EU AI Act dal 02.08.2026.

Cos'è l'EU AI Act e perché riguarda le PMI?

L'EU AI Act (ufficialmente: regolamento UE 2024/1689 sull'intelligenza artificiale) è in vigore dal 2 agosto 2024, ma diventa vincolante per fasi. Regola l'uso dei sistemi IA nell'UE con un approccio basato sul rischio: i sistemi ad alto rischio (ad es. IA nella diagnosi medica, nella selezione del personale, nella concessione di credito) hanno bisogno di valutazioni di conformità complete. Il rischio più basso (IA nel contatto con i clienti, chatbot, voicebot, automazione del marketing) ha bisogno «solo» di obblighi di trasparenza, ma dal 2 agosto 2026 questi sono severi. Cosa molte titolari e molti titolari di PMI non sanno: anche se non sviluppi tu l'IA, ma la usi soltanto (parola chiave «deployer» nel regolamento), sei responsabile degli obblighi nella tua azienda. Chi usa un assistente telefonico IA, un chatbot o un'IA di marketing deve informare gli utenti finali e documentare l'uso per il proprio personale. Il regolamento vale in tutta l'UE, anche per i fornitori di Paesi terzi (USA, UK, Svizzera) quando mettono a disposizione i loro sistemi IA nell'UE. Chi quindi usa uno strumento statunitense o un altro fornitore di Paese terzo deve verificare se il fornitore supporta affatto gli obblighi.

I 4 obblighi principali per le PMI DACH nel 2026

Primo, art. 4 (alfabetizzazione sull'IA), già in vigore dal 2 febbraio 2025. Chi usa l'IA in azienda deve poter esibire una documentazione minima dei limiti d'uso e della logica di escalation. In pratica: un PDF che descrive come viene usata la tua IA, cosa non può fare, quando fa escalation a persone. Secondo, art. 50 (obbligo di trasparenza), vincolante dal 2 agosto 2026. Ogni persona che interagisce con il tuo sistema IA (chi chiama, chi visita la chat, i contatti e-mail) deve essere chiaramente informata al primo contatto. Per gli agenti voce significa: l'annuncio di saluto deve rivelare la natura di IA. Per i widget di chat: badge IA persistente. Per le e-mail: disclaimer nell'header. Terzo, art. 28 del GDPR (trattamento dei dati per conto), già obbligo dal 2018. Nell'uso di un'IA di terze parti deve esserci un DPA che regola il trattamento dei dati. Quarto, art. 22 del GDPR (decisioni automatizzate), per decisioni IA giuridicamente rilevanti deve essere possibile un'escalation umana. In pratica per l'IA di servizio clienti: in caso di reclami, contestazioni, disdette l'agente IA deve poter fare escalation a una persona.

• Art. 4 alfabetizzazione sull'IA: documentazione dei limiti d'uso + logica di escalation (dal 02.02.2025)
• Art. 50 obbligo di trasparenza: disclosure al primo contatto IA (dal 02.08.2026)
• GDPR art. 28: DPA con ogni fornitore IA
• GDPR art. 22: escalation umana per decisioni giuridicamente rilevanti

Le sanzioni dell'EU AI Act, la loro entità in sintesi

L'EU AI Act prevede sanzioni graduate. Le violazioni degli obblighi più severi (pratiche IA vietate ai sensi dell'art. 5, social scoring, manipolazione, sorveglianza biometrica di massa) possono essere sanzionate fino a 35 milioni di euro o il 7 percento del fatturato annuo mondiale, il valore maggiore. Le violazioni degli obblighi per i sistemi IA ad alto rischio: fino a 15 milioni di euro o il 3 percento. Le violazioni degli obblighi di trasparenza (art. 50) e della maggior parte degli altri obblighi: fino a 15 milioni di euro o il 3 percento. Informazioni false o fuorvianti alle autorità: fino a 7,5 milioni di euro o l'1 percento. Per le PMI con fatturato annuo inferiore a 500 milioni di euro sono vincolanti i valori monetari (non la percentuale sul fatturato). In pratica, per la maggior parte delle PMI sono soprattutto rilevanti gli obblighi di trasparenza ai sensi dell'art. 50, e proprio quelli rinqo li copre di default.

