AI Act, scattano nuovi obblighi per le partite IVA: cosa cambia per i professionisti e come adeguarsi

Il 2 agosto 2026 era la data indicata da due anni come l’applicazione generale del regolamento (UE) 2024/1689 in materia di intelligenza artificiale. È arrivata, ma con un calendario diverso da quello annunciato: il regolamento (UE) 2026/1744, l’Omnibus digitale sull’IA pubblicato in Gazzetta ufficiale dell’Unione europea il 24 luglio ed entrato in vigore il 27, ha riscritto le scadenze sui sistemi ad alto rischio e ritoccato alcune regole sostanziali che toccano direttamente anche i liberi professionisti. E l’Italia ha deciso di applicare una linea ancora più dura: ecco gli obblighi per per consulenti, agenzie, studi professionali e sviluppatori.

AI Act, le nuove regole dal 2 agosto 2026

Restano fissate al 2 agosto, e sono quindi pienamente operative, tre categorie di norme. La prima riguarda gli obblighi di trasparenza dell’articolo 50, contenuti nel capo IV del regolamento e riferiti a fornitori e deployer di determinati sistemi di IA.

La seconda riguarda le sanzioni pecuniarie della Commissione sui fornitori di modelli per finalità generali previste dall’articolo 101. Qui la data va ricostruita per differenza: l’articolo 113 anticipa al 2 agosto 2025 l’applicazione del capo XII, che contiene le disposizioni sanzionatorie, ma ne esclude espressamente l’articolo 101. I modelli GPAI erano già soggetti dal 2 agosto 2025 agli obblighi su documentazione, diritto d’autore e sintesi dei contenuti di addestramento, da quest’anno la loro violazione diventa sanzionabile dalla Commissione.

Quando scatta la sanzione

L’articolo 101 fissa il tetto al 3% del fatturato mondiale annuo totale dell’esercizio precedente o a 15 milioni di euro, se superiore. Non basta però l’inadempimento oggettivo, la Commissione deve rilevare che il fornitore abbia agito intenzionalmente o per negligenza e le condotte rilevanti sono quattro: la violazione delle disposizioni pertinenti del regolamento; la mancata ottemperanza a una richiesta di documenti o informazioni o la fornitura di informazioni inesatte, incomplete o fuorvianti; la mancata ottemperanza a una misura richiesta; il mancato accesso al modello ai fini della valutazione.

L’importo va graduato su natura, gravità e durata della violazione, secondo i principi di proporzionalità e adeguatezza, tenendo conto anche degli impegni assunti dal fornitore e nei codici di condotta. È inoltre previsto un contraddittorio preventivo: la Commissione comunica le constatazioni preliminari e dà al fornitore l’opportunità di essere ascoltato.

Va invece chiarito un punto su cui circolano ricostruzioni imprecise: il regime sanzionatorio nazionale dell’articolo 99 non nasce il 2 agosto 2026. Il capo XII si applica dal 2 agosto 2025 ed entro quella data gli Stati membri avrebbero dovuto notificare alla Commissione le proprie norme sulle sanzioni. Ciò che cambia quest’anno è che diventano sanzionabili le violazioni degli obblighi che entrano in applicazione ora, a cominciare da quelli di trasparenza.

La vigilanza delle autorità italiane

La terza categorie di norme concerne l’avvio della vigilanza del mercato da parte delle autorità nazionali. In Italia il quadro si è mosso pochi giorni dopo: nella seduta del 4 agosto 2026 il Consiglio dei ministri ha approvato in via definitiva i due decreti legislativi di adeguamento all’AI Act: il primo riguarda l’utilizzo dell’intelligenza artificiale per l’attività di polizia e la responsabilità civile e penale; il secondo, quello di interesse diretto per imprese e professionisti, i poteri delle autorità nazionali e l’utilizzo dell’intelligenza artificiale nella formazione.

La designazione delle autorità non è però una novità dei decreti: era già nell’articolo 20 della legge 132/2025, pubblicata in Gazzetta ufficiale il 25 settembre 2025 e in vigore dal 10 ottobre, che designa l’Agenzia per l’Italia digitale quale autorità di notifica e l’Agenzia per la cybersicurezza nazionale quale autorità di vigilanza del mercato e punto di contatto unico con le istituzioni europee, ferma restando l’attribuzione a Banca d’Italia, CONSOB e IVASS del ruolo di autorità di vigilanza del mercato. I decreti ne definiscono poteri e procedure e articolano le competenze del Garante per la protezione dei dati personali sui sistemi impiegati nelle attività di contrasto, di gestione delle frontiere, di giustizia e di democrazia.

