EU AI Act dal 02.08.2026.

Cos'è l'EU AI Act e perché riguarda le PMI?

L'EU AI Act (ufficialmente: regolamento UE 2024/1689 sull'intelligenza artificiale) è in vigore dal 2 agosto 2024, ma diventa vincolante per fasi. Regola l'uso dei sistemi IA nell'UE con un approccio basato sul rischio: i sistemi ad alto rischio (ad es. IA nella diagnosi medica, nella selezione del personale, nella concessione di credito) hanno bisogno di valutazioni di conformità complete. Il rischio più basso (IA nel contatto con i clienti, chatbot, voicebot, automazione del marketing) ha bisogno «solo» di obblighi di trasparenza, ma dal 2 agosto 2026 questi sono severi. Cosa molte titolari e molti titolari di PMI non sanno: anche se non sviluppi tu l'IA, ma la usi soltanto (parola chiave «deployer» nel regolamento), sei responsabile degli obblighi nella tua azienda. Chi usa un assistente telefonico IA, un chatbot o un'IA di marketing deve informare gli utenti finali e documentare l'uso per il proprio personale. Il regolamento vale in tutta l'UE, anche per i fornitori di Paesi terzi (USA, UK, Svizzera) quando mettono a disposizione i loro sistemi IA nell'UE. Chi quindi usa uno strumento statunitense o un altro fornitore di Paese terzo deve verificare se il fornitore supporta affatto gli obblighi.

I 4 obblighi principali per le PMI DACH nel 2026

Primo, art. 4 (alfabetizzazione sull'IA), già in vigore dal 2 febbraio 2025. Chi usa l'IA in azienda deve poter esibire una documentazione minima dei limiti d'uso e della logica di escalation. In pratica: un PDF che descrive come viene usata la tua IA, cosa non può fare, quando fa escalation a persone. Secondo, art. 50 (obbligo di trasparenza), vincolante dal 2 agosto 2026. Ogni persona che interagisce con il tuo sistema IA (chi chiama, chi visita la chat, i contatti e-mail) deve essere chiaramente informata al primo contatto. Per gli agenti voce significa: l'annuncio di saluto deve rivelare la natura di IA. Per i widget di chat: badge IA persistente. Per le e-mail: disclaimer nell'header. Terzo, art. 28 del GDPR (trattamento dei dati per conto), già obbligo dal 2018. Nell'uso di un'IA di terze parti deve esserci un DPA che regola il trattamento dei dati. Quarto, art. 22 del GDPR (decisioni automatizzate), per decisioni IA giuridicamente rilevanti deve essere possibile un'escalation umana. In pratica per l'IA di servizio clienti: in caso di reclami, contestazioni, disdette l'agente IA deve poter fare escalation a una persona.

• Art. 4 alfabetizzazione sull'IA: documentazione dei limiti d'uso + logica di escalation (dal 02.02.2025)
• Art. 50 obbligo di trasparenza: disclosure al primo contatto IA (dal 02.08.2026)
• GDPR art. 28: DPA con ogni fornitore IA
• GDPR art. 22: escalation umana per decisioni giuridicamente rilevanti

Le sanzioni dell'EU AI Act, cosa è davvero in gioco

L'EU AI Act prevede sanzioni graduate. Le violazioni degli obblighi più severi (pratiche IA vietate ai sensi dell'art. 5, social scoring, manipolazione, sorveglianza biometrica di massa) possono essere sanzionate fino a 35 milioni di euro o il 7 percento del fatturato annuo mondiale, il valore maggiore. Le violazioni degli obblighi per i sistemi IA ad alto rischio: fino a 15 milioni di euro o il 3 percento. Le violazioni degli obblighi di trasparenza (art. 50) e della maggior parte degli altri obblighi: fino a 15 milioni di euro o il 3 percento. Informazioni false o fuorvianti alle autorità: fino a 7,5 milioni di euro o l'1 percento. Per le PMI con fatturato annuo inferiore a 500 milioni di euro sono vincolanti i valori monetari (non la percentuale sul fatturato), ma 15 milioni di euro sono di fatto una minaccia esistenziale per una PMI DACH. Si aggiunge: in caso di violazioni ripetute l'autorità di vigilanza del mercato competente (in Germania: Bundesnetzagentur) può vietare il sistema IA o farlo ritirare dal mercato. Le sanzioni sono quindi solo la punta finanziaria dell'iceberg, il danno reputazionale e di perdita di business in caso di violazione è spesso più alto.