EU AI Act vs. GDPR, dove gli obblighi si sovrappongono e dove no

Molte PMI confondono l'EU AI Act e il GDPR. In realtà i due regolamenti sono complementari: il GDPR regola il trattamento dei dati personali (tutti i dati riconducibili a una persona fisica), l'EU AI Act regola l'uso dei sistemi IA indipendentemente dal fatto che vengano trattati dati personali. Nel contesto dell'IA di servizio clienti valgono entrambi contemporaneamente: il GDPR regola la gestione dei dati di chi chiama (hosting Hetzner, elaborazione LLM nell'UE, DPA, informative sulla privacy ai sensi dell'art. 13 del GDPR). L'EU AI Act regola in aggiunta l'obbligo di trasparenza (art. 50, chi chiama deve sapere di parlare con un'IA) e l'alfabetizzazione sull'IA (art. 4, chi usa l'IA deve conoscerne i limiti d'uso). In pratica per le PMI DACH: un fornitore IA conforme al GDPR non è automaticamente conforme all'AI Act. Ti servono entrambi, GDPR + art. 50 + art. 4. rinqo soddisfa tutti e tre gli obblighi in un'unica piattaforma: Hetzner Germania (GDPR), annuncio di disclosure di default (art. 50), modelli di alfabetizzazione sull'IA da adattare (art. 4). Con i fornitori statunitensi devi verificare separatamente la conformità al GDPR (esposizione al Cloud Act, la volatilità del DPF resta) e implementare tu stesso la disclosure ai sensi dell'art. 50 (cosa spesso tecnicamente nemmeno possibile).

Come rinqo soddisfa l'EU AI Act, in modo concreto e verificabile

rinqo soddisfa tutti gli obblighi dell'EU AI Act per le PMI DACH dal giorno 1, senza che tu debba fare lavoro di compliance. Primo, art. 50 disclosure di default: ogni agente IA di rinqo (telefono, chat, e-mail) al primo contatto fa un annuncio chiaro che si tratta di un'IA, il testo è modificabile in base alla tua brand voice, la disclosure in sé non è disattivabile. Per la voce: «Buongiorno, qui l'assistenza IA di [azienda]. Sta parlando con un'IA, la chiamata viene elaborata a fini di qualità.» Per la chat: badge IA persistente nell'header + banner d'ingresso. Per l'e-mail: disclaimer nel footer «Questa risposta è stata creata con il supporto dell'IA». Secondo, art. 4 alfabetizzazione sull'IA: modelli nella dashboard di rinqo, che puoi adattare alla tua configurazione d'uso specifica, quali modelli IA vengono impiegati, quali dati vengono trattati, quali soglie di escalation valgono. Documenti una volta, mantieni la documentazione aggiornata alle modifiche di configurazione. Terzo, art. 28 del GDPR: il DPA viene fornito automaticamente alla firma del contratto, senza richiesta separata. Quarto, art. 13 del GDPR: le informative sulla privacy vengono annunciate automaticamente nell'agente voce all'inizio della conversazione. Quinto, hosting UE: Hetzner Falkenstein e Norimberga come sede di hosting, modelli IA con trattamento dei dati contrattualmente garantito nell'UE (EU Data Boundary, nessun addestramento sui dati dei clienti; i sub-responsabili sono indicati in modo trasparente su /security), residenza dei dati UE per i tuoi dati cliente.

Il Regolamento IA spiegato in modo semplice

Il Regolamento IA (UE) 2024/1689 è la legge europea sull'intelligenza artificiale. Stabilisce a quali condizioni le aziende possono usare l'IA. Se cerchi «Regolamento IA», «regolamento europeo sull'intelligenza artificiale», «legge europea sull'IA» o «AI Act», parli sempre della stessa norma. Il nome inglese è EU AI Act, il titolo ufficiale è regolamento sull'intelligenza artificiale. Il regolamento classifica i sistemi di IA in base al rischio: alcune pratiche sono vietate del tutto, i sistemi ad alto rischio richiedono una documentazione estesa, l'IA a contatto con i clienti è soggetta a obblighi di trasparenza. Per la maggior parte delle PMI contano due articoli. L'Art. 4 richiede dal 02.02.2025 una competenza documentata in materia di IA in azienda: chi usa l'IA e per cosa, dove stanno i limiti, quando subentra una persona. L'Art. 50 richiede dal 02.08.2026 che l'IA a contatto con i clienti finali venga dichiarata come tale. Importante: gli obblighi ti riguardano anche se l'IA la usi soltanto, senza svilupparla. Il regolamento chiama questo ruolo «deployer», cioè chi impiega un sistema di IA sotto la propria responsabilità. Un assistente telefonico con IA, un widget di chat o un agente e-mail rientrano in questa categoria. rinqo si occupa della parte tecnica. Gli agenti telefonico, di chat ed e-mail si dichiarano come IA nel contatto con i clienti per impostazione predefinita. Puoi adattare il testo, ma non puoi disattivare la dichiarazione. La configurazione richiede circa 10 minuti e gli agenti lavorano in 17 lingue.

