In breve:
- L'AI Act è il Regolamento (UE) 2024/1689, in vigore dal 1° agosto 2024 e modificato dal Regolamento (UE) 2026/1744, con obblighi graduati per provider, deployer e altre figure;
- Il 2 agosto 2026 è la data generale di applicazione, con le eccezioni dell'art. 113: per la disciplina high-risk rilevano il 2 dicembre 2027 per l'art. 6(2) e l'Allegato III e il 2 agosto 2028 per l'art. 6(1) e l'Allegato I. Vanno sempre verificati i transitori dell'art. 111;
- Le sanzioni dell'art. 99 prevedono massimali normativi, ma l'importo concreto dipende dalla violazione, dal soggetto, dalla proporzionalità e dalle competenze dell'autorità: non si presenta una cifra deterministica per ogni SRL;
- Una SRL può essere deployer quando usa un sistema AI sotto la propria autorità, anche se non lo sviluppa; gli obblighi dipendono dal sistema, dalla finalità e dalla data di applicazione;
- Il commercialista può supportare, se incaricato, mappatura, documentazione e coordinamento organizzativo. Registro AI, DPIA/FRIA unica e consulenza legale non sono obblighi o ruoli automaticamente attribuiti dalla normativa.
Un esempio illustrativo: tre sistemi AI nella stessa SRL
Consideriamo un caso ipotetico, non una vicenda aziendale documentata. Una SRL di servizi informatici con dodici dipendenti e un fatturato di 1,8 milioni di euro usa tre sistemi SaaS: un chatbot sul sito, uno strumento di trascrizione delle call commerciali e un sistema di screening dei CV. Per valutarne gli obblighi non basta contarli: occorre esaminare funzione, dati, istruzioni e condizioni contrattuali di ciascun fornitore.
Il quadro va letto distinguendo obblighi giuridici, misure organizzative e consulenza professionale. La Legge 132/2025 completa alcuni aspetti nazionali, ma l'applicazione delle singole disposizioni dipende dalla fattispecie e dalle autorità competenti.
Le sanzioni non sono simboliche. L'art. 99 prevede massimali diversi per pratiche vietate, violazioni degli obblighi e informazioni false; per PMI e startup la regola di proporzionalità va letta insieme alla fattispecie e al paragrafo applicabile. Non si può trasformare il massimale in un calcolo automatico per ogni impresa.
Se la tua SRL usa strumenti di intelligenza artificiale, questa guida aiuta a distinguere le date di applicazione, gli obblighi già vigenti e le attività organizzative da valutare con professionisti competenti.
Cos'è l'AI Act in sessanta secondi (e perché riguarda anche la tua SRL)
L'AI Act, formalmente Regolamento (UE) 2024/1689, disciplina lo sviluppo, l'immissione sul mercato e l'uso dei sistemi di intelligenza artificiale. È stato adottato il 13 giugno 2024, pubblicato nella Gazzetta ufficiale dell'Unione europea il 12 luglio 2024 ed è entrato in vigore il 1° agosto 2024. Il regolamento è direttamente applicabile: non richiede una legge italiana di recepimento, mentre la Legge 132/2025 disciplina aspetti nazionali complementari.
L'impianto è risk-based. La tabella seguente è una sintesi didattica, non una classificazione legale esaustiva in quattro categorie mutuamente esclusive: obblighi diversi possono riguardare lo stesso sistema.
