Se nella tua azienda utilizzi ChatGPT, chatbot, strumenti di AI generativa o intelligenza artificiale per marketing e customer care, il 2 agosto 2026 è una data da segnare sul calendario.
Da questa data si applicano gli obblighi di trasparenza previsti dall’Articolo 50 dell’AI Act, mentre il Digital Omnibus del 2026 ha rinviato alcune specifiche disposizioni relative ai sistemi di intelligenza artificiale classificati come ad alto rischio. La Commissione europea ha inoltre pubblicato il 20 luglio 2026 le linee guida definitive per aiutare aziende e fornitori a interpretare gli obblighi di trasparenza.
Per una normale PMI italiana, questo non significa dover smettere di utilizzare ChatGPT o bloccare l’intelligenza artificiale.
Significa però iniziare a chiedersi una cosa molto più concreta:
sappiamo davvero come viene utilizzata l’AI nella nostra azienda?
Quali strumenti utilizzano i dipendenti?
Quali dati vengono inseriti?
Il cliente sa quando sta parlando con un chatbot?
Chi controlla i contenuti generati dall’intelligenza artificiale?
E soprattutto: esiste una regola aziendale che impedisca a un dipendente di copiare dati riservati di un cliente dentro un servizio AI pubblico?
Se la risposta è “non lo so”, probabilmente il problema più urgente non è ChatGPT.
È la Shadow AI.
La prima cosa da chiarire è che l’AI Act non considera tutte le applicazioni di intelligenza artificiale allo stesso modo.
Il regolamento europeo segue un approccio basato sul rischio: gli obblighi cambiano in funzione del sistema utilizzato, della sua finalità e del ruolo dell’azienda.
Per questo motivo, dire semplicemente “da agosto 2026 tutte le aziende devono adeguarsi all’AI Act” è poco utile.
La domanda corretta è:
quali sistemi AI utilizza la mia azienda e quali obblighi si applicano a ciascuno?
Per una PMI che usa AI per marketing, vendite, assistenza clienti e produzione di contenuti, uno dei punti più immediati riguarda la trasparenza.
Gli obblighi dell’Articolo 50 si applicano dal 2 agosto 2026 e riguardano, tra gli altri, determinati sistemi che interagiscono direttamente con le persone e specifici contenuti generati o manipolati dall’AI.
Questo significa che il tema non è più soltanto tecnologico.
È diventato anche organizzativo, comunicativo e operativo.
In determinati casi, sì.
L’Articolo 50 prevede che i sistemi di AI destinati a interagire direttamente con persone fisiche siano progettati in modo da informare la persona che sta interagendo con un sistema di intelligenza artificiale, salvo quando ciò risulta già evidente dal contesto.
Per un’azienda che utilizza un chatbot sul proprio sito, quindi, la trasparenza non dovrebbe essere un dettaglio nascosto.
Un esempio semplice potrebbe essere:
Assistente virtuale AI
Sono l’assistente virtuale di [Nome Azienda]. Posso aiutarti a trovare informazioni sui nostri prodotti e servizi. Se necessario, posso indirizzarti a un operatore.
L’obiettivo non è rendere il chatbot meno efficace.
Al contrario.
Un utente che sa di parlare con un’intelligenza artificiale può capire meglio cosa aspettarsi dal servizio e quando chiedere l’intervento di una persona.
Uno degli errori più comuni è pensare che basti inserire una piccola dicitura generica nel footer del sito.
La logica dell’AI Act va nella direzione opposta: l’informazione deve essere chiara, distinguibile e fornita tempestivamente, in particolare quando una persona interagisce direttamente con un sistema AI.
La Commissione europea ha pubblicato linee guida specifiche proprio per chiarire come applicare questi obblighi nella pratica.
Per questo, se hai un chatbot aziendale, controlla almeno:
come viene presentato nella prima schermata;
quando viene comunicato all’utente che è un sistema AI;
quali dati raccoglie;
quali informazioni conserva;
se esiste la possibilità di passare a un operatore umano;
come vengono gestiti i dati personali;
quali fornitori tecnologici intervengono nel trattamento.