Obbligo di trasparenza per l'IA: cosa richiede in concreto l'Art. 50

L'obbligo di trasparenza significa che ogni persona deve sapere chiaramente quando interagisce con un'IA. Lo stabilisce l'Art. 50 del Regolamento IA 2024/1689, vincolante dal 02.08.2026. Chi è coinvolto? Ogni azienda che usa l'IA nel contatto con i clienti, indipendentemente da dimensioni e settore. Non esistono eccezioni per le PMI né soglie minime di dipendenti. Cosa richiede in concreto l'obbligo? Al telefono, un annuncio a inizio chiamata che dichiara l'IA. In chat, un avviso visibile che a rispondere è un agente IA. Nelle e-mail, un'indicazione che la risposta è stata redatta con il supporto dell'IA. L'informazione deve arrivare al primo contatto, non da qualche parte nelle note legali. Cosa succede in caso di violazione? Sanzioni fino a 15 milioni di euro o al 3% del fatturato annuo mondiale, a seconda di quale importo è più alto. Come lo risolve rinqo? In ogni canale rivolto ai clienti (telefono, chat, e-mail) la dichiarazione è attiva per impostazione predefinita. Puoi adattare il testo al tuo brand, ad esempio saluto e tono. Disattivare la dichiarazione non è possibile, ed è una scelta voluta. Così l'obbligo di trasparenza dell'Art. 50 è coperto tecnicamente dalla prima chiamata, senza un setup legale dedicato. In aggiunta, alla firma del contratto ricevi l'accordo sul trattamento dei dati (DPA) ai sensi dell'Art. 28 GDPR.

IA ad alto rischio: riguarda la mia azienda?

Gli agenti per il servizio clienti di norma non sono IA ad alto rischio. L'allegato III del Regolamento IA elenca gli ambiti ad alto rischio, e il normale contatto con i clienti non ne fa parte. Alto rischio sarebbe, ad esempio: un'IA che seleziona candidati o valuta dipendenti. Un'IA che decide sull'affidabilità creditizia. Un'IA che gestisce infrastrutture critiche come le reti elettriche o idriche. Sistemi del genere richiedono valutazioni di conformità, gestione del rischio e supervisione umana documentata. Un agente IA che risponde alle chiamate, risponde alle domande, prenota appuntamenti e passa i casi complessi a una persona non rientra in queste categorie. A un agente così si applicano gli obblighi di trasparenza dell'Art. 50, non i requisiti per l'alto rischio. Gli agenti rinqo sono costruiti esattamente in questo modo: rispondono, smistano e passano la mano quando serve. Non prendono decisioni su assunzioni, crediti o altri ambiti dell'allegato III. Due precisazioni oneste. Primo: la classificazione dipende dall'uso concreto, non dal nome del prodotto. Chi usa lo stesso agente per la selezione del personale o per decisioni sul credito entra nell'ambito ad alto rischio. Secondo: questa pagina è un orientamento, non una consulenza legale. Nei casi limite conviene far verificare l'impiego a un legale. Per l'uso tipico, richieste dei clienti al telefono, in chat e via e-mail, il quadro resta semplice: basta la trasparenza secondo l'Art. 50, e in rinqo è attiva per impostazione predefinita.

Regolamento IA in sintesi: scadenze e obblighi 2026

Per le PMI contano due date: l'Art. 4 si applica dal 02.02.2025, l'Art. 50 dal 02.08.2026. È la sintesi più breve e onesta del Regolamento IA 2024/1689. Dal 02.02.2025 devi documentare come l'IA viene usata nella tua azienda: limiti d'uso, dati trattati, regole di escalation (Art. 4, competenza in materia di IA). Dal 02.08.2026 ogni IA a contatto con i clienti deve essere dichiarata come tale (Art. 50, trasparenza). Le violazioni costano fino a 15 milioni di euro o il 3% del fatturato annuo mondiale. Cosa fare adesso, in concreto: primo, censisci tutti gli strumenti di IA che usi nel contatto con i clienti. Secondo, prepara la documentazione per l'Art. 4, rinqo mette a disposizione dei template. Terzo, verifica per ogni strumento se la dichiarazione secondo l'Art. 50 è attiva. Quarto, verifica se esiste un accordo sul trattamento dei dati ai sensi dell'Art. 28 GDPR. Con rinqo i punti tre e quattro sono risolti dal primo giorno: dichiarazione attiva per impostazione predefinita in ogni canale rivolto ai clienti (telefono, chat, e-mail), DPA alla firma del contratto. L'hosting è in Germania presso Hetzner (Falkenstein e Norimberga, ISO 27001:2022). I modelli linguistici girano con trattamento contrattualmente garantito all'interno della EU Data Boundary, senza addestramento sui dati dei tuoi clienti. I prezzi partono da 99 euro netti al mese.

• 02.02.2025: si applica l'Art. 4 sulla competenza in materia di IA, obbligo di documentazione per tutte le aziende che usano l'IA
• 02.08.2026: Art. 50, obbligo di trasparenza per l'IA a contatto con i clienti
• Sanzioni: fino a 15 milioni di euro o al 3% del fatturato annuo mondiale, l'importo più alto
• Da fare ora: censire gli strumenti di IA, preparare la documentazione per l'Art. 4, verificare trasparenza e DPA