Un elemento va in direzione opposta rispetto al calendario europeo: mentre l’Omnibus sposta dal 2 agosto 2026 al 2 agosto 2027 il termine per l’operatività delle nuove regole, il decreto italiano lo anticipa, con trattamento preferenziale per le piccole e medie imprese e per le imprese in fase di avvio. Alla data di pubblicazione di questo articolo, però, i due decreti non risultano ancora pubblicati in Gazzetta ufficiale: entreranno in vigore dopo la pubblicazione e il contenuto qui riportato si basa sul comunicato diffuso al termine del Consiglio dei ministri.

Cosa è slittato

L’Omnibus ha modificato l’articolo 113 spostando l’applicazione di requisiti e obblighi per i sistemi ad alto rischio al 2 dicembre 2027 e al 2 agosto 2028 per quelli classificati ai sensi dell’articolo 6, paragrafo 1 e dell’allegato I. Si è spostata nella stessa direzione anche una terza data: gli spazi di sperimentazione normativa nazionali, che nel testo del 2024 dovevano essere cominciare entro il 2 agosto 2026, sono ora attesi entro il 2 agosto 2027.

Ha cambiato perimetro, infine, il periodo di tolleranza per i sistemi già sul mercato. L’articolo 111 escludeva dagli obblighi i sistemi ad alto rischio immessi sul mercato prima del 2 agosto 2026, salvo modifiche significative della progettazione; nella nuova formulazione il riferimento non è più a una data fissa ma alla data di applicazione del capo III, che ora cade nel 2027 o nel 2028. La finestra di salvaguardia si allarga quindi insieme al rinvio. Resta invece invariato, perché già previsto dal testo originario, il termine del 2 agosto 2030 entro cui devono conformarsi i fornitori e i deployer di sistemi ad alto rischio destinati alle autorità pubbliche.

In direzione opposta si muovono invece i nuovi divieti introdotti per i sistemi che generano o manipolano materiale intimo non consensuale e materiale di abuso sessuale su minori: si applicheranno dal 2 dicembre 2026.

Fornitore o deployer: la distinzione che cambia gli obblighi

L’articolo 50 non impone gli stessi doveri a tutti. I paragrafi 1 e 2 riguardano i fornitori: il primo prevede che i sistemi destinati a interagire direttamente con persone fisiche siano progettati e sviluppati in modo che l’interessato sia informato di stare interagendo con un sistema di IA, a meno che ciò non risulti evidente dal punto di vista di una persona ragionevolmente informata, attenta e avveduta, tenendo conto delle circostanze e del contesto; il secondo impone ai fornitori di sistemi generativi che gli output siano marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente.

I paragrafi 3 e 4 riguardano i deployer, cioè chiunque utilizzi un sistema di IA nella propria attività. Il paragrafo 4 impone di rendere noto che il contenuto è stato generato o manipolato artificialmente nel caso dei deepfake e di dichiararlo per i testi pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico.

Il professionista che installa sul proprio sito un assistente conversazionale sviluppato da terzi è quindi un deployer: gli obblighi diretti che lo riguardano stanno ai paragrafi 3 e 4.

AI Act, le esenzioni per chi produce contenuti

Il paragrafo 2 non si applica quando i sistemi svolgono una funzione di assistenza per l’editing standard oppure non modificano in modo sostanziale i dati di input forniti dal deployer o la loro semantica. La distinzione separa, dunque, la generazione di contenuto ex novo dalla revisione o riformulazione di un testo già esistente.

La seconda esenzione è più rilevante per l’editoria e per la comunicazione d’impresa. L’obbligo di dichiarare il testo generato o manipolato non si applica quando il contenuto è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione.

Una testata giornalistica registrata, con un direttore responsabile, le soddisfa entrambe per i contenuti che passano dal proprio flusso editoriale. Un blog aziendale, una newsletter o un canale di comunicazione in cui quella responsabilità non sia individuabile si collocano invece in un’area più esposta, e la valutazione va fatta caso per caso. Il paragrafo 5 aggiunge che le informazioni dovute vanno fornite in maniera chiara e distinguibile al più tardi al momento della prima interazione o esposizione, e devono rispettare i requisiti di accessibilità applicabili.

