MainflayerAI Act: cosa cambia per PMI e professionisti
Tanto è roba per le big tech, pensi. Poi il collega incolla la mail di un cliente arrabbiato in ChatGPT per farsi scrivere la risposta più in fretta, e il dubbio ti viene. Il titolare di una PMI che usa l'AI, anche solo per le bozze, rientra nell'AI Act. Non come chi costruisce i modelli, ma come chi li usa. E alcuni obblighi sono già in vigore.
Questo articolo spiega cosa cambia, in parole semplici. Non è consulenza legale: per il tuo caso serve un professionista. Le date che trovi qui sono aggiornate al 20 ottobre 2026, con il testo del Digital Omnibus letto sulla Gazzetta ufficiale dell'UE, ma le norme si muovono: ricontrollale su EUR-Lex prima di decidere qualcosa.
L'AI Act riguarda anche una piccola azienda?
L'AI Act è il primo regolamento da rispettare sull'AI, come lo presenta la Commissione europea. Vale per chi la sviluppa, per chi la vende e per chi la usa. Sì, anche se la usi solo per scrivere le email.
Una piccola azienda ci rientra come utilizzatore. Il regolamento distingue il fornitore, che sviluppa il sistema, dal deployer, che lo usa sotto la propria autorità. Una PMI che usa ChatGPT, Claude o Gemini per lavoro è un deployer, come dice la definizione dell'art. 3 del regolamento (UE) 2024/1689.
Il regolamento ragiona per livelli di rischio. In cima ci sono le pratiche vietate, come il social scoring. Subito sotto ci sono i sistemi ad alto rischio, quelli che incidono su persone in ambiti delicati: selezione del personale con software che leggono i CV, credit scoring, istruzione. Poi c'è il rischio di trasparenza, dove stanno chatbot e contenuti generati. In fondo c'è il rischio minimo, che copre la maggior parte dei sistemi in uso, come i filtri antispam.
La domanda giusta, quindi, non è "uso l'AI?", ma "a cosa la uso?". Un filtro antispam non ti crea obblighi particolari. Un chatbot che risponde ai clienti, sì.
Per l'alto rischio le scadenze si sono spostate. Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull'AI, è in vigore dal 27 luglio 2026. Per i sistemi dell'Allegato III (CV, credit scoring, istruzione) l'obbligo si applica dal 2 dicembre 2027. Per quelli dell'Allegato I, legati ai prodotti regolati, dal 2 agosto 2028. La parte del Digital Omnibus che tocca il GDPR, invece, è ancora una proposta in discussione: non è in vigore.
Quali obblighi sono già in vigore?
Tre, oggi. I divieti e l'alfabetizzazione AI sono in vigore dal 2 febbraio 2025. La trasparenza su chatbot e contenuti generati, cioè l'art. 50, è in vigore dal 2 agosto 2026: quindi lo è già alla pubblicazione di questo articolo.
I divieti riguardano pratiche che a una PMI difficilmente capitano per sbaglio, come la manipolazione dannosa o il riconoscimento delle emozioni dei dipendenti sul lavoro. Dal 2 dicembre 2026 si aggiungono due divieti: l'AI che genera immagini, video o audio intimi di persone identificabili senza il loro consenso (le app di "nudificazione") e il materiale pedopornografico. Meglio saperlo comunque.
L'art. 4 invece riguarda tutti. Chiede a chi usa l'AI in azienda di prendere misure per sostenere la formazione di chi la usa per suo conto: dipendenti, ma anche collaboratori esterni e fornitori di servizi. Il testo modificato dall'Omnibus precisa che non serve garantire un livello specifico di competenza a ogni persona.
