EU AI Act: l’art. 50 si applica dal 02.08.2026.

Cos'è l'EU AI Act e perché riguarda le PMI?

L'EU AI Act, ufficialmente Regolamento (UE) 2024/1689 sull'intelligenza artificiale, è entrato in vigore il 1° agosto 2024 e si applica per fasi. Classifica i sistemi di IA in base al rischio: alcune pratiche sono vietate, i sistemi ad alto rischio, per esempio nella selezione del personale o nella concessione di crediti, richiedono valutazioni della conformità, e l'IA nel contatto con i clienti è soggetta a obblighi di trasparenza. Il regolamento distingue due ruoli. Il fornitore sviluppa un sistema di IA e lo immette sul mercato. Il deployer lo utilizza nella propria azienda. Chi usa un assistente telefonico IA o un agente di chat è deployer. L'avviso che sta parlando o scrivendo un'IA spetta al fornitore ai sensi dell'art. 50, paragrafo 1. Il deployer garantisce, ai sensi dell'art. 4, l'alfabetizzazione in materia di IA del proprio personale e ha obblighi propri in casi particolari, per esempio per i deep fake o per i testi generati dall'IA che pubblica su questioni di interesse pubblico (art. 50, paragrafo 4). Il regolamento si applica anche ai fornitori di paesi terzi che offrono i loro sistemi di IA nell'UE. Chi usa lo strumento di un fornitore statunitense dovrebbe quindi verificare se l'avviso IA vi è effettivamente implementato.

I 4 obblighi principali per le PMI DACH nel 2026

Primo, art. 4 (alfabetizzazione in materia di IA), dal 2 febbraio 2025. Chi usa l'IA in azienda promuove l'alfabetizzazione in materia di IA delle persone che ci lavorano. Il regolamento non prescrive una forma precisa né un certificato, ma una breve descrizione interna aiuta: come viene usata l'IA, cosa non deve fare, quando passa la richiesta a una persona. Secondo, art. 50 (trasparenza), dal 2 agosto 2026. Chi parla o scrive con un sistema di IA deve saperlo chiaramente al più tardi al primo contatto. Al telefono significa che il saluto dichiara che sta parlando un'IA. In chat un avviso visibile, nelle e-mail un avviso nel testo. Questo obbligo spetta al fornitore ai sensi dell'art. 50, paragrafo 1. Terzo, art. 28 GDPR (trattamento per conto del titolare). Chi fa trattare dati personali da un fornitore di servizi ha bisogno di un accordo sul trattamento dei dati. Quarto, art. 22 GDPR (decisioni automatizzate). Le decisioni con effetti giuridici non possono basarsi unicamente su un trattamento automatizzato. Per un agente IA del servizio clienti significa che in caso di lamentele, reclami o disdette passa la richiesta a una persona.

• Art. 4 alfabetizzazione in materia di IA: formare chi lavora con l'IA (dal 02/02/2025)
• Art. 50 trasparenza: avviso IA al più tardi al primo contatto (dal 02/08/2026)
• Art. 28 GDPR: accordo sul trattamento dei dati con il fornitore di IA
• Art. 22 GDPR: passaggio a una persona per decisioni con effetti giuridici

Le sanzioni dell'EU AI Act, la loro entità in sintesi

L'art. 99 del Regolamento IA prevede tre livelli. Le violazioni delle pratiche vietate ai sensi dell'art. 5 possono essere sanzionate fino a 35 milioni di euro o al 7% del fatturato mondiale annuo; per le grandi imprese vale l'importo più alto. Le violazioni della maggior parte degli altri obblighi, tra cui l'art. 50, costano fino a 15 milioni di euro o il 3%. Le informazioni inesatte o fuorvianti fornite alle autorità, fino a 7,5 milioni di euro o l'1%. Per le piccole e medie imprese vale in ciascun caso il minore dei due importi, ai sensi dell'art. 99, paragrafo 6. L'Omnibus digitale ha esteso questa regola alle piccole imprese a media capitalizzazione con l'art. 99, paragrafo 6 bis, ma non per le pratiche vietate. Inoltre gli Stati membri devono tenere conto della situazione economica delle PMI e possono anche emettere avvertimenti anziché sanzioni pecuniarie.