Il paragrafo 4 prevede infine un’attenuazione per le opere e i programmi manifestamente artistici, creativi, satirici o fittizi: in questi casi l’obbligo si limita a rivelare l’esistenza dei contenuti generati o manipolati in modo adeguato, senza ostacolare l’esposizione o il godimento dell’opera.

La scadenza del 2 dicembre per i fornitori di generatori di contenuti sintetici

L’articolo 111, introdotto dall’Omnibus, dispone che i fornitori di sistemi che generano contenuti sintetici immessi sul mercato prima del 2 agosto 2026 adottino le misure necessarie per conformarsi all’articolo 50 entro il 2 dicembre 2026. Si tratta quindi di un periodo transitorio di quattro mesi riservato a chi è già attivo. Per i sistemi immessi sul mercato dal 2 agosto 2026 in poi, invece, l’obbligo di marcatura è già vigente.

L’obbligo di comunicazione per i liberi professionisti italiani

C’è però una norma a cui i liberi professionisti che usano l’AI devono prestare particolare attenzione. L’articolo 13 della legge 132/2025 stabilisce che l’utilizzo di sistemi di intelligenza artificiale nelle professioni intellettuali è finalizzato al solo esercizio delle attività strumentali e di supporto all’attività professionale, con prevalenza del lavoro intellettuale oggetto della prestazione d’opera. Lo stesso stabilisce anche che, per assicurare il rapporto fiduciario fra professionista e cliente, le informazioni relative ai sistemi di intelligenza artificiale utilizzati dal professionista siano comunicate al destinatario della prestazione con linguaggio chiaro, semplice ed esaustivo.

Si tratta di una differenza importante rispetto all’indirizzo europeo: l’articolo 50 del regolamento colloca gli obblighi di informazione sul chatbot in capo al fornitore e riserva al deployer i doveri sui deepfake e sui testi di interesse pubblico; l’articolo 13, invece, si rivolge direttamente al professionista e riguarda il rapporto con il cliente, a prescindere dal tipo di sistema impiegato. Insomma, chi redige una perizia, un progetto, una consulenza o un testo avvalendosi dell’intelligenza artificiale deve dirlo a chi riceve la prestazione con trasparenza.

L’alfabetizzazione obbligatoria: l’Italia adotta regole più stringenti

Nella formulazione originaria, l’articolo 4 dell’Omnibus imponeva a fornitori e deployer di adottare misure per garantire, fin quando possibile, un livello sufficiente di alfabetizzazione in materia di IA del proprio personale. Nella nuova formulazione l’obbligo diventa quello di adottare misure volte a sostenere lo sviluppo dell’alfabetizzazione, con una precisazione: l’obbligo non impone a fornitori o deployer di garantire un livello specifico di alfabetizzazione per nessuno.

Il quadro italiano si muove nella direzione opposta. La legge 132/2025 indica fra i criteri della delega la previsione, da parte degli ordini professionali, delle associazioni di categoria maggiormente rappresentative e delle forme aggregative delle associazioni professionali non ordinistiche, di percorsi di alfabetizzazione e formazione all’uso dei sistemi di intelligenza artificiale destinati ai professionisti e agli operatori dello specifico settore. La norma, poi, riconosce la possibilità di un equo compenso modulabile sulla base delle responsabilità e dei rischi connessi all’uso dei sistemi di intelligenza artificiale. È il criterio che il decreto approvato il 4 agosto attua nella parte dedicata alla formazione e alle professioni.

Nuovi doveri per i consigli degli ordini professionali

Va ricordato, poi, che il disegno di legge delega per la riforma della disciplina degli ordinamenti professionali, approvato dal Senato lo scorso 3 agosto e ora all’esame della Camera, prevede un ulteriore obbligo per i consigli nazionali: i regolamenti sulla formazione continua dovranno stabilire un numero minimo di ore obbligatorie dedicate ai nuovi strumenti digitali, all’intelligenza artificiale e ai limiti, anche deontologici, previsti per il loro utilizzo; i codici deontologici dovranno garantire che la prestazione, pur resa con l’aiuto di tecnologie digitali, resti frutto della professionalità dell’iscritto all’albo.

