In breve:
- L'AI Act è il Regolamento (UE) 2024/1689, in vigore dal 1° agosto 2024 e modificato dal Regolamento (UE) 2026/1744, con obblighi graduati per provider, deployer e altre figure;
- Il 2 agosto 2026 resta una milestone per la trasparenza dell'art. 50, per l'enforcement di alcune parti e per le misure di supporto; le regole sui sistemi ad alto rischio dell'Allegato III si applicano dal 2 dicembre 2027, mentre i sistemi high-risk integrati in prodotti regolamentati dell'Allegato I seguono la data del 2 agosto 2028;
- Le sanzioni dell'art. 99 prevedono massimali normativi, ma l'importo concreto dipende dalla violazione, dal soggetto, dalla proporzionalità e dalle competenze dell'autorità: non si presenta una cifra deterministica per ogni SRL;
- Una SRL può essere deployer quando usa un sistema AI sotto la propria autorità, anche se non lo sviluppa; gli obblighi dipendono dal sistema, dalla finalità e dalla data di applicazione;
- Il commercialista può supportare, se incaricato, mappatura, documentazione e coordinamento organizzativo. Registro AI, DPIA/FRIA unica e consulenza legale non sono obblighi o ruoli automaticamente attribuiti dalla normativa.
Stato al 18 settembre 2026.
Il Digital Omnibus è il Regolamento (UE) 2026/1744, non una proposta. Verifica la timeline ufficiale AI Act Service Desk: oggi occorre presidiare gli obblighi già applicabili, la trasparenza art. 50 dal 2 agosto 2026 e preparare la valutazione dei sistemi che ricadranno negli Allegati III e I alle rispettive date.
Disclaimer:
questo articolo ha finalità divulgativa e non sostituisce consulenza legale, privacy o tecnica. Le date indicate riflettono il testo vigente del Regolamento (UE) 2024/1689 come modificato dal Regolamento (UE) 2026/1744, verificato al 18 settembre 2026.
Lo scenario che nessun imprenditore italiano considera: finché non è tardi
Una SRL di servizi informatici con dodici dipendenti, un fatturato di un milione e ottocentomila euro e due sistemi di AI "comprati" da altrettanti fornitori SaaS, sta preparando l'aggiornamento del proprio registro dei trattamenti ai fini GDPR per il consueto riesame annuale. Il tema AI non è ancora una voce strutturata: c'è un chatbot sul sito, uno strumento di trascrizione automatica delle call commerciali e un sistema di screening dei CV che il reparto HR usa da sei mesi. La lettura delle condizioni contrattuali con i tre fornitori è ferma alla firma dell'anno scorso. Il tema non è mai entrato in una discussione tra i soci.
Il quadro va letto distinguendo obblighi giuridici, misure organizzative e consulenza professionale. La Legge 132/2025 completa alcuni aspetti nazionali, ma l'applicazione delle singole disposizioni dipende dalla fattispecie e dalle autorità competenti.
Le sanzioni non sono simboliche. L'art. 99 prevede massimali diversi per pratiche vietate, violazioni degli obblighi e informazioni false; per PMI e startup la regola di proporzionalità va letta insieme alla fattispecie e al paragrafo applicabile. Non si può trasformare il massimale in un calcolo automatico per ogni impresa.
Se la tua SRL usa strumenti di intelligenza artificiale, questa guida aiuta a distinguere le date di applicazione, gli obblighi già vigenti e le attività organizzative da valutare con professionisti competenti.
Se la tua SRL usa strumenti di intelligenza artificiale, questa guida ti aiuta a distinguere cosa è già applicabile, cosa entrerà in applicazione nel 2027-2028 e quali attività organizzative valutare con professionisti competenti.
