AI Act per il Deployer: le scadenze e le sanzioni che ogni azienda italiana deve conoscere
Descrizione del post del blog.
EXECUTIVE SEARCHLEADERSHIP & MANAGEMENTDIGITALINDUSTRY TRANSFORMATIONITALIANOAI STRATEGYPRIVATE EQUITY & VC
AI Act per il Deployer: le scadenze e le sanzioni che ogni azienda italiana deve conoscere
La maggior parte delle aziende italiane che usa l'AI, non la produce, è un "deployer" ai sensi del Regolamento UE 2024/1689. Tra scadenze rinviate dal Digital Omnibus, sanzioni fino al 7% del fatturato globale e un decreto penale ancora in cantiere, la mappa reale degli obblighi è più complessa, e in parte diversa, da come circola online.
Chi usa professionalmente un sistema di AI, senza averlo costruito, è un deployer. È la stragrande maggioranza delle aziende italiane: chi usa un chatbot per il servizio clienti, un tool di screening per le assunzioni, un sistema di scoring per il credito, un software che genera contenuti di marketing. Non è un ruolo tecnico di nicchia. È la posizione in cui si trova, oggi, quasi ogni PMI e ogni grande impresa che ha introdotto uno strumento di AI in un processo aziendale.
Il problema è che la mappa degli obblighi per i deployer, tra AI Act europeo, il recente Digital Omnibus che ne ha rivisto parte del calendario, e la Legge 132/2025 che l'Italia ha aggiunto sopra, cambia più in fretta di quanto le sintesi che circolano online riescano a registrare. Alcune circolano già superate. Altre anticipano norme che, semplicemente, non sono ancora legge.
Le scadenze che contano davvero
Due obblighi sono già pienamente attivi dal 2 febbraio 2025: il divieto delle pratiche vietate (Art. 5, tra cui social scoring e biometria in tempo reale in contesti non consentiti) e l'obbligo di alfabetizzazione AI del personale (Art. 4). Chi non ha ancora avviato percorsi di formazione documentata per chi usa sistemi di AI in azienda è, tecnicamente, già fuori norma da un anno e mezzo.
Il 2 agosto 2026 resta la data spartiacque per la trasparenza. L'Art. 50 impone di rendere riconoscibile, in formato leggibile da macchina, ogni contenuto sintetico generato o manipolato dall'AI: immagini, audio, video e testi. Per i testi, la soglia tecnica è precisa, marcatura obbligatoria sopra i 200 token (circa 150 parole) su temi di interesse pubblico, con un'esenzione se il contenuto ha subito una revisione editoriale sostanziale e documentata da una persona che se ne assume la responsabilità. Per i sistemi già sul mercato prima di questa data, c'è una proroga tecnica al 2 dicembre 2026 per adeguare l'etichettatura, un dettaglio operativo utile per chi sta pianificando l'implementazione.
Qui arriva la correzione più importante rispetto a quanto circola online: i sistemi ad alto rischio (Allegato III: selezione del personale, credito, biometria, servizi pubblici essenziali) non entrano in vigore ad agosto 2026 né a dicembre 2026. Il Digital Omnibus, il pacchetto che ha rivisto parte del calendario dell'AI Act, ha completato il proprio iter con l'approvazione definitiva del Parlamento Europeo il 16 giugno 2026 ed è entrato in vigore il 27 luglio 2026: non è più una proposta in discussione, è calendario vigente. Ha spostato la scadenza dell'alto rischio al 2 dicembre 2027 per i sistemi stand-alone e al 2 agosto 2028 per quelli integrati in prodotti (come ascensori o giocattoli). Chi sta pianificando la compliance sui sistemi ad alto rischio ha più tempo di quanto molte sintesi ancora suggeriscano, ma attenzione: il rinvio riguarda solo l'alto rischio. Trasparenza e alfabetizzazione restano scadenze reali, confermate e non rinviate.
Le sanzioni: tre livelli, non cinque
Il Regolamento UE stabilisce tre soglie sanzionatorie, e sono queste, non varianti nazionali ridotte, quelle applicabili anche in Italia: fino a 35 milioni di euro o il 7% del fatturato globale annuo per le pratiche vietate; fino a 15 milioni o il 3% per la violazione degli altri obblighi, compresa la supervisione umana sui sistemi ad alto rischio prevista dall'Art. 26 per i deployer; fino a 7,5 milioni o l'1% per informazioni inesatte, incomplete o fuorvianti fornite alle autorità. Per le PMI si applica sempre l'importo più basso tra la cifra fissa e la percentuale, non il più alto.