| Livello di rischio | Esempi tipici | Obblighi |
|---|---|---|
| Pratiche vietate | Specifiche forme di social scoring, scraping non mirato di immagini facciali per database di riconoscimento, inferenza delle emozioni sul lavoro basata su dati biometrici salvo ragioni mediche o di sicurezza | Divieti e condizioni dell'art. 5; quelli qui richiamati si applicano dal 2 febbraio 2025 |
| Alto rischio | Sistemi che rientrano nelle fattispecie dell'art. 6 e degli Allegati I o III, inclusi determinati usi HR | Requisiti e obblighi differenziati per provider e deployer, secondo classificazione e calendario |
| Obblighi di trasparenza | Specifiche interazioni e output dell'art. 50, inclusi alcuni chatbot e contenuti sintetici | Informazione, marcatura o disclosure secondo ruolo, fattispecie ed eccezioni |
| Sistemi non classificati ad alto rischio e senza obblighi specifici dell'art. 50 | Da individuare esaminando l'uso concreto | Nessun esonero generale da art. 4, GDPR o altra normativa applicabile |
La categoria più rilevante per alcune SRL è quella dei sistemi ad alto rischio dell'Allegato III. La qualificazione richiede di verificare finalità, funzione, voce pertinente e condizioni dell'art. 6, compresa l'eventuale deroga del paragrafo 3: non basta il nome “screening”. Per i sistemi dell'Allegato III che effettuano profilazione di persone fisiche, lo stesso paragrafo mantiene la qualificazione ad alto rischio. Quando la disciplina si applica, gli obblighi del deployer ricadono sul soggetto che usa il sistema sotto la propria autorità.
La prima verifica riguarda quindi la funzione concreta del sistema e il ruolo della SRL, non il nome commerciale del prodotto.
Cosa è già applicabile e quali date riguardano i sistemi high-risk
L'AI Act ha un'applicazione graduale. Il Regolamento (UE) 2026/1744 ha modificato il calendario: il 2 agosto 2026 resta una milestone per la trasparenza dell'art. 50, per l'enforcement di alcune parti e per misure di supporto; non è la data generale di applicazione dei sistemi high-risk dell'Allegato III.
| Data | Cosa si applica | Riguarda la tua SRL? |
|---|---|---|
| 1° agosto 2024 | Entrata in vigore del Regolamento | Base giuridica generale |
| 2 febbraio 2025 | Capitoli I e II: disposizioni generali, alfabetizzazione e divieti originari | Verificare ruolo e fattispecie; le nuove disposizioni art. 5(1)(ba)-(bb), 5(1a)-(1b) si applicano dal 2 dicembre 2026 |
| 2 agosto 2025 | Parti su GPAI, governance, organismi notificati e sanzioni indicate dall'art. 113(b), escluso art. 101 | Per i soggetti interessati, con il transitorio GPAI dell'art. 111 |
| 2 agosto 2026 | Applicazione generale, fra cui art. 50, salve eccezioni e transitori | Distinguere obblighi di provider e deployer e singoli paragrafi dell'art. 50 |
| 2 dicembre 2027 | Capo III, sezioni 1-3, salvo art. 6(5), per sistemi high-risk ex art. 6(2) e Allegato III | Classificazione concreta e regime dei sistemi preesistenti da verificare |
| 2 agosto 2028 | Stesse sezioni per sistemi high-risk ex art. 6(1) e Allegato I | Non ogni AI integrata in un prodotto: devono ricorrere le condizioni dell'art. 6(1) |
La milestone del 2 agosto 2026 non va quindi usata per promettere che ogni SRL debba già applicare la disciplina completa dei sistemi high-risk. Le date di applicazione vanno incrociate con sistema, ruolo, finalità e disposizioni transitorie.
I transitori non sono facoltativi.
Per i sistemi high-risk già immessi sul mercato o messi in servizio prima delle rispettive date, l'art. 111(2) richiede l'adeguamento solo se, da quelle date, subiscono modifiche significative nella progettazione, fermo il divieto dell'art. 5; per quelli destinati alle autorità pubbliche vale il termine del 2 agosto 2030. Per i modelli GPAI immessi sul mercato prima del 2 agosto 2025, l'art. 111(3) fissa il 2 agosto 2027. L'art. 111(4) dà invece ai provider dei sistemi che generano contenuti sintetici, già sul mercato prima del 2 agosto 2026, tempo fino al 2 dicembre 2026 per l'art. 50(2): non rinvia tutti gli obblighi dell'art. 50.
Fonte e stato normativo: Il Regolamento (UE) 2026/1744 è vigente ed è consultabile su EUR-Lex. La timeline ufficiale AI Act Service Desk indica le date sopra riportate.
La tua SRL è dentro l'AI Act? Quattro domande per capirlo
Non tutte le SRL che usano AI sono soggette agli stessi obblighi. Per capire dove ti posizioni devi rispondere a quattro domande in sequenza.