I tempi, tuttavia, restano lunghi: ventiquattro mesi per i decreti legislativi, ai quali seguiranno i regolamenti dei singoli consigli nazionali, sicché il monte ore effettivo sarà stabilito professione per professione.

Il divieto sulle decisioni automatizzate: cosa succede a chi usa software di recruiting

Il decreto approvato il 4 agosto stabilisce che le decisioni riguardanti la costituzione, la modifica o la risoluzione del rapporto di lavoro, compresi i provvedimenti disciplinari e i licenziamenti, non possono essere adottate unicamente sulla base di un trattamento automatizzato, con nullità del licenziamento intimato in violazione del divieto.

Arriva pure una precisazione per chi usa software di recruiting: non rientrano fra le decisioni finali relative alla costituzione del rapporto di lavoro le attività di ricerca e selezione delle candidature, anche quando comportino la mancata ammissione alle fasi successive della selezione. Lo screening automatizzato dei curriculum resta quindi fuori dal divieto, ma la decisione finale deve restare umana.

Sanzioni, i massimali non sono il parametro per una partita IVA

L’articolo 99 articola tre scaglioni per le sanzioni:

• la violazione dei divieti dell’articolo 5 è punita fino a 35 milioni di euro o, se l’autore è un’impresa, fino al 7% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore;
• le altre violazioni connesse a operatori od organismi notificati arrivano a 15 milioni o al 3%. Tra queste, la lettera g) del paragrafo 4 include espressamente gli obblighi di trasparenza dell’articolo 50;
• la fornitura di informazioni inesatte, incomplete o fuorvianti agli organismi notificati o alle autorità nazionali competenti è punita fino a 7,5 milioni o all’1%.

Ma ciò non vale per i piccoli operatori, per i quali il conto si fa al contrario. Per le imprese grandi si applica la cifra più alta fra l’importo fisso e la percentuale sul fatturato, mentre per le PMI, comprese le start-up, si applica la più bassa. Lo stabilisce l’articolo 99, che è nel regolamento fin dal 2024.

Per esempio, davanti allo scaglione da 15 milioni o 3%, un’impresa con un miliardo di fatturato paga il 3%, cioè 30 milioni, perché è la cifra maggiore; un professionista o una piccola impresa con 200 mila euro di fatturato paga sempre il 3%, cioè 6 mila euro, ma stavolta perché è la cifra minore.

L’Omnibus non ha quindi creato ex novo questa tutela, l’ha allargata. Il paragrafo riscritto affianca alle PMI anche le piccole imprese a media capitalizzazione, cioè quelle che hanno superato le soglie delle PMI ma restano lontane dalle grandi imprese. E chiarisce che gli Stati membri, oltre alle sanzioni in denaro, possono ricorrere anche a semplici avvertimenti.

In Italia il decreto approvato il 4 agosto va nella stessa direzione: le sanzioni sono graduali, i tetti massimi restano sotto quelli europei e per le violazioni meno gravi si potrà rispondere anche senza multa. Il comunicato del Consiglio dei ministri aggiunge un dettaglio che vale la pena tenere a mente: le sanzioni italiane scatteranno solo quando entreranno in vigore gli obblighi corrispondenti. Il rinvio deciso a Bruxelles sull’alto rischio, quindi, sposta in avanti anche le multe italiane.

Cosa conviene fare adesso

Il rinvio non equivale alla sospensione delle prescrizioni, ma a poter godere di una finestra più ampia per adeguarsi. Chi esercita un’attività professionale, per non farsi trovare impreparato, può già da adesso:

• censire i sistemi impiegati, compresi chatbot, plug-in e funzionalità di IA incorporate in software di uso quotidiano che spesso non vengono percepite come tali;
• verificare il proprio ruolo – fornitore o deployer – per ciascuno di essi, tenendo presente che la stessa attività può ricoprire posizioni diverse a seconda del sistema;
• verificare, per i contenuti destinati alla pubblicazione, chi detenga formalmente la responsabilità editoriale, dato che da quella circostanza dipende l’applicazione o meno dell’obbligo di dichiarazione;
• prevedere, in caso di professione intellettuale, l’adeguamento dell’informativa al cliente prevista dall’articolo 13 della legge 132/2025, che è l’unico obbligo del quadro qui descritto a essere già pienamente vigente e a gravare direttamente sul professionista.