No.
Questa è una delle semplificazioni più diffuse e anche una delle più fuorvianti.
L’AI Act non introduce una regola secondo cui ogni articolo, email, post social o testo scritto con ChatGPT debba necessariamente riportare la dicitura “generato dall’AI”.
L’Articolo 50 distingue diversi scenari.
Tra gli obblighi previsti ci sono quelli relativi alla marcatura dei contenuti sintetici generati o manipolati dall’AI e specifiche regole per deepfake e determinati contenuti generati dall’AI destinati a informare il pubblico su questioni di interesse pubblico.
Il punto, quindi, non è applicare un’etichetta indiscriminatamente.
Il punto è capire quale regola si applica al contenuto che stai producendo e pubblicando.
Immagina che il reparto marketing utilizzi ChatGPT per preparare:
una newsletter;
una landing page;
una descrizione prodotto;
un articolo del blog;
un post LinkedIn;
una campagna Google Ads;
una bozza di email commerciale.
Non è corretto concludere automaticamente:
“Tutto ciò deve essere pubblicato con l’etichetta AI.”
È molto più utile introdurre un processo interno.
AI genera → una persona verifica → l’azienda decide cosa pubblicare → si applicano gli eventuali obblighi di trasparenza.
Questa distinzione è particolarmente importante perché l’AI Act considera anche il ruolo della revisione umana e del controllo editoriale in determinati casi relativi ai contenuti testuali.
Ed eccoci al punto che probabilmente interessa di più un titolare d’impresa.
Il rischio maggiore non è necessariamente il chatbot che hai acquistato e installato consapevolmente sul sito.
È l’intelligenza artificiale che i dipendenti stanno già utilizzando senza che nessuno abbia stabilito delle regole.
Questa situazione viene comunemente definita Shadow AI.
Un dipendente scopre ChatGPT e lo utilizza per velocizzare il lavoro.
Un commerciale copia dentro un prompt la richiesta di un cliente.
Un marketer carica un database per ottenere una segmentazione.
Un amministrativo incolla una parte di un documento finanziario.
Un project manager carica un contratto per farselo riassumere.
Dal punto di vista del dipendente, possono sembrare semplici scorciatoie.
Dal punto di vista dell’azienda, possono diventare problemi di privacy, riservatezza, sicurezza delle informazioni e governance.
Molte aziende reagiscono alla Shadow AI con una domanda:
“Chi usa ChatGPT?”
È una domanda poco efficace.
La risposta potrebbe essere:
“Io no.”
Ma magari quella stessa persona utilizza Copilot, Gemini, Claude, un generatore di immagini, un assistente AI integrato nel CRM o un’estensione del browser.
La domanda migliore è:
“Quali strumenti di intelligenza artificiale utilizzi per lavorare e quali informazioni inserisci al loro interno?”
Questa domanda fa emergere il vero perimetro dell’utilizzo dell’AI.
Non serve necessariamente creare un enorme progetto di compliance.
Per molte PMI il primo passo può essere molto più semplice.
L’obiettivo è costruire una governance AI minima, concreta e comprensibile anche da chi non è un tecnico.
Prima di cambiare qualsiasi cosa, devi capire cosa sta già succedendo.
Crea un inventario degli strumenti AI utilizzati.
Puoi partire da una tabella molto semplice:
| Strumento | Chi lo utilizza | Per cosa | Quali dati inserisce | Approvato? |
|---|---|---|---|---|
| ChatGPT | Marketing | Contenuti | Dati non riservati | Sì/No |
| Copilot | Commerciale | Informazioni clienti | Sì/No | |
| Chatbot | Customer care | Assistenza | Dati utenti | Sì/No |
| AI immagini | Marketing | Creatività | Brief campagne | Sì/No |
Non fermarti agli strumenti acquistati dall’azienda.
Chiedi esplicitamente ai dipendenti quali strumenti utilizzano per risparmiare tempo.
Potresti scoprire che l’azienda utilizza già molta più AI di quanto pensassi.
Se hai un chatbot sul sito, verifica subito come viene presentato all’utente.