1. Usi un sistema che ricade in un divieto dell'art. 5?
Occorre verificare tutte le condizioni del divieto e le sue eccezioni, non la sola etichetta del prodotto. I divieti originari si applicano dal 2 febbraio 2025. Per esempio, l'inferenza delle emozioni sul lavoro basata su dati biometrici è vietata salvo le ragioni mediche o di sicurezza previste dalla disposizione; lo scraping vietato riguarda immagini facciali raccolte senza obiettivo mirato per creare o ampliare database di riconoscimento facciale. La presenza di una pratica vietata richiede di interromperla, non di trattarla come semplice uso ad alto rischio.
2. Usi un sistema AI in un contesto dell'Allegato III?
Le aree rilevanti per alcune SRL includono gestione delle risorse umane, accesso al credito e servizi finanziari, servizi pubblici essenziali e infrastrutture critiche. La qualificazione va verificata sulla finalità e sulla voce pertinente dell'Allegato III; non basta il nome “screening”.
3. Usi un sistema per un'interazione o un output cui si applica l'art. 50?
In tal caso occorre informare chiaramente l'utente secondo le condizioni, eccezioni e modalità della disposizione. Non si deve estendere l'obbligo a ogni chatbot senza esaminare l'interazione concreta.
4. Usi un modello GPAI o sviluppi un sistema?
Gli obblighi del provider del modello non esauriscono quelli della SRL sul sistema utilizzato. La definizione di provider comprende chi sviluppa o fa sviluppare un sistema e lo immette sul mercato oppure lo mette in servizio sotto il proprio nome o marchio, anche per uso proprio (art. 3, punti 3 e 11). Modello e sistema non sono sinonimi; modifiche, marchio e catena del valore richiedono inoltre la verifica dell'art. 25.
Per la SRL contano quindi la classificazione concreta, la data applicabile e la distinzione fra obblighi giuridici e misure organizzative volontarie.
Cosa fare ora: la checklist operativa della SRL
Se la SRL rientra in obblighi già applicabili o sta preparando l'uso di sistemi high-risk, occorre distinguere adempimenti vigenti e preparazione organizzativa. Per gli usi HR dell'Allegato III la data del 2 dicembre 2027 va letta con il regime transitorio sopra descritto, non come scadenza universale di ogni sistema esistente.
1. Mappatura dei sistemi AI in uso
Un inventario dei sistemi AI è una misura organizzativa consigliata, non un registro generale con questo formato imposto dall'AI Act. Può includere SaaS, funzionalità dei gestionali e strumenti usati dai dipendenti con account personali (“Shadow AI”). Per una ricognizione utile si possono raccogliere nome e versione, fornitore, finalità, dati trattati, persone coinvolte, ruolo della SRL e obblighi potenzialmente applicabili.
2. Classificazione del rischio per ciascun sistema
Ogni sistema va esaminato rispetto agli artt. 5, 6 e 50 e agli Allegati pertinenti. Un'analisi testuale del feedback non è automaticamente un sistema di riconoscimento delle emozioni; per tale definizione l'art. 3, punto 39, richiede dati biometrici. Se questi sono usati per inferire emozioni nei colloqui di lavoro, occorre prima verificare il divieto e le eccezioni dell'art. 5(1)(f), non limitarsi a chiamare il sistema “ad alto rischio”. Negli altri casi, l'eventuale qualificazione HR dipende dalla funzione concreta e dall'art. 6.
3. Sorveglianza umana (artt. 14 e 26)
Quando la disciplina high-risk è applicabile, l'art. 26(2) richiede che la sorveglianza sia assegnata a persone fisiche con competenza, formazione, autorità e supporto necessari. Va letta con le misure dell'art. 14 e le istruzioni del provider: non equivale da sola a una regola generale per cui qualsiasi decisione AI deve essere sempre presa da una persona. Per le decisioni sul personale esiste anche la distinta disciplina italiana dell'art. 41 D.Lgs. 179/2026, con la propria decorrenza e le proprie esclusioni, richiamata più avanti.
4. Monitoraggio operativo e tenuta dei registri
L'art. 26 richiede il monitoraggio secondo le istruzioni e gli altri presidi previsti. Il paragrafo 6 riguarda i log generati automaticamente dal sistema e sotto il controllo del deployer: devono essere conservati per un periodo adeguato alla finalità e almeno sei mesi, salvo diversa disposizione dell'Unione o nazionale applicabile, in particolare sulla protezione dei dati. Non è una durata generale per ogni documento o dato personale.