EU AI Act vs. GDPR, dove gli obblighi si sovrappongono e dove no

Il GDPR disciplina come vengono trattati i dati personali. Il Regolamento IA disciplina a quali condizioni si usano i sistemi di IA, anche quando non sono coinvolti dati personali. Per un agente IA del servizio clienti valgono entrambi contemporaneamente. Dal GDPR derivano l'accordo sul trattamento dei dati, l'informativa privacy ai sensi dell'art. 13 e la questione di dove vengono trattati i dati. Dal Regolamento IA derivano l'avviso IA ai sensi dell'art. 50 e l'alfabetizzazione in materia di IA ai sensi dell'art. 4. Un fornitore che applica correttamente il GDPR non ha con ciò risolto l'avviso IA, e viceversa. In rinqo le due cose si integrano: hosting presso Hetzner in Germania, DPA, avviso IA in ogni canale, modelli per la descrizione dell'uso. Con fornitori con sede o hosting negli Stati Uniti si aggiunge la questione dei trasferimenti di dati verso paesi terzi, che dalla sentenza Schrems II della Corte di giustizia dell'UE richiede un esame particolare.

Come rinqo attua l'EU AI Act, in modo concreto e verificabile

Primo, l'avviso IA ai sensi dell'art. 50. In chat è sempre visibile che risponde un agente IA, e l'avviso compare anche prima del saluto. Nelle e-mail c'è un avviso che il messaggio è stato redatto con un assistente automatico; nessuno dei due si può disattivare. Al telefono il saluto standard contiene il riferimento all'IA. Il testo lo adatti tu, il riferimento dovrebbe restare. Secondo, art. 4: modelli per una breve descrizione dell'uso, che adatti alla tua configurazione. Terzo, art. 28 GDPR: il DPA è disponibile alla stipula del contratto. Quarto, art. 13 GDPR: il saluto standard al telefono contiene l'informativa privacy. Quinto, hosting e trattamento: Hetzner a Falkenstein e Norimberga, modelli linguistici con trattamento nell'UE garantito per contratto, nessun addestramento sui dati dei clienti. L'elenco completo dei sub-responsabili del trattamento si trova nell'account cliente.

Il Regolamento IA spiegato in modo semplice

Il Regolamento (UE) 2024/1689 è la legge europea sull'intelligenza artificiale. Che tu cerchi «Regolamento IA», «regolamento europeo sull'IA», «legge europea sull'IA» o «AI Act», si tratta della stessa norma. Classifica i sistemi di IA in base al rischio: le pratiche vietate sono proibite, i sistemi ad alto rischio richiedono ampie prove documentali, l'IA nel contatto con i clienti è soggetta a obblighi di trasparenza. Per la maggior parte delle PMI sono rilevanti due articoli. Dal 02/02/2025 l'art. 4 chiede alle aziende di promuovere l'alfabetizzazione in materia di IA delle persone che lavorano con l'IA. Una breve descrizione è utile, ma non obbligatoria: chi usa l'IA e per cosa, dove sono i limiti, quando interviene una persona. Dal 02/08/2026 l'art. 50 chiede che le persone sappiano quando parlano con un'IA. Questo obbligo spetta al fornitore del sistema di IA. Chi si limita a usare l'IA è chiamato nel regolamento «deployer» ed è responsabile soprattutto dell'alfabetizzazione in materia di IA del proprio team. Un assistente telefonico IA, un widget di chat o un agente e-mail rientrano in questo caso. In rinqo gli agenti telefono, chat ed e-mail si presentano come IA per impostazione predefinita. In chat e nelle e-mail l'avviso non si può disattivare, al telefono fa parte del saluto, il cui testo adatti tu.

