AI Act 2026: cosa devono fare le imprese per utilizzare l'intelligenza artificiale in modo conforme e sicuro
Obblighi, scadenze, AI Literacy, GDPR e sicurezza sul lavoro: la guida operativa di 626 School per le piccole e medie imprese di Cagliari e della Sardegna.
Aggiornamento: 18 ottobre 2026
L'intelligenza artificiale è già entrata nelle aziende. Ma quanti imprenditori sanno realmente come viene utilizzata dai propri dipendenti?
Un impiegato prepara documenti con ChatGPT. Un responsabile commerciale utilizza un assistente AI per elaborare preventivi. Un consulente produce una relazione tecnica con il supporto di un software intelligente. Un'azienda sperimenta un sistema automatizzato per valutare candidature.
Sono applicazioni che possono migliorare la produttività, ma introducono anche questioni di affidabilità, responsabilità, protezione dei dati e organizzazione del lavoro.
La domanda non è più soltanto quanto tempo l'intelligenza artificiale possa far risparmiare. È anche chi ne controlla l'utilizzo, ne comprende i limiti e ne gestisce i rischi.
In questo scenario assume particolare importanza l'AI Act, il regolamento europeo sull'intelligenza artificiale.
Per le piccole e medie imprese di Cagliari, dell'hinterland e della Sardegna, conoscere questa normativa significa prepararsi all'innovazione evitando improvvisazioni, rischi sottovalutati e adempimenti inutili.
Che cos'è l'AI Act e perché riguarda anche le piccole imprese?
L'AI Act è il Regolamento (UE) 2024/1689, che stabilisce un quadro normativo armonizzato per lo sviluppo, la commercializzazione e l'utilizzo dei sistemi di intelligenza artificiale.
Il regolamento mira a promuovere un'intelligenza artificiale affidabile, tutelando salute, sicurezza e diritti fondamentali.
Non riguarda esclusivamente le grandi aziende tecnologiche.
Può interessare anche una piccola impresa che utilizza sistemi AI nella gestione del personale, nei processi produttivi, nell'interazione con i clienti o nell'organizzazione delle attività.
Occorre però chiarire un principio fondamentale:
Non tutti i sistemi AI comportano gli stessi obblighi e non tutte le imprese devono effettuare i medesimi adempimenti.
Le responsabilità dipendono dal ruolo dell'organizzazione, dalle caratteristiche del sistema e dalle finalità di utilizzo.
Il regolamento distingue, tra gli altri, il fornitore, che sviluppa o fa sviluppare un sistema AI e lo immette sul mercato o lo mette in servizio alle condizioni previste dalla normativa, e il deployer, cioè il soggetto che utilizza un sistema AI sotto la propria autorità.
Un'impresa che utilizza un comune assistente digitale non si trova necessariamente nella stessa posizione di un'azienda che sviluppa sistemi destinati a selezionare lavoratori.
Comprendere queste differenze è il primo passo per individuare gli obblighi realmente applicabili.
AI Act 2026: le scadenze che le imprese devono conoscere
L'applicazione dell'AI Act è progressiva.
Il calendario originario è stato modificato dal Regolamento (UE) 2026/1744, entrato in vigore il 27 luglio 2026, che ha introdotto modifiche e semplificazioni, comprese nuove scadenze per alcune categorie di sistemi ad alto rischio.
Data | Principali disposizioni |
1° agosto 2024 | Entrata in vigore dell'AI Act |
2 febbraio 2025 | Prime disposizioni generali, alfabetizzazione AI e divieti iniziali |
2 agosto 2025 | Disposizioni sulla governance e sui modelli AI per finalità generali |
2 agosto 2026 | Applicazione della maggior parte delle disposizioni generali e di importanti obblighi di trasparenza |
2 dicembre 2026 | Ulteriori divieti e termine transitorio per specifici obblighi sui contenuti sintetici |
2 dicembre 2027 | Principali disposizioni sui sistemi ad alto rischio dell'Allegato III |
2 agosto 2028 | Disposizioni sui sistemi ad alto rischio collegati ai prodotti regolamentati dell'Allegato I |
Le date devono essere interpretate tenendo conto delle condizioni e delle disposizioni transitorie previste dalla normativa.
Il rinvio di alcuni obblighi non significa che le imprese possano ignorare l'AI Act.