5. Informativa ai rappresentanti dei lavoratori
Quando è applicabile, l'art. 26(7) richiede al datore, prima della messa in servizio o dell'uso del sistema high-risk sul lavoro, di informare i rappresentanti e i lavoratori interessati che saranno soggetti all'uso del sistema, secondo le procedure previste dalle regole applicabili. Il paragrafo non elenca di per sé finalità, logica e sorveglianza come contenuto obbligatorio. Gli ulteriori obblighi nazionali sui sistemi decisionali o di monitoraggio integralmente automatizzati, fra cui l'art. 1-bis D.Lgs. 152/1997 quando ne ricorrono i presupposti, e le informative GDPR vanno verificati separatamente.
6. Valutazione d'impatto sui diritti fondamentali (FRIA, art. 27)
L'art. 27 riguarda determinati sistemi high-risk ex art. 6(2), esclusa l'area delle infrastrutture critiche del punto 2 dell'Allegato III. Obbliga i deployer che sono organismi di diritto pubblico o soggetti privati che forniscono servizi pubblici, e i deployer dei sistemi dei punti 5(b) e 5(c) dell'Allegato III (specifici usi di valutazione del merito creditizio e di rischio/prezzo nelle assicurazioni vita e sanitarie). Non ogni SRL HR o finanziaria è automaticamente soggetta. La FRIA deve precedere il primo utilizzo, essere aggiornata nei casi previsti e seguire gli adempimenti dell'art. 27; fuori dalla platea obbligata può essere valutata volontariamente.
7. Trasparenza nelle interazioni con persone fisiche (art. 50)
Per le interazioni e gli output cui si applica l'art. 50, l'utente deve essere chiaramente informato secondo le condizioni della disposizione. Non si estende l'obbligo a qualsiasi sistema o chatbot senza esaminare la fattispecie concreta.
Sanzioni reali per una SRL: facciamo i conti
L'art. 99 prevede massimali diversi per pratiche vietate, violazioni degli obblighi e informazioni false. Per PMI e startup la regola di proporzionalità richiede di applicare il valore inferiore nei casi e alle condizioni del paragrafo 6, senza trasformare il massimale in una sanzione automatica.
| Tipo di violazione | Massimale normativo da verificare | Cosa valutare |
|---|---|---|
| Pratiche vietate (art. 5) | Importo fisso o percentuale previsti dall'art. 99 | Fattispecie, soggetto, gravità e regola PMI applicabile |
| Obblighi provider/deployer | Importo fisso o percentuale previsti dall'art. 99 | Obbligo violato, ruolo e autorità competente |
| Informazioni false | Massimale specifico dell'art. 99 | Contenuto, destinatario e circostanze della condotta |
Non è corretto presentare importi come risultato certo per una SRL con un determinato fatturato. L'autorità valuta la violazione concreta secondo il regolamento e il quadro nazionale applicabile.
Attenzione:
eventuali profili GDPR o nazionali richiedono una verifica separata. Non si afferma in via generale che sanzioni diverse si cumulino automaticamente.
Quale supporto può offrire il commercialista
Qui occorre distinguere l'obbligo giuridico dalle attività di supporto professionale. Il commercialista, se incaricato e nei limiti delle proprie competenze, può contribuire alla mappatura, alla documentazione e al coordinamento con consulenti privacy, legali e tecnici. La normativa non gli assegna un ruolo esclusivo né sostituisce le competenze necessarie.
Il supporto dello studio è una possibile scelta organizzativa, non un adempimento AI Act.
Inventario dei sistemi e registro dei trattamenti GDPR
Il GDPR non impone di estendere automaticamente il registro ex art. 30 con una sezione AI Act. Una checklist o un inventario dei sistemi può essere una buona pratica volontaria per documentare finalità, ruolo, rischio, dati e misure di controllo.