Cos'è l'AI Act in sessanta secondi (e perché riguarda anche la tua SRL)
L'AI Act, formalmente Regolamento (UE) 2024/1689, è il primo quadro normativo completo al mondo sull'intelligenza artificiale. È stato pubblicato in Gazzetta Ufficiale dell'Unione europea il 13 giugno 2024 ed è entrato in vigore il 1° agosto 2024. A differenza di una direttiva, il regolamento si applica direttamente in tutti gli Stati membri senza bisogno di recepimento nazionale: in Italia non è richiesta alcuna legge di recepimento, mentre la Legge 132/2025 si limita a disciplinare aspetti complementari.
L'impianto è risk-based: non tutti i sistemi AI sono uguali davanti alla legge. Il Regolamento definisce quattro categorie di rischio, ciascuna con regole proprie.
| Livello di rischio | Esempi tipici | Obblighi |
|---|---|---|
| Rischio inaccettabile (vietato) | Social scoring, riconoscimento emozioni sul posto di lavoro, scraping biometrico massivo, categorizzazione biometrica per dedurre razza/religione/politica | VIETATO dal 2 febbraio 2025 (art. 5) |
| Alto rischio | AI per selezione CV, valutazione prestazioni, scoring creditizio, ammissione a servizi pubblici, sicurezza infrastrutture | Obblighi artt. 8-15 per i provider; art. 26 per i deployer |
| Obblighi di trasparenza | Alcune interazioni o output disciplinati dall'art. 50, inclusi casi di chatbot e contenuti sintetici | Informativa secondo la specifica fattispecie |
| Rischio minimo o nullo | Filtri spam, sistemi di raccomandazione non personalizzati, videogiochi con AI | Nessun obbligo specifico |
La categoria più critica per alcune SRL è quella dei sistemi ad alto rischio dell'Allegato III, ma lo screening dei CV o la valutazione delle prestazioni non bastano da soli a qualificare ogni strumento: occorre verificare finalità, funzione e condizioni dell'Allegato III. Quando la disciplina si applica, gli obblighi del deployer ricadono sul soggetto che usa il sistema sotto la propria autorità.
Giovanni Emmi, Dottore Commercialista:
"La prima verifica non è il nome commerciale del tool, ma la funzione concreta e il ruolo della SRL. Una società che usa un sistema di selezione può dover presidiare gli obblighi del deployer se la fattispecie rientra nell'Allegato III e nella data di applicazione prevista."
Cosa è già applicabile e quali date riguardano i sistemi high-risk
L'AI Act ha un'applicazione graduale. Il Regolamento (UE) 2026/1744 ha modificato il calendario: il 2 agosto 2026 resta una milestone per la trasparenza dell'art. 50, per l'enforcement di alcune parti e per misure di supporto; non è la data generale di applicazione dei sistemi high-risk dell'Allegato III.
| Data | Cosa si applica | Riguarda la tua SRL? |
|---|---|---|
| 1° agosto 2024 | Entrata in vigore del Regolamento | Base giuridica generale |
| 2 febbraio 2025 | Divieti art. 5 e AI literacy art. 4 | Se la fattispecie e il ruolo della SRL rientrano nelle disposizioni |
| 2 agosto 2025 | Milestone per GPAI e governance secondo il calendario vigente | Principalmente provider e soggetti indicati dal regolamento |
| 2 agosto 2026 | Trasparenza art. 50, enforcement di alcune parti e misure di supporto | Per le interazioni e gli obblighi cui si applica l'art. 50 |
| 2 dicembre 2027 | Sistemi ad alto rischio dell'Allegato III | Per provider e deployer nelle fattispecie dell'Allegato III |
| 2 agosto 2028 | Sistemi high-risk integrati in prodotti regolamentati dell'Allegato I | Per i prodotti e settori cui si applica l'Allegato I |
La milestone del 2 agosto 2026 non va quindi usata per promettere che ogni SRL debba già applicare la disciplina completa dei sistemi high-risk. Le date di applicazione vanno incrociate con sistema, ruolo, finalità e disposizioni transitorie.