Che cosa vuol dire in pratica? Secondo le FAQ della Commissione europea sull'alfabetizzazione AI, aggiornate al 27 luglio 2026, niente certificato, nessun formato di formazione obbligatorio, niente "AI officer" né comitato. Basta tenere registri interni di formazione e iniziative. Le sole istruzioni del fornitore, di solito, non bastano. Non c'è nemmeno l'obbligo di misurare quanto sanno i dipendenti. Le sanzioni le decidono le autorità nazionali, secondo la legge di ciascun Paese, in modo proporzionato. Nella nostra lettura, il testo dell'art. 4 non è tra gli obblighi che l'art. 99 elenca per le sanzioni: non è un motivo per ignorarlo.
Il registro è la parte che si dimentica più spesso, ed è la più semplice da fare: data, argomento, chi ha partecipato. Una riunione di un'ora sull'uso sicuro dell'AI, annotata su una pagina, è già un inizio.
Cosa cambia con la trasparenza su chatbot e contenuti generati?
Questo è il pezzo che tocca chi ha un chatbot sul sito o su WhatsApp. L'art. 50 non è stato rinviato: si applica dal 2 agosto 2026, quindi è già in vigore.
Il principio è semplice: chi parla con una macchina deve poterlo sapere. Il primo obbligo, però, sta in capo a chi progetta il sistema (art. 50, par. 1). Se il chatbot l'hai fatto costruire da un fornitore e lo usi con il tuo nome, il confine tra fornitore e utilizzatore non è sempre netto. È un caso da valutare con un consulente: le linee guida della Commissione su questo punto non le abbiamo verificate. Nel dubbio, dichiaralo. Una riga chiara al primo messaggio costa zero e ispira più fiducia di un disclaimer in fondo alla pagina.
Conviene quindi avvisare il cliente quando parla con un'AI, anche se l'obbligo principale non è tuo. Basta una frase nella firma delle risposte automatiche. Se hai un chatbot che risponde su WhatsApp, è il primo posto da controllare: ne parliamo nell'articolo sull'agente AI per WhatsApp.
Per i contenuti generati valgono due regole. I sistemi che producono testi, immagini, audio o video devono marcare l'output in un formato leggibile dalle macchine (art. 50, par. 2). Per i sistemi già sul mercato prima del 2 agosto 2026 il termine arriva il 2 dicembre 2026. La Commissione ha pubblicato il 10 giugno 2026 un Codice di buone pratiche su marcatura ed etichettatura: è volontario, ma ha una parte dedicata ai deployer.
Per te, come utilizzatore, la regola pratica è questa. Se pubblichi un deepfake, cioè un'immagine, un audio o un video generato che somiglia a persone, luoghi o eventi reali e può sembrare autentico, va dichiarato che è artificiale. Per le opere evidentemente artistiche, satiriche o di finzione basta segnalarne l'esistenza senza rovinare la fruizione (art. 50, par. 4, del regolamento). Se pubblichi testi generati su questioni di interesse pubblico, va dichiarato, a meno che una persona li abbia rivisti e ne risponda editorialmente.
C'è poi un'altra cosa, che non è un obbligo di trasparenza ma pesa lo stesso. La Legge 23 settembre 2025, n. 132 (la "legge 132/2025" sull'intelligenza artificiale), in vigore dal 10 ottobre 2025, ha introdotto il reato di illecita diffusione di contenuti generati o alterati con sistemi di AI (art. 612-quater del codice penale): deepfake diffusi senza consenso che causano un danno ingiusto, con reclusione da uno a cinque anni. Per la procedibilità rimandiamo al testo dell'art. 26 della legge su Normattiva. Lo citiamo come fatto, non come consiglio legale.
Cosa devo fare adesso?
Cinque regole da mettere nel tuo regolamento interno sull'AI, più una formazione che la legge chiede a tutti. Nessuna richiede un ufficio legale o un budget da grande azienda.
1. Decidi quali strumenti si usano. Niente account personali.
Fai una lista scritta degli strumenti AI ammessi e tienila aggiornata. Non solo quelli decisi dall'ufficio: anche il piano gratuito che qualcuno ha attivato con la carta personale. Per lavoro, solo account aziendali. Non puoi governare quello che non sai di avere. Se non sei sicuro che un'AI serva davvero per un certo processo, parti da quando usare l'intelligenza artificiale.