Diverse disposizioni sono già applicabili e il GDPR e la normativa sulla salute e sicurezza sul lavoro continuano a operare indipendentemente dalle scadenze dell'AI Act.
Per approfondire è possibile consultare il Regolamento (UE) 2024/1689 su EUR-Lex.
Quali obblighi riguardano concretamente la tua azienda?
Non esiste un pacchetto uniforme di adempimenti valido per tutte le imprese.
La situazione cambia in funzione degli strumenti utilizzati e del ruolo aziendale.
Utilizzo dell'intelligenza artificiale | Aspetti da verificare |
Assistenti AI per attività amministrative | AI Literacy, protezione dei dati, affidabilità dei risultati |
Chatbot rivolti ai clienti | Trasparenza, trattamento dei dati, correttezza delle informazioni |
AI nella selezione del personale | Classificazione del sistema, GDPR, diritto del lavoro ed eventuali obblighi per sistemi ad alto rischio |
AI integrata in macchine o impianti | Sicurezza dei prodotti, rischi lavorativi, affidabilità tecnica |
Sviluppo e commercializzazione di sistemi AI | Obblighi del fornitore, classificazione e conformità |
Questa tabella costituisce uno strumento orientativo e non sostituisce una valutazione riferita al sistema concretamente utilizzato.
L'errore da evitare è considerare ogni utilizzo dell'intelligenza artificiale come automaticamente soggetto agli obblighi più rigorosi previsti dal regolamento.
AI Literacy: quali competenze devono sviluppare i lavoratori?
L'articolo 4 dell'AI Act disciplina l'alfabetizzazione in materia di intelligenza artificiale.
Nel quadro normativo aggiornato, fornitori e deployer devono adottare misure per sostenere lo sviluppo di competenze adeguate delle persone che utilizzano o fanno funzionare sistemi AI per loro conto.
Le misure devono tenere conto delle conoscenze, dell'esperienza, della formazione e del contesto di utilizzo.
La normativa non stabilisce un corso identico per tutti i lavoratori, una durata minima universale o un attestato europeo obbligatorio.
Non è inoltre richiesto di garantire a ogni persona uno specifico livello di alfabetizzazione.
Un impiegato amministrativo, un responsabile delle risorse umane e un RSPP che utilizza strumenti AI nelle attività di prevenzione possono avere esigenze formative differenti.
Un percorso efficace dovrebbe sviluppare la capacità di:
Comprendere le caratteristiche e i limiti dei sistemi AI.
Riconoscere informazioni errate o non verificabili.
Proteggere dati personali e informazioni riservate.
Individuare le situazioni che richiedono un controllo umano.
Valutare le conseguenze dell'utilizzo dell'AI sulle attività svolte.
Formare il personale non significa soltanto insegnare a utilizzare ChatGPT. Significa sviluppare la capacità di usare l'intelligenza artificiale mantenendo giudizio professionale e consapevolezza dei rischi.
Per approfondire leggi anche L'intelligenza artificiale è già nelle imprese. Ma chi sta controllando i rischi?.
AI Act e GDPR: cosa accade ai dati inseriti negli strumenti AI?
Un dipendente potrebbe inserire in un assistente AI un contratto, un documento contenente nominativi di clienti, informazioni sui lavoratori o dati riservati.
Ma chi può accedere a queste informazioni? Dove vengono elaborate? Per quanto tempo vengono conservate?
L'AI Act non sostituisce il GDPR.
Quando l'utilizzo dell'intelligenza artificiale comporta il trattamento di dati personali, continua ad applicarsi il Regolamento (UE) 2016/679.
L'impresa deve quindi verificare, secondo le circostanze:
La liceità e le finalità del trattamento.
Le informazioni da fornire agli interessati.
I rapporti con i fornitori.
Le misure di sicurezza.
Le eventuali limitazioni all'utilizzo dei dati.
La necessità di una valutazione d'impatto sulla protezione dei dati.
La valutazione d'impatto prevista dall'articolo 35 del GDPR non è automaticamente obbligatoria per ogni utilizzo dell'AI.
È richiesta quando il trattamento presenta probabilmente un rischio elevato per i diritti e le libertà delle persone fisiche.
Un altro problema è rappresentato dall'utilizzo di strumenti AI non autorizzati dall'azienda.