Fonte e stato normativo.
Il Regolamento (UE) 2026/1744 è vigente ed è consultabile su EUR-Lex. La timeline ufficiale AI Act Service Desk indica le date sopra riportate.
La tua SRL è dentro l'AI Act? Quattro domande per capirlo
Non tutte le SRL che usano AI sono soggette agli stessi obblighi. Per capire dove ti posizioni devi rispondere a quattro domande in sequenza.
1. Usi un sistema AI vietato (art. 5)?
Se sì, sei già fuorilegge dal 2 febbraio 2025. Le ipotesi più comuni per una SRL sono: scraping non mirato di immagini facciali per costruire database, sistemi di emotion recognition sul posto di lavoro, social scoring tra dipendenti o clienti. Sono pratiche residuali, ma se presenti vanno rimosse subito.
2. Usi un sistema AI in un contesto dell'Allegato III?
Le aree rilevanti per alcune SRL includono gestione delle risorse umane, accesso al credito e servizi finanziari, servizi pubblici essenziali e infrastrutture critiche. La qualificazione va verificata sulla finalità e sulla voce pertinente dell'Allegato III; non basta il nome “screening”.
3. Usi un sistema per un'interazione o un output cui si applica l'art. 50?
In tal caso occorre informare chiaramente l'utente secondo le condizioni, eccezioni e modalità della disposizione. Non si deve estendere l'obbligo a ogni chatbot senza esaminare l'interazione concreta.
4. Usi un modello GPAI?
Il fornitore del modello ha gli obblighi GPAI propri; la SRL può comunque avere obblighi per il sistema che utilizza e può assumere un ruolo diverso se modifica o immette sul mercato il sistema in condizioni previste dal regolamento.
Per la SRL contano quindi la classificazione concreta, la data applicabile e la distinzione fra obblighi giuridici e misure organizzative volontarie.
Cosa fare ora: la checklist operativa della SRL
Se la tua SRL rientra in una fattispecie con obblighi già applicabili o sta preparando l'uso di sistemi high-risk, le azioni possono essere organizzate senza confondere preparazione e obbligo legale. La data del 2 agosto 2026 riguarda la trasparenza dell'art. 50 e le milestone indicate nella timeline vigente; la disciplina high-risk dell'Allegato III ha la data del 2 dicembre 2027.
1. Mappatura dei sistemi AI in uso
Il primo passo è un inventario completo di tutti i sistemi AI utilizzati dalla SRL, anche in modo informale. Questo include strumenti acquistati (SaaS, licenze), strumenti integrati nei software gestionali (ERP, CRM con funzionalità AI), strumenti usati dai dipendenti con account personali (la cosiddetta "Shadow AI"). Per ciascun sistema vanno raccolti almeno: nome del prodotto e versione, fornitore, finalità d'uso, dati trattati, persone coinvolte, area di rischio AI Act (alto rischio sì/no, trasparenza sì/no).
2. Classificazione del rischio per ciascun sistema
Per ogni sistema in inventario va applicata la griglia delle quattro categorie. La classificazione non è sempre immediata: uno stesso strumento può essere a rischio limitato in un contesto e ad alto rischio in un altro. Un sistema di sentiment analysis applicato al feedback dei clienti è generalmente a rischio limitato; applicato a colloqui di lavoro diventa ad alto rischio.
3. Sorveglianza umana (art. 14)
L'art. 26 impone al deployer di garantire che l'utilizzo del sistema sia supervisionato da persone competenti, con formazione adeguata e autorità per intervenire. In concreto: chi decide in ultima istanza deve essere una persona, non il sistema. Per una SRL HR questo significa che il responsabile delle assunzioni deve poter sovrascrivere la valutazione algoritmica, e deve essere formato per farlo.
4. Monitoraggio operativo e tenuta dei registri
Il deployer deve monitorare il funzionamento nei casi e con le modalità previste dalla disciplina applicabile. Gli obblighi di logging e conservazione vanno ricostruiti per lo specifico sistema; non esiste un termine universale definito come “durata del trattamento GDPR”.