Obbligo di trasparenza per l'IA: cosa richiede in concreto l'Art. 50

L'art. 50, paragrafo 1, del Regolamento IA obbliga i fornitori a progettare i sistemi di IA destinati a interagire direttamente con le persone in modo che queste siano informate di avere a che fare con un'IA, salvo che ciò risulti evidente. Ai sensi dell'art. 50, paragrafo 5, l'informazione deve essere chiara e riconoscibile, fornita al più tardi al primo contatto e conforme ai requisiti di accessibilità. È vincolante dal 02/08/2026. Non esiste un'esenzione per le PMI. Al telefono significa un annuncio a inizio chiamata, in chat un avviso visibile, nelle e-mail un avviso nel testo. Ai sensi dell'art. 50, paragrafi 3 e 4, i deployer hanno obblighi propri, per esempio per i sistemi di riconoscimento delle emozioni, i deep fake o i testi generati dall'IA su questioni di interesse pubblico. Le violazioni dell'art. 50 possono essere sanzionate fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, con l'importo più basso per le PMI. In rinqo l'avviso è attivo per impostazione predefinita in ogni canale rivolto ai clienti. In chat e nelle e-mail non si può disattivare, al telefono fa parte del saluto, il cui testo adatti tu. In più, l'accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR è disponibile alla stipula del contratto.

IA ad alto rischio: riguarda la mia azienda?

Gli agenti del servizio clienti di norma non sono IA ad alto rischio. L'allegato III del Regolamento IA elenca gli ambiti ad alto rischio, e il normale contatto con i clienti non ne fa parte. Ad alto rischio sarebbe per esempio un'IA che seleziona candidati o valuta dipendenti, un'IA che decide sul merito creditizio o un'IA che gestisce infrastrutture critiche. Sistemi di questo tipo richiedono valutazioni della conformità, gestione dei rischi e una sorveglianza umana documentata, dopo l'Omnibus digitale dal 2 dicembre 2027. Un agente IA che accetta le chiamate, risponde alle domande, prenota appuntamenti e inoltra i casi complessi alle persone non rientra in queste categorie. A esso si applicano gli obblighi di trasparenza dell'art. 50. Gli agenti rinqo rispondono, smistano e passano la richiesta. Non prendono decisioni su lavoro, crediti o altri ambiti dell'allegato III. Due limiti, detti onestamente. La classificazione dipende dall'uso concreto, non dal nome del prodotto: chi usa lo stesso agente per selezionare il personale entra nell'ambito ad alto rischio. E questa pagina è un orientamento, non una consulenza legale. I casi limite falli verificare da un legale.

Regolamento IA in sintesi: scadenze e obblighi 2026

Per le PMI contano due date: l'art. 4 si applica dal 02/02/2025, l'art. 50 dal 02/08/2026. Da febbraio 2025 promuovi l'alfabetizzazione in materia di IA delle persone che lavorano con l'IA. Non esiste un obbligo fisso di documentazione, ma una breve descrizione dei limiti d'uso e delle regole di passaggio aiuta comunque. Da agosto 2026 l'IA nel contatto con i clienti deve essere riconoscibile come IA; l'obbligo spetta al fornitore, ma conviene comunque verificarlo per ogni strumento che usi. Le violazioni dell'art. 50 costano fino a 15 milioni di euro o il 3% del fatturato mondiale annuo, per le PMI l'importo più basso. Cosa dovresti fare ora: primo, fai l'elenco di tutti gli strumenti di IA attivi nel contatto con i tuoi clienti. Secondo, assicurati che il tuo team sappia cosa l'IA sa fare e cosa no. Terzo, verifica per ogni strumento se l'avviso IA è attivo. Quarto, verifica se esiste un accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR. In rinqo l'avviso IA e il DPA sono presenti dal primo giorno. L'hosting è presso Hetzner a Falkenstein e Norimberga (ISO 27001:2022), i modelli linguistici trattano i dati nell'UE con garanzia contrattuale, senza addestramento sui dati dei tuoi clienti. Disdetta mensile.

• 02/02/2025: l'art. 4 sull'alfabetizzazione in materia di IA vale per ogni azienda che usa l'IA
• 02/08/2026: art. 50, avviso IA nel contatto con i clienti
• Sanzioni per l'art. 50: fino a 15 milioni di euro o il 3% del fatturato mondiale annuo, per le PMI l'importo più basso
• Da fare ora: censire gli strumenti di IA, formare il team, verificare l'avviso IA e il DPA