Per ridurre questo rischio è opportuno definire istruzioni comprensibili su quali strumenti utilizzare, quali informazioni inserire e quali controlli effettuare.
AI Act e sicurezza sul lavoro: quando bisogna aggiornare il DVR?
Il rapporto tra intelligenza artificiale e salute e sicurezza sul lavoro è particolarmente importante.
Il D.Lgs. 81/2008 impone al datore di lavoro di valutare tutti i rischi per la salute e la sicurezza dei lavoratori.
L'introduzione di un sistema AI non determina automaticamente l'obbligo di aggiornare il Documento di Valutazione dei Rischi.
Tuttavia, quando la tecnologia modifica significativamente i processi, l'organizzazione del lavoro o le condizioni di rischio, occorre verificare se ricorrano le circostanze previste dall'articolo 29 per rielaborare la valutazione.
AI utilizzata per redigere documenti di sicurezza
Un RSPP utilizza un assistente AI per predisporre una bozza di procedura operativa.
Il sistema potrebbe produrre indicazioni apparentemente corrette ma incomplete, non aggiornate o non adeguate al contesto aziendale.
L'AI può supportare il professionista, ma non sostituisce la verifica tecnica.
AI utilizzata per organizzare i turni
Un sistema automatizzato contribuisce a distribuire carichi di lavoro e orari.
Le decisioni prodotte potrebbero influenzare l'affaticamento, i ritmi produttivi e l'organizzazione.
In questi casi è opportuno valutare gli effetti concreti sui lavoratori.
AI integrata in macchine e impianti
Un sistema intelligente interviene nel controllo di un processo produttivo.
Diventano particolarmente importanti l'affidabilità tecnica, le interazioni uomo-macchina, i possibili malfunzionamenti e le misure di prevenzione.
Possono inoltre essere applicabili disposizioni specifiche sulla sicurezza delle macchine e dei prodotti.
La classificazione di un sistema ai sensi dell'AI Act e la valutazione dei rischi lavorativi ai sensi del D.Lgs. 81/2008 sono due analisi differenti, che possono essere coordinate ma non confuse.
IA PROTEGGI™: il progetto di 626 School per la valutazione dei rischi dell'intelligenza artificiale
L'evoluzione tecnologica richiede anche un'evoluzione delle competenze professionali.
Per questo 626 School ha avviato il progetto IA PROTEGGI™, dedicato allo sviluppo di un approccio strutturato alla valutazione dei rischi connessi all'utilizzo dell'intelligenza artificiale nei luoghi di lavoro.
Il progetto nasce dalla convinzione che i sistemi AI debbano essere esaminati considerando non soltanto la tecnologia, ma anche persone, processi aziendali, responsabilità e misure di prevenzione.
Un approccio integrato può mettere in relazione:
Caratteristiche e finalità dei sistemi AI.
Processi aziendali interessati.
Affidabilità e controllo umano.
Sicurezza delle informazioni.
Implicazioni per la salute e sicurezza sul lavoro.
Misure organizzative e formative.
Per approfondire è disponibile l'articolo Intelligenza artificiale e sicurezza sul lavoro: nasce IA PROTEGGI™.
IA PROTEGGI™ è un progetto in sviluppo e non costituisce una certificazione obbligatoria o un'attestazione pubblica di conformità all'AI Act.
Quali sistemi AI sono considerati ad alto rischio?
L'AI Act adotta un approccio basato sul rischio.
Alcune pratiche sono vietate, mentre determinati sistemi sono classificati ad alto rischio e sottoposti a requisiti specifici.
Fra gli ambiti individuati dall'Allegato III figurano, alle condizioni previste dal regolamento, alcune applicazioni relative a:
Selezione e gestione del personale.
Istruzione e formazione professionale.
Infrastrutture critiche.
Accesso a servizi essenziali.
Determinati utilizzi biometrici.
Un sistema destinato a valutare candidature o influenzare decisioni significative relative ai rapporti di lavoro può rientrare nelle categorie ad alto rischio.
Non ogni software utilizzato in questi ambiti è però automaticamente classificato in questo modo.
Occorre verificare la finalità prevista e le condizioni stabilite dalla normativa.
