AI Act e privacy: cosa deve fare la tua azienda entro le scadenze del 2026
Se usi l'AI in azienda — anche solo ChatGPT per scrivere una mail — l'AI Act riguarda già te. Le scadenze, i tre documenti da avere pronti e come si intreccia tutto con il GDPR.
Se usi l'intelligenza artificiale in azienda — anche solo ChatGPT per scrivere una mail — l'AI Act riguarda già te. Non è una norma per le big tech: il Regolamento europeo sull'AI si applica a chi sviluppa questi sistemi e a chi li utilizza. E le scadenze sono più vicine di quanto sembri.
Questa guida mette in fila cosa dice l'AI Act, quali sono le date da segnare sul calendario, quali documenti devi avere pronti e come si intreccia tutto con la privacy. Senza allarmismi, ma con la chiarezza necessaria per non arrivare impreparati.
Le scadenze che contano
Il Regolamento UE 2024/1689 (AI Act) è in vigore dal 1° agosto 2024, ma i suoi obblighi entrano in gioco a tappe:
- 2 febbraio 2025 — Scattano il divieto delle pratiche di AI vietate (art. 5) e l'obbligo di alfabetizzazione del personale sull'AI (art. 4). Da questa data, chi usa l'AI in azienda deve essere adeguatamente formato.
- 2 agosto 2025 — Entrano in vigore gli obblighi per i modelli di AI «per finalità generali» (i cosiddetti GPAI, come i grandi modelli generativi) e le regole di governance.
- 2 agosto 2026 — È la data chiave per la maggior parte delle imprese: piena applicazione delle regole sui sistemi ad alto rischio (Allegato III) e degli obblighi di trasparenza (art. 50).
Una precisazione utile: a fine 2025 la Commissione ha proposto un pacchetto («Digital Omnibus») che potrebbe rinviare alcuni obblighi sui sistemi ad alto rischio. Le date di base, però, restano il riferimento per pianificare: aspettare un rinvio incerto non è una strategia. (Ne abbiamo parlato in dettaglio in cosa è stato davvero rinviato dell'AI Act.)
In Italia, a completare il quadro, c'è la Legge 132/2025 sull'intelligenza artificiale, in vigore dal 10 ottobre 2025, che definisce principi e governance nazionali in linea con l'AI Act.
Quanto rischi se non ti adegui
Le sanzioni dell'AI Act sono pensate per farsi sentire: fino a 35 milioni di euro o il 7% del fatturato mondiale per l'uso di pratiche vietate, e fino a 15 milioni di euro o il 3% del fatturato per la violazione di altri obblighi rilevanti. A questi si aggiungono, sul fronte dati, le sanzioni GDPR (fino al 4% del fatturato). Per una PMI, anche una frazione di queste cifre può essere un problema serio.
Ma il rischio non è solo economico: è reputazionale e operativo. Un contenuto sbagliato pubblicato, un dato di un cliente finito nel posto sbagliato, una decisione automatizzata contestata — sono situazioni che erodono la fiducia molto più in fretta di quanto si costruisca.
I tre documenti che ti servono
Adeguarsi non significa fermare l'AI. Significa governarla. E nella pratica si traduce in tre documenti che lavorano insieme.
1. Il regolamento interno sull'uso dell'AI
È il documento che stabilisce le regole per chi lavora: strumenti ammessi, dati che si possono (e non si possono) inserire, usi vietati, obblighi di trasparenza, formazione, ruoli e responsabilità. Le organizzazioni più avanti — da grandi gruppi come Prysmian e Iveco a enti pubblici come l'Autorità dei Trasporti e RSE — lo hanno già adottato, spesso con una sezione dedicata alla classificazione del rischio e a un registro dei sistemi di AI in uso.
Se devi partire da zero, abbiamo scritto una guida in 8 passi per costruire il regolamento AI, con un template gratuito da compilare.
2. La policy d'uso per le persone
Più snella e operativa del regolamento, è pensata per essere letta e capita da tutti. Poche regole chiare: l'AI supporta ma non decide, gli output si verificano sempre, i dati riservati non si inseriscono in strumenti pubblici. È il documento che accompagna la formazione e che rende le regole parte del lavoro quotidiano.
3. L'informativa e la valutazione privacy
Qui l'AI Act incontra il GDPR. Ogni volta che un sistema di AI tratta dati personali, si apre un tema privacy: serve una base giuridica, un'informativa aggiornata e, per i trattamenti ad alto rischio, una valutazione d'impatto (DPIA).
Su questo il Garante Privacy ha già indicato principi chiari — nel suo Decalogo parla di:
- conoscibilità dei processi decisionali;
- non esclusività della decisione automatizzata (deve sempre esserci un intervento umano);
- non discriminazione.
Il nodo privacy: GDPR e AI Act insieme
Il punto più delicato è che AI Act e GDPR non sono alternativi: si applicano insieme. Il GDPR regola come tratti i dati personali; l'AI Act regola come usi i sistemi di AI, classificandoli per rischio.
Un uso tipico che accende entrambe le norme è il recruiting: usare l'AI per filtrare curriculum o valutare candidati ricade tra i possibili usi ad alto rischio (Allegato III) e comporta il trattamento di dati personali, spesso di categorie particolari.
La regola pratica:
L'AI può preparare (bozze di annunci, tracce di domande), ma la valutazione e la decisione restano sempre a una persona.
E prima di caricare qualsiasi documento con dati personali in uno strumento non approvato, si anonimizza. Lo stesso vale per contratti e documenti legali riservati.
Da dove partire, concretamente
- Fai l'inventario. Quali strumenti di AI usa davvero la tua azienda? Spesso più di quanti immagini.
- Classifica il rischio. Per ogni strumento, che tipo di dati tratta e con quali finalità?
- Scrivi le regole. Regolamento + policy d'uso, tarati sui tuoi strumenti reali.
- Sistema la privacy. Aggiorna informativa e basi giuridiche; prevedi una DPIA per gli usi critici.
- Forma le persone. La formazione non è un optional: è un obbligo (art. 4) ed è ciò che fa funzionare tutto il resto.
- Rivedi periodicamente. Almeno una volta l'anno, o quando cambiano strumenti e norme.
In sintesi
Il 2 agosto 2026 non è una scadenza lontana: è il momento in cui l'AI Act entra nel vivo per la maggior parte delle imprese. Le aziende che arriveranno preparate non lo faranno per paura delle sanzioni, ma perché avranno capito che governare l'AI è oggi parte del fare impresa in modo serio. I documenti giusti, un po' di formazione e una revisione periodica: la strada è più semplice di quanto sembri, se la si imbocca per tempo.
Vuoi arrivare pronto al 2026?
Mettere in regola l'uso dell'AI richiede di conoscere sia la normativa sia i tuoi processi. Ti accompagniamo in tutto il percorso: assessment degli strumenti, mappatura dei rischi, regolamento e policy, allineamento privacy (informativa e DPIA) e formazione del personale — con validazione legale.
Il punto di partenza più veloce è il Corso AI Act, che chiude l'obbligo di formazione dell'art. 4 con attestato nominativo per ogni dipendente. Per la parte documentale e di mappatura c'è l'Assessment Compliance AI Act.
Parliamone in una call · Scopri il corso · Scopri l'assessment
Questo articolo ha finalità informative e non costituisce parere legale.