EU AI Act vs. GDPR, dove gli obblighi si sovrappongono e dove no

Molte PMI confondono l'EU AI Act e il GDPR. In realtà i due regolamenti sono complementari: il GDPR regola il trattamento dei dati personali (tutti i dati riconducibili a una persona fisica), l'EU AI Act regola l'uso dei sistemi IA indipendentemente dal fatto che vengano trattati dati personali. Nel contesto dell'IA di servizio clienti valgono entrambi contemporaneamente: il GDPR regola la gestione dei dati di chi chiama (hosting Hetzner, LLM UE, DPA, informative sulla privacy ai sensi dell'art. 13 del GDPR). L'EU AI Act regola in aggiunta l'obbligo di trasparenza (art. 50, chi chiama deve sapere di parlare con un'IA) e l'alfabetizzazione sull'IA (art. 4, chi usa l'IA deve conoscerne i limiti d'uso). In pratica per le PMI DACH: un fornitore IA conforme al GDPR non è automaticamente conforme all'AI Act. Ti servono entrambi, GDPR + art. 50 + art. 4. Rinqo soddisfa tutti e tre gli obblighi in un'unica piattaforma: Hetzner Germania (GDPR), annuncio di disclosure di default (art. 50), modelli di alfabetizzazione sull'IA da adattare (art. 4). Con i fornitori statunitensi devi verificare separatamente la conformità al GDPR (esposizione al Cloud Act, la volatilità del DPF resta) e implementare tu stesso la disclosure ai sensi dell'art. 50 (cosa spesso tecnicamente nemmeno possibile).

Come Rinqo soddisfa l'EU AI Act, in modo concreto e verificabile

Rinqo soddisfa tutti gli obblighi dell'EU AI Act per le PMI DACH dal giorno 1, senza che tu debba fare lavoro di compliance. Primo, art. 50 disclosure di default: ogni agente IA di Rinqo (telefono, chat, e-mail) al primo contatto fa un annuncio chiaro che si tratta di un'IA, il testo è modificabile in base alla tua brand voice, la disclosure in sé non è disattivabile. Per la voce: «Buongiorno, qui l'assistenza IA di [azienda]. Sta parlando con un'IA, la chiamata viene elaborata a fini di qualità.» Per la chat: badge IA persistente nell'header + banner d'ingresso. Per l'e-mail: disclaimer nel footer «Questa risposta è stata creata con il supporto dell'IA». Secondo, art. 4 alfabetizzazione sull'IA: modelli nella dashboard di Rinqo, che puoi adattare alla tua configurazione d'uso specifica, quali modelli IA vengono impiegati, quali dati vengono trattati, quali soglie di escalation valgono. Documenti una volta, mantieni la documentazione aggiornata alle modifiche di configurazione. Terzo, art. 28 del GDPR: il DPA viene fornito automaticamente alla firma del contratto, senza richiesta separata. Quarto, art. 13 del GDPR: le informative sulla privacy vengono annunciate automaticamente nell'agente voce all'inizio della conversazione. Quinto, hosting UE: Hetzner Falkenstein e Norimberga come sede di hosting, LLM UE su Microsoft Azure OpenAI dedicato (Microsoft Ireland Operations Ltd., Sweden Central, EU Data Boundary, Microsoft Corp. è la capogruppo statunitense, indicato in modo trasparente su /security), residenza dei dati UE per i tuoi dati cliente.