Per i sistemi ad alto rischio possono trovare applicazione requisiti relativi alla gestione dei rischi, alla documentazione tecnica, alla governance dei dati, alla supervisione umana, all'accuratezza, alla robustezza e alla cybersecurity.
Gli obblighi variano in funzione del ruolo dell'operatore.
Responsabilità e sanzioni: cosa rischiano le imprese?
L'AI Act prevede un sistema sanzionatorio differenziato, disciplinato in particolare dall'articolo 99.
Per alcune violazioni relative alle pratiche vietate sono previsti massimali fino a 35 milioni di euro o, per le imprese, fino al 7% del fatturato mondiale annuo dell'esercizio precedente, se superiore.
Per altre violazioni di specifici obblighi sono previsti massimali differenti, tra cui 15 milioni di euro o il 3% del fatturato mondiale annuo, secondo le condizioni previste dal regolamento.
Questi importi rappresentano massimali normativi e non sanzioni automatiche.
La determinazione concreta deve rispettare i criteri previsti dalla normativa, comprese proporzionalità e circostanze della violazione.
Sono inoltre previste regole specifiche per PMI e startup.
Non sarebbe corretto sostenere che una piccola impresa rischi automaticamente milioni di euro per il semplice utilizzo di ChatGPT o per la mancata frequenza di un generico corso AI.
La priorità è individuare gli obblighi effettivamente applicabili e adottare misure adeguate.
Tre casi pratici: come cambia la gestione dell'AI nelle imprese
Un ristorante di Cagliari utilizza un chatbot per le prenotazioni
Un ristorante introduce un assistente AI sul proprio sito per rispondere ai clienti e gestire prenotazioni.
Il sistema raccoglie nominativi, recapiti e informazioni sulle richieste.
Occorre verificare gli obblighi di trasparenza applicabili, il trattamento dei dati personali e l'affidabilità delle informazioni fornite.
Se il chatbot risponde anche a domande sugli allergeni, il controllo diventa particolarmente importante.
Un'indicazione inesatta sulla presenza di glutine o altri allergeni può avere conseguenze rilevanti per la salute dei consumatori.
L'impresa deve evitare di affidare a un sistema generativo non adeguatamente controllato risposte che richiedono informazioni alimentari certe e aggiornate.
In questo caso si incontrano AI Act, GDPR e sicurezza alimentare HACCP.
Un'impresa edile utilizza AI per analizzare fotografie di cantiere
Un'impresa sperimenta un sistema che analizza immagini per segnalare possibili situazioni pericolose.
Il software può supportare il tecnico, ma potrebbe non riconoscere un pericolo oppure produrre segnalazioni inesatte.
Occorre valutare l'affidabilità dello strumento, le condizioni di utilizzo e il ruolo della supervisione umana.
Le fotografie possono inoltre contenere dati personali.
L'eventuale classificazione del sistema ai sensi dell'AI Act deve essere effettuata in relazione alle sue caratteristiche e finalità.
Il software non sostituisce gli obblighi di valutazione, organizzazione e vigilanza previsti dalla normativa sulla sicurezza sul lavoro.
Uno studio professionale utilizza AI per predisporre relazioni tecniche
Uno studio introduce un assistente AI per supportare la redazione di documenti.
Il sistema permette di risparmiare tempo, ma può generare riferimenti normativi inesatti o indicazioni non aggiornate.
È opportuno definire quali informazioni possono essere inserite, chi verifica i documenti e come vengono controllate le fonti.
Il valore dell'AI non consiste nell'automatizzare indiscriminatamente il lavoro professionale, ma nel migliorarlo mantenendo un controllo adeguato.
AI Act e PMI: dieci domande per capire se la tua azienda è preparata
Un imprenditore può iniziare da una semplice autoverifica.
Sappiamo quali strumenti AI vengono utilizzati dai dipendenti?
Abbiamo individuato le finalità per cui vengono impiegati?
Conosciamo quali dati vengono inseriti nei sistemi?
Abbiamo verificato le condizioni dei principali fornitori?
Sappiamo quali attività richiedono una verifica umana?
Abbiamo esaminato gli eventuali obblighi di trasparenza?
Abbiamo valutato se alcuni sistemi possano rientrare nelle categorie ad alto rischio?
Abbiamo adottato misure adeguate per sostenere l'alfabetizzazione AI?