Ma non fermarti alla frase iniziale.
Devi capire anche cosa succede dopo che l’utente inizia la conversazione.
Il chatbot dichiara chiaramente di essere un sistema AI?
L’utente sa con chi sta interagendo?
Quali informazioni vengono raccolte durante la conversazione?
Vengono raccolti dati personali?
Dove vengono elaborati i dati?
Quale fornitore tecnologico gestisce il servizio?
Per quanto tempo vengono conservate le conversazioni?
È possibile richiedere assistenza umana?
L’informativa privacy descrive correttamente il trattamento?
Sono presenti integrazioni con CRM, email marketing o altri software?
Qui entra in gioco un secondo grande quadro normativo: il GDPR.
AI Act e GDPR non sono la stessa normativa e non devono essere confusi.
Ma se il tuo chatbot tratta dati personali, devi valutare anche gli obblighi derivanti dalla normativa sulla protezione dei dati.
Per questo motivo, “abbiamo messo il chatbot sul sito” non dovrebbe essere la fine del progetto.
Dovrebbe essere l’inizio della verifica.
Questo è probabilmente il documento più utile che una PMI può creare.
E non deve necessariamente essere un manuale di 50 pagine.
Una prima AI Policy aziendale può tranquillamente essere un documento operativo di poche pagine, purché dica con chiarezza cosa si può fare e cosa no.
Indica quali piattaforme possono essere utilizzate per attività lavorative.
Per esempio:
ChatGPT;
Microsoft Copilot;
Google Gemini;
strumenti AI integrati nei software aziendali;
piattaforme AI approvate dall’azienda.
L’elenco deve essere aggiornato nel tempo.
Specifica per quali attività è consentito utilizzare l’AI.
Ad esempio:
brainstorming;
ricerca preliminare;
scrittura di bozze;
revisione linguistica;
traduzione;
sintesi di documenti autorizzati;
generazione di idee creative;
supporto alla programmazione;
analisi di dati non riservati.
Questa è probabilmente la parte più importante per una PMI.
Come regola interna prudenziale, l’azienda dovrebbe vietare ai dipendenti di inserire in strumenti AI pubblici o non autorizzati:
password;
credenziali di accesso;
chiavi API;
dati bancari;
numeri di carte di pagamento;
dati finanziari riservati;
informazioni strategiche non pubbliche;
segreti commerciali;
contratti riservati;
documenti interni confidenziali;
dati personali non necessari;
categorie particolari di dati personali;
informazioni riservate appartenenti ai clienti.
La policy dovrebbe inoltre specificare che non è sufficiente anonimizzare superficialmente un documento se il contenuto può comunque permettere di identificare una persona, un cliente o un progetto riservato.
Una policy AI efficace può contenere una regola che tutti riescono a ricordare:
Se non sei autorizzato a pubblicare un’informazione su internet, non inserirla in uno strumento AI pubblico senza una specifica autorizzazione aziendale.
È una regola semplice.
Non risolve ogni possibile scenario, ma crea immediatamente una barriera mentale importante.
La risposta corretta è:
dipende da come utilizzi l’intelligenza artificiale.
Non è corretto dire che l’AI Act impone automaticamente a ogni azienda di riscrivere la Privacy Policy perché utilizza ChatGPT.
AI Act e GDPR sono normative diverse.
Ma se introduci un chatbot, un sistema di profilazione, un assistente AI o un altro strumento che tratta dati personali, devi verificare se cambiano le informazioni che devi fornire agli interessati e le modalità con cui i dati vengono trattati.
In altre parole:
non aggiornare la Privacy Policy “perché lo dice l’AI Act”.
Aggiornala quando il nuovo trattamento o il nuovo sistema rende necessario aggiornare le informazioni e gli adempimenti privacy.
Questa distinzione evita anche un errore molto comune: trasformare la compliance AI in una semplice operazione di copywriting sul sito.
No, almeno non in senso generale.
Il Digital Omnibus del 2026 ha introdotto modifiche e semplificazioni importanti e ha spostato in avanti l’applicazione di alcune disposizioni relative ai sistemi classificati ad alto rischio.
