Intelligenza artificiale in azienda: le regole in vigore dal 2 agosto 2026



L’intelligenza artificiale in azienda non è più una questione da grandi gruppi. Nella maggior parte degli uffici, dei negozi e degli alberghi è già in uso, spesso senza che nessuno l’abbia deciso: chi fa scrivere una mail a ChatGPT, il chatbot che risponde sul sito, il gestionale che si aggiorna con nuove funzioni «intelligenti». Dal 2 agosto 2026 il regolamento europeo sull’intelligenza artificiale (AI Act) è entrato nella fase in cui gli obblighi di trasparenza e le sanzioni sono operativi. Vediamo, in modo concreto, cosa deve fare una piccola impresa.

Intelligenza artificiale in azienda: sei già un utilizzatore?

Il regolamento europeo considera «utilizzatore» chiunque impieghi un sistema di intelligenza artificiale nell’ambito della propria attività. Non serve averlo sviluppato né aver firmato un contratto specifico. Nella pratica, un’azienda usa già l’intelligenza artificiale quando:

• i collaboratori utilizzano assistenti come ChatGPT per scrivere, correggere o riassumere testi;
• sul sito, sui social o su WhatsApp risponde un assistente automatico ai clienti;
• il gestionale, il programma delle prenotazioni o il centralino hanno funzioni che suggeriscono o prevedono qualcosa;
• si traducono automaticamente menù, schede prodotto o descrizioni delle camere;
• l’impianto di videosorveglianza dispone di funzioni di analisi automatica delle immagini.

Cosa è cambiato dal 2 agosto 2026

L’AI Act, cioè il Regolamento (UE) 2024/1689, si applica per fasi successive. Dal 2 agosto 2026 sono diventati operativi gli obblighi di trasparenza e il sistema sanzionatorio. In Italia la vigilanza è affidata all’Agenzia per la Cybersicurezza Nazionale, in base alla Legge 132/2025.

Molti hanno letto che l’AI Act è stato rinviato al 2027. È vero solo in parte: il regolamento europeo di modifica noto come Digital Omnibus, in vigore dal 27 luglio 2026, ha spostato al 2 dicembre 2027 e al 2 agosto 2028 gli obblighi sui sistemi ad alto rischio, cioè quelli usati per decidere su assunzioni, valutazioni del personale, credito o accesso a servizi essenziali. Gli obblighi descritti qui sotto, invece, non sono stati rinviati.

Le tre regole che valgono già per le piccole imprese

1. Il chatbot deve dichiarare di essere un sistema automatico

L’articolo 50 dell’AI Act impone che chi interagisce con un sistema di intelligenza artificiale ne sia informato, salvo che la circostanza sia evidente. In pratica, se sul sito o su WhatsApp c’è un assistente virtuale che risponde a clienti o a richieste di prenotazione, deve essere chiaro fin dall’inizio della conversazione che non si tratta di una persona. È un intervento minimo, che di norma il fornitore del chatbot può fare in pochi minuti.

2. È vietato analizzare le emozioni dei lavoratori

L’articolo 5 vieta in modo assoluto i sistemi che deducono le emozioni delle persone sul luogo di lavoro, salvo eccezioni per motivi medici o di sicurezza (per esempio i dispositivi che rilevano il colpo di sonno di un autista). Il divieto non è superabile nemmeno con il consenso del lavoratore. Riguarda i software che promettono di misurare clima aziendale, stress o coinvolgimento analizzando messaggi, voce o volti.

Che non sia un divieto teorico lo dimostra un caso italiano: con provvedimento del 14 maggio 2026 il Garante per la protezione dei dati personali è intervenuto nei confronti della società che aveva sviluppato un plug-in per Slack e Teams in grado di stimare il livello di stress dei lavoratori dall’analisi delle chat aziendali. Lo strumento era presentato come uno strumento di benessere organizzativo: non è bastato.