Abbiamo considerato gli eventuali effetti sulla sicurezza e sull'organizzazione del lavoro?
Abbiamo individuato chi deve coordinare le verifiche quando introduciamo nuovi strumenti?
Queste domande non costituiscono una certificazione di conformità e non sostituiscono le valutazioni richieste dalla normativa.
Rappresentano però un utile punto di partenza per individuare necessità di approfondimento.
La tua impresa è pronta a gestire i rischi dell'intelligenza artificiale?
Rispondere a queste domande significa iniziare a comprendere quanto l'intelligenza artificiale sia già entrata nell'organizzazione aziendale e quali aspetti meritino maggiore attenzione.
Non sempre è necessario partire da interventi complessi. Spesso il primo passo consiste nell'individuare gli strumenti utilizzati, chiarire le responsabilità e valutare le esigenze di formazione e prevenzione.
626 School affianca le imprese di Cagliari e della Sardegna nell'analisi delle esigenze organizzative, nella formazione e nei percorsi di sicurezza integrata.
Per un primo confronto sulle esigenze della tua impresa, contatta la segreteria 626 School – 070 781090.
Come preparare l'azienda senza creare burocrazia inutile
Le piccole imprese non hanno bisogno di replicare l'organizzazione di una multinazionale.
Hanno bisogno di comprendere gli obblighi effettivi e adottare misure sostenibili.
Un percorso operativo può articolarsi in sei attività.
Ricognizione: identificare strumenti, utilizzatori e processi interessati.
Classificazione: verificare il ruolo dell'impresa e le caratteristiche dei sistemi.
Analisi dei rischi: esaminare protezione dei dati, affidabilità, sicurezza informatica, organizzazione del lavoro e altri aspetti pertinenti.
Regole interne: stabilire istruzioni chiare per l'utilizzo degli strumenti.
Alfabetizzazione e formazione: sviluppare competenze adeguate alle attività svolte.
Riesame: aggiornare le verifiche quando cambiano tecnologie, processi e disposizioni applicabili.
Questo percorso rappresenta una buona pratica organizzativa, da adattare alle esigenze dell'impresa.
Non deve essere presentato come un pacchetto uniforme di adempimenti obbligatori.
AI Act a Cagliari e in Sardegna: la sfida della sicurezza integrata
L'intelligenza artificiale può essere utilizzata da imprese di ogni dimensione.
Un ristorante può impiegare un chatbot. Un'impresa edile può sperimentare sistemi di analisi fotografica. Uno studio professionale può utilizzare assistenti per elaborare documenti.
Per le PMI di Cagliari, Quartu Sant'Elena, Selargius, Monserrato, Sestu, Assemini e del Sud Sardegna, la sfida è integrare queste tecnologie senza aumentare inutilmente la complessità organizzativa.
La stessa esigenza riguarda le imprese di Oristano, Nuoro, Sassari, Olbia e degli altri territori della Sardegna.
La conformità normativa deve accompagnare l'innovazione, non trasformarsi in un ostacolo sproporzionato alla crescita aziendale.
La visione di 626 School: dalla sicurezza obbligatoria alla sicurezza integrata
626 School, agenzia formativa accreditata dalla Regione Sardegna e certificata ISO 9001, opera nella consulenza e nella formazione per la salute e sicurezza sul lavoro, la sicurezza alimentare HACCP e la protezione dei dati.
L'intelligenza artificiale rende sempre più evidente la necessità di un approccio capace di collegare discipline differenti.
Un sistema AI può incidere sull'organizzazione del lavoro, sul trattamento delle informazioni e sull'affidabilità dei processi.
La sicurezza integrata non dovrebbe essere considerata soltanto come la somma di diversi adempimenti.
Dovrebbe diventare un metodo per comprendere come i cambiamenti tecnologici influenzano l'impresa nel suo complesso.
È in questa prospettiva che si inseriscono le iniziative Sicurezza & AI e IA PROTEGGI™.
Sicurezza & AI: formazione specialistica a Cagliari
626 School sta preparando per il 30 novembre 2026 una giornata formativa specialistica dedicata al rapporto tra intelligenza artificiale e prevenzione.
L'iniziativa è rivolta a datori di lavoro, RSPP, ASPP, HSE Manager, consulenti, formatori e professionisti tecnici.