Due diligence sui provider SaaS
La verifica dei provider SaaS può includere documentazione, contratto, istruzioni d'uso e test operativi, secondo il ruolo della SRL e il sistema acquistato. Non esiste un obbligo generale di dimostrare una due diligence standard né un servizio riservato al commercialista: il supporto può richiedere competenze tecniche e legali.
Integrazione con DPIA GDPR e FRIA AI Act
La DPIA GDPR e la FRIA AI Act hanno basi e contenuti diversi. Possono essere coordinate in un progetto documentale comune solo se sono coperti tutti i requisiti applicabili, ma il documento unico non è una procedura ufficiale generale. La scelta va validata caso per caso con DPO, legale e competenze tecniche.
Informativa ai rappresentanti dei lavoratori
L'obbligo dell'art. 26, par. 7, quando applicabile all'uso sul luogo di lavoro, è giuridico-organizzativo. Le modalità dell'informativa vanno coordinate con le competenze in materia di lavoro e privacy.
Dal 23 ottobre 2026 il quadro si completa con il D.Lgs. 179/2026, che all'art. 41 riserva a una persona fisica con potere effettivo la decisione finale su assunzioni, licenziamenti, disciplinari e valutazioni delle prestazioni, e all'art. 42 porta i sistemi di IA nella valutazione dei rischi. Gli adempimenti operativi per chi ha dipendenti sono descritti nella guida su IA e dipendenti: obblighi del datore di lavoro dal 23 ottobre 2026.
Clausole contrattuali AI Act + GDPR
Le clausole contrattuali e le responsabilità nella catena del valore vanno verificate sul sistema e sul ruolo concreto. Un commercialista può affiancare l'imprenditore se incaricato, ma la revisione legale e tecnica del contratto può richiedere altri professionisti.
Errori da evitare nel percorso di adeguamento
I punti seguenti sono una checklist di rischi da controllare, non una statistica sulla frequenza degli errori nelle SRL.
Pensare che l'AI Act non riguardi le PMI.
La proporzionalità delle sanzioni non significa esonero dagli obblighi. La SRL deve verificare se il sistema, la finalità, il ruolo e la data la collocano in una fattispecie disciplinata.
Confondere provider e deployer.
Il provider e il deployer hanno ruoli diversi. La SRL che usa un sistema sotto la propria autorità può essere deployer, ma gli obblighi dipendono dalla funzione concreta e dalla disciplina applicabile.
Sottovalutare la trasparenza art. 50.
Le interazioni cui si applica l'art. 50 devono essere accompagnate dall'informativa prevista dalla disposizione; non si deve qualificare ogni chatbot allo stesso modo senza verificare la fattispecie.
Ignorare la Shadow AI.
Mappare gli strumenti usati dai dipendenti è una buona pratica organizzativa per ridurre rischi di dati e responsabilità; non si presenta una percentuale di diffusione senza survey identificabile.
Confondere preparazione e scadenze.
Le date dell'art. 113 vanno lette con i transitori dell'art. 111 e con la classificazione ex art. 6. Il 2 dicembre 2027 e il 2 agosto 2028 non rendono automaticamente soggetto ogni sistema preesistente alla stessa scadenza.
FAQ in breve
Una SRL che usa ChatGPT con account personale di un dipendente è in regola con l'AI Act?
Non è possibile rispondere senza esaminare uso, dati, ruolo, condizioni contrattuali e policy aziendale. La SRL dovrebbe mappare l'uso, vietare l'inserimento non autorizzato di dati riservati e definire controlli interni.
L'obbligo di AI literacy (art. 4) riguarda anche le SRL?
Sì, nei ruoli e casi previsti. Il testo vigente richiede a provider e deployer misure che sostengano lo sviluppo dell'alfabetizzazione del personale e delle altre persone che operano per loro conto, considerando conoscenze, esperienza, formazione, contesto e gruppi coinvolti. Precisa però che non devono garantire uno specifico livello individuale di alfabetizzazione. Non impone un corso standard di durata prefissata.
Una SRL che sviluppa internamente un proprio modello AI è provider?
Bisogna distinguere il modello dal sistema. Per il sistema, sviluppo o sviluppo commissionato e messa in servizio sotto il proprio nome o marchio possono attribuire il ruolo di provider anche nell'uso proprio: l'assenza di vendita a terzi non esclude il ruolo (art. 3, punti 3 e 11). Per il modello GPAI vanno esaminati la sua immissione sul mercato e i requisiti specifici; la sola parola “interno” non risolve la qualificazione.