5. Informativa ai rappresentanti dei lavoratori
Quando un sistema AI ad alto rischio viene utilizzato sul luogo di lavoro, il deployer deve informare i rappresentanti dei lavoratori e i lavoratori stessi prima della messa in servizio (art. 26, par. 7). La comunicazione deve essere chiara, comprensibile e deve specificare finalità, logica di funzionamento e livello di sorveglianza umana. Non è un dettaglio: la violazione di questo obbligo è sanzionabile ai sensi dell'art. 99.
6. Valutazione d'impatto sui diritti fondamentali (FRIA, art. 27)
La Fundamental Rights Impact Assessment è obbligatoria solo per i deployer e le fattispecie individuati dall'art. 27, inclusi gli enti pubblici e i soggetti privati che forniscono servizi pubblici essenziali o rientrano nella platea normativa. Non ogni SRL privata dei settori elencati è automaticamente soggetta. Fuori dalla platea obbligata, una FRIA può essere una misura volontaria da valutare.
7. Trasparenza nelle interazioni con persone fisiche (art. 50)
Per le interazioni e gli output cui si applica l'art. 50, l'utente deve essere chiaramente informato secondo le condizioni della disposizione. Non si estende l'obbligo a qualsiasi sistema o chatbot senza esaminare la fattispecie concreta.
Sanzioni reali per una SRL: facciamo i conti
L'art. 99 prevede massimali diversi per pratiche vietate, violazioni degli obblighi e informazioni false. Per PMI e startup la regola di proporzionalità richiede di applicare il valore inferiore nei casi e alle condizioni del paragrafo 6, senza trasformare il massimale in una sanzione automatica.
| Tipo di violazione | Massimale normativo da verificare | Cosa valutare |
|---|---|---|
| Pratiche vietate (art. 5) | Importo fisso o percentuale previsti dall'art. 99 | Fattispecie, soggetto, gravità e regola PMI applicabile |
| Obblighi provider/deployer | Importo fisso o percentuale previsti dall'art. 99 | Obbligo violato, ruolo e autorità competente |
| Informazioni false | Massimale specifico dell'art. 99 | Contenuto, destinatario e circostanze della condotta |
Non è corretto presentare importi come risultato certo per una SRL con un determinato fatturato. L'autorità valuta la violazione concreta secondo il regolamento e il quadro nazionale applicabile.
Attenzione:
eventuali profili GDPR o nazionali richiedono una verifica separata. Non si afferma in via generale che sanzioni diverse si cumulino automaticamente.
Dove il commercialista è insostituibile
Qui occorre distinguere l'obbligo giuridico dalle attività di supporto professionale. Il commercialista, se incaricato e nei limiti delle proprie competenze, può contribuire alla mappatura, alla documentazione e al coordinamento con consulenti privacy, legali e tecnici. La normativa non gli assegna un ruolo esclusivo né sostituisce le competenze necessarie.
Il supporto dello studio è una possibile scelta organizzativa, non un adempimento AI Act.
Registro dei trattamenti AI
Il GDPR non impone di estendere automaticamente il registro ex art. 30 con una sezione AI Act. Una checklist o un inventario dei sistemi può essere una buona pratica volontaria per documentare finalità, ruolo, rischio, dati e misure di controllo.
Due diligence sui provider SaaS
La verifica dei provider SaaS può includere documentazione, contratto, istruzioni d'uso e test operativi, secondo il ruolo della SRL e il sistema acquistato. Non esiste un obbligo generale di dimostrare una due diligence standard né un servizio riservato al commercialista: il supporto può richiedere competenze tecniche e legali.