In particolare, le regole del Chapter III, Sections 1, 2 e 3 per determinati sistemi high-risk sono state rinviate al 2 dicembre 2027 per i sistemi classificati ai sensi dell’Articolo 6(2) e dell’Allegato III e al 2 agosto 2028 per quelli classificati ai sensi dell’Articolo 6(1) e dell’Allegato I.
Per alcuni sistemi generativi immessi sul mercato prima del 2 agosto 2026, il Digital Omnibus ha inoltre previsto una scadenza specifica del 2 dicembre 2026 per gli adempimenti relativi all’Articolo 50(2).
Quindi attenzione alla frase:
“Siamo una PMI, quindi l’AI Act non ci riguarda.”
È una conclusione sbagliata.
La dimensione dell’impresa può incidere su determinati obblighi, misure di supporto e modalità di applicazione, ma non crea un’esenzione generale dall’AI Act.
Questo è un altro aspetto che le PMI dovrebbero iniziare a considerare.
L’AI Act prevede obblighi relativi all’AI literacy, cioè alla competenza e consapevolezza delle persone che utilizzano sistemi di AI per conto dell’organizzazione.
Per una piccola azienda non significa necessariamente organizzare un corso universitario sull’intelligenza artificiale.
Significa assicurarsi che le persone sappiano almeno:
quali strumenti possono utilizzare;
quali dati possono inserire;
quali dati non devono inserire;
quali sono i limiti dell’AI;
quando è necessaria una verifica umana;
quando occorre informare il cliente;
cosa fare se un sistema AI produce un risultato errato;
a chi segnalare un problema.
In pratica, formazione AI e policy interna dovrebbero andare insieme.
Se utilizzi l’intelligenza artificiale nel marketing, crea un piccolo processo di approvazione.
Chiediti:
Il contenuto contiene informazioni vere e verificabili?
Sono presenti affermazioni commerciali che devono essere controllate?
Sono stati utilizzati dati riservati?
Sono state utilizzate immagini o volti generati artificialmente?
Il contenuto potrebbe essere interpretato come autentico quando non lo è?
Si applica uno specifico obbligo di trasparenza?
Una persona ha revisionato il contenuto prima della pubblicazione?
L’AI può produrre una prima versione in pochi secondi.
La responsabilità del contenuto pubblicato rimane però un problema dell’organizzazione.
Il tema diventa ancora più importante per agenzie, e-commerce e reparti marketing.
Oggi puoi generare in pochi secondi:
fotografie di prodotto;
persone inesistenti;
testimonial virtuali;
ambientazioni;
video;
avatar;
voice-over;
creatività pubblicitarie.
L’AI Act introduce specifici obblighi di trasparenza per determinate categorie di contenuti generati o manipolati artificialmente, compresi i deepfake. La Commissione europea ha inoltre approvato nel luglio 2026 il Codice di buone pratiche sulla trasparenza dei contenuti generati dall’AI come strumento per facilitare l’adempimento degli obblighi di marcatura ed etichettatura previsti dall’Articolo 50.
Per questo una PMI che utilizza massicciamente AI generativa nel marketing dovrebbe avere una procedura interna per decidere:
cosa generiamo → cosa controlliamo → cosa pubblichiamo → cosa dobbiamo dichiarare.
Se sei un titolare d’azienda e vuoi capire rapidamente da dove partire, prova a rispondere a queste domande.
La mia azienda utilizza ChatGPT o altri strumenti AI?
Sappiamo quali strumenti AI utilizzano i dipendenti?
Abbiamo un elenco degli strumenti autorizzati?
Abbiamo un chatbot sul sito?
Il chatbot comunica chiaramente che è un sistema AI?
Abbiamo verificato quali dati raccoglie il chatbot?
Abbiamo verificato i fornitori AI utilizzati dall’azienda?
Abbiamo controllato i relativi trattamenti di dati personali?
Abbiamo stabilito quali informazioni non devono mai essere inserite in strumenti AI pubblici?
Abbiamo definito chi può utilizzare l’AI per attività lavorative?
I contenuti generati dall’AI vengono sottoposti a controllo umano quando necessario?