La Legge 132/2025 italiana introduce obblighi aggiuntivi rispetto all'AI Act?
La legge disciplina aspetti nazionali complementari. Autorità, sanzioni e settori coinvolti vanno verificati articolo per articolo sulla fonte nazionale; non si attribuisce a una sola autorità tutta la governance senza il relativo atto.
Cosa cambia con il Regolamento (UE) 2026/1744?
Il Digital Omnibus ha modificato anche il calendario e l'art. 4. La disciplina high-risk segue le date dell'art. 113 per art. 6(2)/Allegato III e art. 6(1)/Allegato I, con i transitori dell'art. 111. Per i sistemi sintetici preesistenti, il differimento al 2 dicembre 2026 riguarda solo i provider e l'art. 50(2), non tutta la trasparenza.
Un commercialista può gestire internamente tutta la compliance AI Act, o serve un legale?
Dipende da ruolo, sistema e complessità. Il commercialista può essere incaricato di supportare mappatura, documentazione e coordinamento, ma non sostituisce DPO, legale o competenze tecniche quando necessarie. Registro AI e documento DPIA/FRIA unico restano opzioni organizzative da validare, non obblighi generali.
Link utili per approfondire
L'AI Act è una normativa recente e in fase di prima applicazione: le linee guida della Commissione europea e dell'AI Office sono in costante aggiornamento. I testi di riferimento sono il Regolamento (UE) 2024/1689 come modificato dal Regolamento (UE) 2026/1744, le linee guida dell'AI Act Service Desk e la Legge 132/2025.
Per approfondire
- Testo consolidato al 27 luglio 2026 del Regolamento (UE) 2024/1689 su EUR-Lex, da leggere con gli atti modificativi;
- AI Act Service Desk della Commissione europea: timeline, linee guida, FAQ;
- Codice di condotta GPAI per i modelli di AI per finalità generali;
- EDPB Opinion 28/2024 sui modelli AI e la protezione dei dati personali;
- L'art. 20 della Legge 132/2025 individua AgID e ACN come autorità nazionali per l'IA, con funzioni distinte; restano ferme le competenze del Garante per la protezione dei dati personali e le attribuzioni settoriali previste dal quadro applicabile.
Ultimo aggiornamento: 19 ottobre 2026.
Il riferimento è il Regolamento (UE) 2024/1689 come modificato dal Regolamento (UE) 2026/1744 e la timeline AI Act Service Desk vigente.
Hai letto tutto e vuoi passare all'azione?
L'AI Act richiede di organizzare il lavoro in base alle date realmente applicabili, non di promettere una scadenza unica per ogni SRL. Se la tua società usa strumenti AI, procedi con la mappatura e valuta gli obblighi con i professionisti competenti.
1. Parti dalla mappatura.
Organizza un inventario dei sistemi AI in uso, anche informali, chiedendo ai responsabili di funzione (HR, commerciale, operations, IT) di segnalare gli strumenti utilizzati e le relative finalità. È una base organizzativa utile; tempi, costi e necessità di consulenza dipendono dal caso concreto.
2. Valuta un confronto tecnico-giuridico
tramite il form di contatto o via email ad amministrazione@proclama.co. Il supporto dello studio è un servizio possibile, non un ruolo previsto automaticamente dall'AI Act; per i profili legali, privacy e tecnici possono servire professionisti specializzati.
3. Tieni d'occhio le linee guida UE.
L'AI Office della Commissione europea pubblica periodicamente linee guida interpretative, in particolare sui sistemi ad alto rischio, sui modelli GPAI e sulla trasparenza. Iscriviti alla newsletter di SRLonline per ricevere aggiornamenti operativi quando escono novità rilevanti.
Per una visione d'insieme sulla trasformazione digitale delle SRL e sull'impatto dell'AI sui processi aziendali, leggi anche la nostra guida ai servizi per SRL e l'articolo sulla costituzione di una SRL innovativa, dove l'AI Act è uno degli elementi da considerare nella scelta tra le diverse forme giuridiche.