In Italia, AgID fa da autorità di notifica e ACN da autorità di vigilanza del mercato, con potere ispettivo e sanzionatorio; il Garante Privacy mantiene le proprie competenze quando il sistema di AI tratta anche dati personali. Tre autorità, tre possibili interlocutori sullo stesso incidente: una carenza di coordinamento interno può moltiplicare gli oneri di risposta più del necessario.
Cosa è già legge in Italia, e cosa no
La Legge 132/2025, in vigore dal 10 ottobre 2025, ha introdotto un reato che è già pienamente operativo: l'Art. 612-quater del codice penale, diffusione illecita di contenuti generati o alterati con l'AI (i deepfake non consensuali), punito con la reclusione da uno a cinque anni.
Diverso è il discorso per l'obbligo più citato nelle sintesi che circolano online, il nuovo Art. 437-bis c.p. sull'omessa adozione di misure di sicurezza nei sistemi di AI, con pena fino a otto anni nei casi più gravi legati alla sicurezza pubblica o dello Stato. Questa norma esiste, ma non è ancora legge: è contenuta in uno dei due schemi di decreto legislativo attuativo approvati solo in esame preliminare dal Consiglio dei Ministri il 10 giugno 2026. Devono ancora passare al vaglio delle Commissioni parlamentari e della Conferenza delle Regioni prima dell'entrata in vigore definitiva. Presentarla come pienamente vigente oggi sarebbe un errore, ma ignorarla nella pianificazione sarebbe un errore anche più grande: lo stesso schema di decreto estende la responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001 con un nuovo Art. 25-vicies, che copre sia il 437-bis sia il 612-quater. Per chi si occupa di modelli organizzativi, è il momento di iniziare ad aggiornarli, non di aspettare la pubblicazione in Gazzetta.
Perché la documentazione è la vera difesa
Due elementi meritano attenzione particolare da parte di chi guida un'organizzazione. Il primo riguarda la responsabilità civile: gli schemi di decreto in esame introducono la possibilità per il giudice di ordinare l'esibizione della documentazione tecnica del sistema di AI e, soprattutto, una presunzione relativa sul nesso causale del danno in caso di violazione degli obblighi dell'AI Act. In pratica, se un'azienda non ha conservato la documentazione richiesta, l'onere di dimostrare che il danno non dipende dal sistema di AI si sposta su di essa.
Il secondo riguarda l'alfabetizzazione AI: una formazione tracciata, documentata e realmente erogata al personale è, oggi, il principale strumento a disposizione del management per escludere la colpa grave in caso di incidente algoritmico. Non è un adempimento burocratico da archiviare. È la prova che, se richiesta da un'autorità o da un giudice, un'organizzazione deve poter produrre.
Da dove iniziare
La domanda pratica per chi guida un'organizzazione oggi non è se conformarsi, l'AI Act è un regolamento europeo, si applica per definizione. È se l'azienda sa esattamente a che punto è: quali sistemi di AI usa, con quale livello di rischio, con quale documentazione, con quale formazione già erogata al personale. È la prima cosa che verificherei se dovessi valutare la maturità di gestione di un'organizzazione, sia in una due diligence pre-acquisizione sia nella scelta di chi dovrà guidarla.
Ho costruito uno strumento gratuito per rispondere esattamente a questa domanda in pochi minuti: AI Scan, una mappatura rapida del livello di prontezza della tua organizzazione rispetto agli obblighi AI Act e Legge 132/2025.
Silvio Fontaneto è Strategic Advisor e Executive Search specialist in Digital, Tech e AI. Senior Partner, Beaumont Group. Autore di "Stop Fearing AI". Questo articolo ha finalità informativa e non costituisce consulenza legale: per la valutazione di casi specifici rivolgersi a un legale specializzato in diritto delle nuove tecnologie.
Esplora il Knowledge Hub completo: www.silviofontaneto.com 📬 Iscriviti alla newsletter "AI Impact on Business": LinkedIn Newsletter Approfondisci: www.silviofontaneto.com/articles (filtra: AI Strategy)
#AIStrategy #AIAct #Compliance #DigitalTransformation #BoardAdvisory #RiskManagement
Connect
Reach out for tailored AI leadership guidance
© 2026 Silvio Fontaneto. All rights reserved.