Abbiamo una policy interna sull’utilizzo dell’intelligenza artificiale?
I dipendenti hanno ricevuto indicazioni pratiche sull’utilizzo dell’AI?
Abbiamo una procedura per gestire nuovi strumenti AI prima della loro introduzione?
Se hai risposto “no” a molte di queste domande, non significa necessariamente che la tua azienda sia fuori norma.
Significa però che non hai ancora una visione sufficientemente chiara dell’AI che stai utilizzando.
Ed è esattamente da lì che conviene partire.
Per anni molte aziende hanno gestito la tecnologia secondo una logica semplice:
acquisto → installazione → utilizzo.
Con l’intelligenza artificiale questo modello non è più sufficiente.
L’AI può prendere informazioni da un prompt, trasformarle, combinarle con altre informazioni e produrre un risultato che viene poi utilizzato per comunicare con clienti, dipendenti o fornitori.
Ecco perché la domanda fondamentale non dovrebbe essere:
“Possiamo usare ChatGPT?”
Dovrebbe essere:
“Quali informazioni possiamo affidare a questo strumento e con quali controlli?”
È una differenza enorme.
Di fronte alla Shadow AI, alcune aziende scelgono la soluzione apparentemente più semplice:
“Da oggi ChatGPT è vietato.”
Il problema è che il dipendente continuerà ad avere un problema da risolvere.
Potrebbe quindi utilizzare:
un altro chatbot;
un account personale;
un’estensione del browser;
un altro servizio AI;
uno strumento integrato in un software aziendale.
Il risultato sarebbe esattamente l’opposto di quello desiderato.
La soluzione più intelligente è trasformare il divieto generico in una regola di utilizzo controllato.
Non:
“Non utilizzare l’AI.”
Ma:
“Puoi utilizzare questi strumenti, per queste attività, con questi dati e rispettando queste regole.”
Questa è governance.
Se dovessimo trasformare tutto questo in un piano estremamente pratico, partirei da cinque azioni.
Chiedi ai dipendenti quali strumenti AI utilizzano e per quali attività.
Non cercare subito di giudicare.
Prima devi capire cosa succede realmente.
Verifica disclosure, raccolta dati, fornitori, conservazione delle conversazioni e collegamenti con altri sistemi.
Stabilisci nero su bianco quali dati non devono essere inseriti in strumenti AI pubblici o non approvati.
Non servono necessariamente decine di pagine.
Un documento interno chiaro, concreto e aggiornabile è molto più utile di un regolamento che nessuno legge.
Una policy senza formazione rischia di diventare semplicemente un PDF dimenticato in una cartella.
Le persone devono sapere perché esistono le regole e come applicarle durante il lavoro quotidiano.
No.
L’AI Act non vieta in generale l’utilizzo di ChatGPT o dell’AI generativa.
Gli obblighi dipendono dal sistema, dal caso d’uso, dal ruolo dell’organizzazione e dal rischio associato.
Il primo passo è quindi mappare gli strumenti utilizzati e capire quali obblighi si applicano.
L’Articolo 50 prevede, per i sistemi AI destinati a interagire direttamente con persone fisiche, che queste siano informate della natura artificiale dell’interazione, salvo quando ciò sia già evidente dal contesto. Gli obblighi di trasparenza dell’Articolo 50 si applicano dal 2 agosto 2026.
Non automaticamente.
L’AI Act prevede obblighi diversi a seconda del tipo di contenuto, del modo in cui viene generato o manipolato e del suo utilizzo. In particolare, l’Articolo 50 disciplina specificamente determinati contenuti sintetici, deepfake e alcuni testi generati dall’AI relativi a questioni di interesse pubblico.
No, non esiste un’esenzione generale per il semplice fatto di essere una PMI.
Il Digital Omnibus ha modificato e rinviato alcune disposizioni, soprattutto in relazione a determinati sistemi high-risk, ma non ha cancellato gli obblighi applicabili alle PMI in quanto tali.
Non dovrebbe essere una decisione lasciata al singolo dipendente.