Il percorso intende sviluppare due competenze complementari:
Comprendere e governare i rischi introdotti dall'intelligenza artificiale nelle organizzazioni.
Utilizzare consapevolmente gli strumenti AI nelle attività professionali di prevenzione.
Sono previsti approfondimenti teorici e applicazioni pratiche, secondo il programma in corso di definizione.
Per ricevere informazioni sul programma, sulla disponibilità dei posti e sulle modalità di iscrizione è possibile contattare la segreteria 626 School.
FAQ – Le cinque domande più frequenti sull'AI Act
1. L'AI Act si applica anche a una piccola impresa con un solo dipendente?
Può applicarsi anche a un'impresa molto piccola, quando questa rientra nell'ambito di applicazione del regolamento e utilizza sistemi AI nelle condizioni previste. Gli obblighi dipendono dal ruolo dell'organizzazione, dalle caratteristiche del sistema e dalla finalità d'uso, non soltanto dal numero dei dipendenti.
2. Il corso AI Literacy è obbligatorio per tutti i lavoratori?
L'articolo 4 dell'AI Act prevede misure per sostenere lo sviluppo dell'alfabetizzazione AI delle persone interessate, ma non impone un corso identico per tutti, una durata minima universale o un attestato specifico. Le misure devono essere adeguate al contesto e ai sistemi utilizzati.
3. L'utilizzo di ChatGPT obbliga ad aggiornare il DVR?
Non automaticamente. Occorre verificare se l'utilizzo dello strumento determina modifiche significative dei processi, dell'organizzazione del lavoro o dei rischi per salute e sicurezza. L'eventuale rielaborazione della valutazione deve essere effettuata secondo l'articolo 29 del D.Lgs. 81/2008.
4. Quando è necessaria una valutazione d'impatto GDPR per un sistema AI?
La valutazione d'impatto sulla protezione dei dati è richiesta, ai sensi dell'articolo 35 del GDPR, quando un trattamento presenta probabilmente un rischio elevato per i diritti e le libertà delle persone fisiche. Non è obbligatoria automaticamente per qualsiasi utilizzo dell'intelligenza artificiale.
5. È obbligatorio nominare un responsabile AI esterno?
No. L'AI Act non impone a tutte le PMI la nomina di un responsabile AI esterno. Può essere utile individuare un referente interno e ricorrere a competenze specialistiche quando la complessità dei sistemi o degli obblighi lo richiede.
La tua azienda utilizza già l'intelligenza artificiale. Sai quali rischi sta assumendo?
L'intelligenza artificiale può diventare una risorsa importante per migliorare il lavoro e la competitività delle imprese.
Ma innovare senza comprendere le conseguenze organizzative e normative può esporre l'azienda a problemi evitabili.
La prima scelta utile è conoscere gli strumenti utilizzati e verificare quali obblighi e misure siano effettivamente pertinenti.
626 School è a disposizione delle imprese di Cagliari e della Sardegna per informazioni sui percorsi formativi, sulle esigenze di sicurezza integrata e sulle possibilità di supporto consulenziale.
Puoi richiedere:
Informazioni e iscrizioni al percorso Sicurezza & AI.
Un confronto preliminare sulle esigenze formative della tua azienda.
Un preventivo per i servizi di consulenza e formazione disponibili.
Informazioni sul progetto IA PROTEGGI™.
Contatta la segreteria 626 School al numero 070 781090.
Il nostro obiettivo è aiutare le imprese a gestire gli obblighi normativi in modo semplice, efficace e proporzionato, lasciando agli imprenditori più tempo per concentrarsi sul proprio lavoro.
626 School – La sicurezza integrata incontra l'intelligenza artificiale.
Fonti normative e istituzionali
Regolamento (UE) 2016/679 – GDPR, articoli 5, 6, 28, 32 e 35.
D.Lgs. 81/2008, articoli 17, 28 e 29.
Questo articolo ha finalità informative. L'applicabilità delle disposizioni deve essere verificata in relazione alle caratteristiche dei singoli sistemi AI e al contesto aziendale.
Autore
Giancarlo D'Andrea – Direttore 626 School srl
Sociologo, consulente e RSPP esterno dal 2001. Si occupa di prevenzione, formazione e sviluppo di progetti di innovazione per la sicurezza delle imprese.
Commenti