Integrazione con DPIA GDPR e FRIA AI Act
La DPIA GDPR e la FRIA AI Act hanno basi e contenuti diversi. Possono essere coordinate in un progetto documentale comune solo se sono coperti tutti i requisiti applicabili, ma il documento unico non è una procedura ufficiale generale. La scelta va validata caso per caso con DPO, legale e competenze tecniche.
Informativa ai rappresentanti dei lavoratori
L'obbligo dell'art. 26, par. 7, quando applicabile all'uso sul luogo di lavoro, è giuridico-organizzativo. Le modalità dell'informativa vanno coordinate con le competenze in materia di lavoro e privacy.
Clausole contrattuali AI Act + GDPR
Le clausole contrattuali e le responsabilità nella catena del valore vanno verificate sul sistema e sul ruolo concreto. Un commercialista può affiancare l'imprenditore se incaricato, ma la revisione legale e tecnica del contratto può richiedere altri professionisti.
Giovanni Emmi, Dottore Commercialista:
"La differenza tra uno studio tradizionale e uno strutturato, su un tema come l'AI Act, non sta nella conoscenza tecnica dell'algoritmo. Sta nella capacità di integrare una norma nuova con tutto quello che già facciamo: registro trattamenti, DPIA, contrattualistica fornitori, adempimenti del lavoro. È un lavoro di metodo, non di improvvisazione. Chi arriva preparato il 2 agosto 2026 non ha fatto miracoli: ha solo applicato le stesse procedure di sempre a un ambito nuovo."
Gli errori frequenti da evitare nel percorso di adeguamento
Ci sono cinque errori ricorrenti che vediamo nelle SRL italiane quando si affacciano al tema AI Act. Sono errori che si pagano cari, non solo in termini di sanzioni ma di tempo perso.
Pensare che l'AI Act non riguardi le PMI.
La proporzionalità delle sanzioni non significa esonero dagli obblighi. La SRL deve verificare se il sistema, la finalità, il ruolo e la data la collocano in una fattispecie disciplinata.
Confondere provider e deployer.
Il provider e il deployer hanno ruoli diversi. La SRL che usa un sistema sotto la propria autorità può essere deployer, ma gli obblighi dipendono dalla funzione concreta e dalla disciplina applicabile.
Sottovalutare la trasparenza art. 50.
Le interazioni cui si applica l'art. 50 devono essere accompagnate dall'informativa prevista dalla disposizione; non si deve qualificare ogni chatbot allo stesso modo senza verificare la fattispecie.
Ignorare la Shadow AI.
Mappare gli strumenti usati dai dipendenti è una buona pratica organizzativa per ridurre rischi di dati e responsabilità; non si presenta una percentuale di diffusione senza survey identificabile.
Confondere preparazione e scadenze.
Il 2 agosto 2026 riguarda le milestone indicate nella timeline vigente, inclusa la trasparenza art. 50. I sistemi high-risk dell'Allegato III seguono il 2 dicembre 2027 e quelli embedded dell'Allegato I il 2 agosto 2028.
FAQ in breve
Una SRL che usa ChatGPT con account personale di un dipendente è in regola con l'AI Act?
Non è possibile rispondere senza esaminare uso, dati, ruolo, condizioni contrattuali e policy aziendale. La SRL dovrebbe mappare l'uso, vietare l'inserimento non autorizzato di dati riservati e definire controlli interni.
L'obbligo di AI literacy (art. 4) riguarda anche le SRL?
Sì, dal 2 febbraio 2025 nei casi previsti dall'art. 4. La misura deve assicurare un livello sufficiente di alfabetizzazione in relazione a conoscenze, contesto d'uso e persone coinvolte; non è imposto un corso standard di durata prefissata.
Una SRL che sviluppa internamente un proprio modello AI è provider?
Dipende dal fatto che il modello o sistema sia messo a disposizione sul mercato o a terzi e dalle altre condizioni del regolamento. L'uso esclusivamente interno non basta, da solo, a qualificare ogni attività allo stesso modo.