2. MAI dati di clienti o di terzi nell'AI.
Nomi, email, contratti, documenti dei clienti: restano fuori dalla chat. Ne parliamo in dati aziendali, AI e privacy.
Una nota onesta: è una regola interna prudente, non una legge. Il GDPR non vieta in assoluto di usare dati personali con l'AI, ma chiede una base giuridica, un'informativa e un accordo con il fornitore.
Prima di usare un fornitore, controlla. Chiediti dove finiscono i dati, se c'è un contratto che li tutela e se il fornitore li usa per addestrare i propri modelli. Le regole cambiano tra piani: per esempio, le API a pagamento di alcuni fornitori non usano i dati per addestrare, mentre le versioni gratuite di altri possono farlo. Leggi la pagina dei termini, non la scheda di vendita.
3. Ogni risultato dell'AI lo controlla una persona.
Una persona con nome e cognome, non «qualcuno». L'AI sbaglia anche quando sembra sicurissima.
Per i sistemi ad alto rischio, come la selezione dei CV, questo è un obbligo di legge: l'art. 14 e l'art. 26, par. 2 chiedono supervisione umana affidata a persone con competenza, formazione e autorità. Per i sistemi dell'Allegato III l'obbligo si applica dal 2 dicembre 2027.
4. Un errore dell'AI? Segnalalo.
Decidi a chi si segnala e come. Un errore nascosto si ripete.
Per i sistemi ad alto rischio, l'art. 26, par. 5 chiede a chi li usa di sorvegliarli, avvisare il fornitore se c'è un rischio e segnalare gli incidenti gravi a fornitore e autorità.
5. Rivedi e aggiorna il regolamento interno.
Gli strumenti cambiano in fretta, e le regole vanno ripassate. Metti la revisione in calendario. La frequenza la decidi tu: nessuna legge la fissa per il tuo regolamento.
+1. Insegna l'AI a chi la usa.
È l'obbligo che la legge chiede a tutte le aziende che usano l'AI, già visto nella sezione sugli obblighi in vigore: niente certificato. Basta formare chi usa l'AI e tenere un registro con data, argomento e partecipanti.
Non sono tutte scritte nella legge. Le regole 1, 2 e 5 sono buona pratica interna (per i dati vale anche il GDPR). Le regole 3 e 4 sono obblighi veri per chi usa sistemi ad alto rischio, come la selezione dei CV, da dicembre 2027. La formazione, la +1, la chiede l'AI Act a tutte le aziende che usano l'AI.
Per i professionisti c'è un passo in più. Se sei commercialista, consulente, architetto o lavori con un albo, l'art. 13 della Legge 132/2025 ammette l'AI solo come supporto alle attività, con il lavoro intellettuale che resta prevalente. E devi informare il cliente, con linguaggio chiaro, semplice ed esaustivo, dei sistemi AI che usi. Una sezione dedicata nella lettera d'incarico è un modo semplice per farlo.
Ti serve una mano a mettere ordine?
Questo articolo non è un parere legale. Ti dà il quadro e la lista delle cose da fare, ma la tua situazione va letta con un professionista, soprattutto se usi l'AI su dati personali o se il chatbot l'hai costruito tu. Le date sono aggiornate al 20 ottobre 2026: ricontrollale sul testo ufficiale su EUR-Lex prima di muoverti.
Se vuoi il riassunto in immagini, c'è il carosello su Instagram (@mainflayer): chi commenta REGOLE riceve in DM la guida con le 5 regole spiegate una per una.
Per il lato dei dati personali, il punto di partenza resta quello che abbiamo scritto su dati aziendali, AI e privacy. Se vuoi un referente umano che ti aiuti a capire da dove partire, scrivici dalla pagina contatti. Porta la lista degli strumenti che usi: è già metà del lavoro.