3. Chi usa questi strumenti deve saperli usare

L’articolo 4 chiede di adottare misure proporzionate affinché il personale che utilizza sistemi di intelligenza artificiale ne comprenda funzionamento e limiti. Per una piccola impresa non significa un percorso formativo lungo: significa spiegare che questi strumenti possono produrre risposte errate, che i testi vanno sempre riletti e, soprattutto, quali informazioni non vanno mai inserite.

Il rischio più concreto: i dati che escono dall’azienda

Per una piccola realtà il pericolo maggiore non è la sanzione europea, ma la perdita di controllo sui dati. Quando un testo viene incollato in uno strumento gratuito online, esce dall’azienda e finisce sui server di un fornitore terzo, con la possibilità che venga utilizzato per addestrare il sistema. Le informazioni che più spesso finiscono in questi strumenti senza una valutazione preventiva sono:

• elenchi di dipendenti con date delle visite mediche o limitazioni del medico competente, che sono dati sanitari;
• liste di prenotazioni con nomi, recapiti e documenti dei clienti;
• preventivi e contratti di clienti, inseriti per ottenere un riassunto o una traduzione;
• buste paga e documenti del personale.

In questi casi non si è più nel perimetro dell’AI Act, ma in quello del GDPR, il Regolamento (UE) 2016/679, con tutto ciò che ne consegue in termini di base giuridica, informativa e misure di sicurezza. Se poi lo strumento tratta dati dei lavoratori e può comportare un controllo dell’attività, entra in gioco anche l’articolo 4 dello Statuto dei lavoratori.

Intelligenza artificiale in azienda: date e riferimenti

E le sanzioni?

Le cifre che circolano, fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate, sono calibrate sui grandi operatori. L’articolo 99 del regolamento prevede espressamente che per le piccole e medie imprese si applichi l’importo minore tra la cifra fissa e la percentuale sul fatturato. Per una piccola impresa il rischio economico più probabile resta quello legato alla violazione dei dati personali, oltre al rischio commerciale di non saper rispondere ai clienti che iniziano a chiedere come viene utilizzata l’intelligenza artificiale.

Intelligenza artificiale in azienda: cosa fare adesso

• Fare l’inventario degli strumenti di intelligenza artificiale effettivamente usati e da chi.
• Verificare che l’eventuale chatbot dichiari di essere un sistema automatico.
• Redigere una breve policy interna con le regole d’uso e l’elenco dei dati che non vanno mai inseriti.
• Formare chi utilizza questi strumenti e conservare l’evidenza della formazione svolta.
• Farsi indicare per iscritto dai fornitori di gestionali, centralini e videosorveglianza quali analisi vengono svolte e dove sono conservati i dati.
• Sottoporre a valutazione preventiva qualsiasi software che analizzi comportamento, umore o produttività del personale: può essere vietato in partenza.

Il testo del regolamento europeo è consultabile sul portale EUR-Lex e i provvedimenti nazionali sul sito del Garante per la protezione dei dati personali (link in uscita).

Ti aiutiamo a mettere ordine

Verifichiamo quali sistemi di intelligenza artificiale sono in uso nella tua azienda, prepariamo la policy interna sull’uso degli strumenti, controlliamo chatbot e informative del sito e formiamo il personale, coordinando il tutto con gli adempimenti privacy già in essere e con la formazione sicurezza. Scrivici a mirco@lasicurezzatorino.com per una verifica gratuita della tua situazione.

Questo articolo ha finalità informativa e non sostituisce la consulenza specifica. Fonti: Regolamento (UE) 2024/1689 (AI Act), artt. 4, 5, 50 e 99; regolamento europeo di modifica (Digital Omnibus sull’intelligenza artificiale) pubblicato in GUUE il 24 luglio 2026 e in vigore dal 27 luglio 2026; Legge 23 settembre 2025 n. 132; provvedimento del Garante per la protezione dei dati personali del 14 maggio 2026; Regolamento (UE) 2016/679 (GDPR); Legge 300/1970, art. 4. Informazioni aggiornate al 7 settembre 2026.