La Legge 132/2025 italiana introduce obblighi aggiuntivi rispetto all'AI Act?
La legge disciplina aspetti nazionali complementari. Autorità, sanzioni e settori coinvolti vanno verificati articolo per articolo sulla fonte nazionale; non si attribuisce a una sola autorità tutta la governance senza il relativo atto.
Cosa cambia con il Regolamento (UE) 2026/1744?
Il Digital Omnibus è vigente e ha modificato il calendario. Il 2 agosto 2026 resta una milestone per trasparenza art. 50, enforcement di alcune parti e misure di supporto; i sistemi high-risk dell'Allegato III seguono il 2 dicembre 2027 e quelli embedded dell'Allegato I il 2 agosto 2028.
Un commercialista può gestire internamente tutta la compliance AI Act, o serve un legale?
Dipende da ruolo, sistema e complessità. Il commercialista può essere incaricato di supportare mappatura, documentazione e coordinamento, ma non sostituisce DPO, legale o competenze tecniche quando necessarie. Registro AI e documento DPIA/FRIA unico restano opzioni organizzative da validare, non obblighi generali.
Disclaimer e link utili per approfondire
L'AI Act è una normativa recente e in fase di prima applicazione. Le linee guida della Commissione europea e dell'AI Office sono in costante aggiornamento. Questo articolo fa riferimento al testo del Regolamento (UE) 2024/1689 pubblicato in Gazzetta Ufficiale dell'Unione europea, alle linee guida pubblicate dall'AI Act Service Desk della Commissione e al testo della Legge 132/2025 pubblicata nella Gazzetta Ufficiale della Repubblica Italiana (serie generale n. 223, 25 settembre 2025).
Per approfondire
- Testo consolidato del Regolamento (UE) 2024/1689 su EUR-Lex;
- AI Act Service Desk della Commissione europea: timeline, linee guida, FAQ;
- Codice di condotta GPAI per i modelli di AI per finalità generali;
- EDPB Opinion 28/2024 sui modelli AI e la protezione dei dati personali;
- AgID per il punto di contatto nazionale italiano.
Ultimo aggiornamento: 18 settembre 2026.
Il riferimento è il Regolamento (UE) 2024/1689 come modificato dal Regolamento (UE) 2026/1744 e la timeline AI Act Service Desk vigente.
Hai letto tutto e vuoi passare all'azione?
L'AI Act richiede di organizzare il lavoro in base alle date realmente applicabili, non di promettere una scadenza unica per ogni SRL. Se la tua società usa strumenti AI, procedi con la mappatura e valuta gli obblighi con i professionisti competenti.
1. Parti dalla mappatura.
Il primo passo non richiede investimenti né consulenze costose: è un inventario interno di tutti i sistemi AI in uso, anche quelli informali. Chiedi a ogni responsabile di funzione (HR, commerciale, operations, IT) di segnalare gli strumenti AI utilizzati, anche via account personali. È il punto di partenza per qualsiasi intervento successivo.
2. Valuta un confronto tecnico-giuridico
tramite il form di contatto o via email ad amministrazione@proclama.co. Il supporto dello studio è un servizio possibile, non un ruolo previsto automaticamente dall'AI Act; per i profili legali, privacy e tecnici possono servire professionisti specializzati.
3. Tieni d'occhio le linee guida UE.
L'AI Office della Commissione europea pubblica periodicamente linee guida interpretative, in particolare sui sistemi ad alto rischio, sui modelli GPAI e sulla trasparenza. Iscriviti alla newsletter di SRLonline per ricevere aggiornamenti operativi quando escono novità rilevanti.
Per una visione d'insieme sulla trasformazione digitale delle SRL e sull'impatto dell'AI sui processi aziendali, leggi anche la nostra guida ai servizi per SRL e l'articolo sulla costituzione di una SRL innovativa, dove l'AI Act è uno degli elementi da considerare nella scelta tra le diverse forme giuridiche.