Prima bisogna verificare il tipo di dato, la finalità, lo strumento utilizzato, le condizioni del servizio, le impostazioni disponibili, gli eventuali trasferimenti e gli obblighi derivanti dalla normativa applicabile.
Come regola aziendale prudenziale, dati personali non necessari, dati finanziari riservati, credenziali, segreti commerciali e informazioni confidenziali dei clienti non dovrebbero essere inseriti in strumenti AI pubblici o non autorizzati.
Non automaticamente.
AI Act e GDPR sono normative differenti.
Tuttavia, se un nuovo sistema AI tratta dati personali o modifica le modalità con cui vengono trattati, è necessario verificare gli obblighi privacy applicabili e, se necessario, aggiornare le informazioni fornite agli interessati e la documentazione aziendale.
No.
Il Digital Omnibus ha rinviato specifiche disposizioni del Chapter III, Sections 1, 2 e 3: al 2 dicembre 2027 per i sistemi high-risk classificati ai sensi dell’Articolo 6(2) e dell’Allegato III e al 2 agosto 2028 per quelli classificati ai sensi dell’Articolo 6(1) e dell’Allegato I.
Questo però non significa che il 2 agosto 2026 sia irrilevante: gli obblighi di trasparenza dell’Articolo 50 sono entrati nella loro fase di applicazione, con le specifiche eccezioni e disposizioni transitorie previste dal regolamento modificato.
Il vero cambiamento introdotto dall’AI Act non è soltanto normativo.
È culturale.
L’intelligenza artificiale è ormai abbastanza potente da entrare nei processi aziendali senza passare necessariamente dalla direzione IT.
Un dipendente può adottare un nuovo strumento in cinque minuti.
Un reparto marketing può automatizzare una parte della produzione dei contenuti in un pomeriggio.
Un’azienda può installare un chatbot sul proprio sito e iniziare a ricevere conversazioni con potenziali clienti lo stesso giorno.
La velocità è un vantaggio enorme.
Ma crea anche un nuovo problema:
la tecnologia può diventare parte dell’azienda prima ancora che l’azienda abbia deciso come governarla.
È qui che nasce la Shadow AI.
Per una PMI, quindi, il primo obiettivo non dovrebbe essere costruire una struttura burocratica gigantesca.
Dovrebbe essere molto più semplice:
sapere quali AI utilizza, chi le utilizza, quali dati vengono inseriti, cosa vede il cliente e chi è responsabile del risultato.
Se oggi non sai rispondere a queste cinque domande, quello è il punto da cui partire.
Non devi aspettare il prossimo aggiornamento normativo.
Devi iniziare a governare l’AI che la tua azienda sta già utilizzando.
1. Mappa l’AI.
Scopri quali strumenti vengono realmente utilizzati in azienda.
2. Dichiara il chatbot.
Quando si applicano gli obblighi di trasparenza, l’utente deve sapere che sta interagendo con un sistema AI.
3. Controlla i contenuti.
Non tutti i contenuti generati dall’AI hanno lo stesso obbligo di etichettatura: valuta il caso concreto.
4. Proteggi i dati.
Non lasciare ai dipendenti la decisione individuale su quali informazioni inserire negli strumenti AI.
5. Scrivi una AI Policy.
Poche pagine chiare possono essere più utili di decine di pagine teoriche che nessuno consulta.
Commissione europea — Orientamenti sugli obblighi di trasparenza per i fornitori e gli operatori di sistemi di IA.
Commissione europea — Commission publishes guidelines on transparency obligations for providers and deployers of certain AI systems.
Commissione europea — Codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA.
EUR-Lex — Regolamento (UE) 2026/1744, Digital Omnibus on AI.
Questo articolo ha finalità informative e non costituisce consulenza legale. L’applicazione dell’AI Act e del GDPR dipende dal sistema utilizzato, dal ruolo dell’organizzazione, dalle finalità del trattamento e dalle caratteristiche del singolo caso.
Copyright © 2026 Prima Digitale | Porcu Simone P.IVA 11507330014
Sede Legale: Via San Quintino 42, 10121 Torino
PEC: primadigitale@pec.it
