Aggiornato al 21 settembre 2026 sul testo consolidato del regolamento (UE) 2024/1689 in vigore dal 27 luglio 2026.
Nel 2026 l’AI Act non è più una promessa regolatoria. È un contesto operativo.
L’intelligenza artificiale è già entrata nelle aziende italiane in modo silenzioso e progressivo: strumenti di AI generativa integrati nelle suite di produttività, chatbot per assistenza clienti, modelli predittivi nelle analytics, sistemi di scoring per lead e priorità, funzionalità “AI-powered” inserite direttamente nei software dei vendor.
La domanda non è più “stiamo usando l’AI?”.
La domanda è: la stiamo governando?
Per un IT Manager, oggi, il tema non è astratto. È strutturale. L’AI Act 2026 Italia introduce un cambio di paradigma: non basta che un sistema funzioni. Deve essere tracciabile, controllabile, documentato e integrato in un framework di governance coerente.
Questa guida è pensata per chi guida infrastruttura, sicurezza e architettura IT e deve trasformare una norma europea in scelte operative concrete.
L’AI Act è il regolamento europeo sull’intelligenza artificiale che introduce un approccio basato sul rischio. I sistemi vengono classificati in categorie che vanno dal rischio minimo fino ai sistemi vietati, passando per quelli a rischio limitato e ad alto rischio.
Attenzione alle date, perché a luglio 2026 sono cambiate. Il regolamento (UE) 2026/1744 dell’8 luglio 2026 ha rinviato l’applicazione degli obblighi sui sistemi ad alto rischio: al 2 dicembre 2027 per i sistemi dell’allegato III e al 2 agosto 2028 per quelli dell’allegato I. Sedici mesi in più per l’allegato III, dodici per l’allegato I.
Quello che invece si applica già, e riguarda quasi tutti, è un’altra cosa:
Quando arriverà il turno dell’alto rischio, il regolamento chiederà documentazione tecnica strutturata, log conservati, valutazione dei rischi, supervisione umana e integrazione nel sistema di controllo interno. Progettare adesso costa meno che rimediare dopo. Ma il calendario è quello sopra, e non è più il 2026.
Il regolamento non chiede alle aziende di smettere di innovare. Chiede di farlo in modo strutturato.
Si chiama articolo 4 e si applica dal 2 febbraio 2025. Chiede a chi fornisce e a chi utilizza sistemi di IA di adottare misure che sostengano lo sviluppo dell’alfabetizzazione in materia di IA del proprio personale e di chiunque usi quei sistemi per loro conto, tenendo conto delle competenze tecniche delle persone, della loro esperienza, della loro formazione e del contesto in cui i sistemi vengono usati.
Il testo è cambiato a luglio 2026 ed è diventato più morbido. Prima diceva di adottare misure «per garantire» un «livello sufficiente». Oggi dice di adottare misure «volte a sostenere lo sviluppo» dell’alfabetizzazione, e aggiunge una frase che conviene leggere per intero: l’obbligo «non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona».
All’articolo 4 non è agganciata nessuna sanzione europea. L’elenco dell’articolo 99 che arriva a 15 milioni di euro o al 3 per cento del fatturato riguarda altri articoli, e la fascia più alta, 35 milioni o il 7 per cento, punisce solo le pratiche vietate dall’articolo 5. Per le violazioni che non stanno in quell’elenco, le sanzioni le stabiliscono gli Stati membri.
Resta il punto pratico, ed è il motivo per cui conviene occuparsene adesso invece che nel 2027: l’azienda deve potersi mostrare attivata, mentre nessuno dice quanto basti. Tanto che lo stesso regolamento incarica la Commissione di pubblicare esempi pratici di come adempiere e il consiglio per l’IA di adottare raccomandazioni con obiettivi comuni. Nell’attesa, un percorso formativo tracciato, con il registro di chi ha fatto cosa e quando, è la risposta più semplice a una domanda che oggi non ha una risposta numerica.
Quando si parla di AI governance aziendale, molti pensano a policy, comitati e documenti. In realtà il concetto è più profondo.
Governare l’AI significa sapere dove entra nei processi e quale impatto produce sulle decisioni.
Se un modello influenza:
allora non è più solo tecnologia. È potere decisionale automatizzato.
E ogni decisione automatizzata deve avere:
Il NIST AI Risk Management Framework (AI RMF 1.0, gennaio 2023), che è uno strumento volontario, e lo standard ISO/IEC 42001:2023 raccomandano entrambi di coprire l’intero ciclo di vita del sistema, dalla progettazione al monitoraggio in produzione. Non è sufficiente validare un modello una volta. Serve un controllo continuo.
Nei progetti che seguiamo il problema più frequente non è l’uso di sistemi ad altissimo rischio. È la frammentazione.
Molte organizzazioni hanno:
Il risultato è una mappa invisibile.
L’IT spesso non ha una visione completa dei punti in cui l’AI incide su dati, persone e decisioni. E quando la mappa manca, la governance è impossibile.
L’AI Act 2026 Italia rende questa situazione insostenibile, perché la responsabilità non può essere distribuita in modo informale. Deve essere attribuita in modo chiaro.
Il concetto di “high-risk AI system” è centrale nel regolamento.
Non tutti i sistemi AI sono automaticamente ad alto rischio, ma molti casi aziendali si collocano in zone grigie. L’allegato III elenca otto ambiti: biometria, infrastrutture critiche, istruzione e formazione professionale, occupazione e gestione dei lavoratori, accesso a servizi essenziali pubblici e privati, attività di contrasto, migrazione e frontiere, giustizia e processi democratici. Se un sistema incide su uno di questi ambiti, va guardato da vicino.
Per un IT Manager, la valutazione non può essere superficiale. Serve analizzare:
Le aziende che hanno già classificato i propri casi d’uso e preparato la documentazione tecnica si portano avanti volontariamente, perché l’obbligo arriva nel 2027, e quando arriverà avranno il lavoro fatto.
Uno degli aspetti più sottovalutati dell’AI Act è la tracciabilità.
Non si tratta semplicemente di salvare log tecnici. Si tratta di poter dimostrare, a posteriori, come una decisione automatizzata è stata prodotta.
Questo implica:
Nel caso dei sistemi ad alto rischio il regolamento chiede che i sistemi registrino automaticamente gli eventi (articolo 12) e che i log siano conservati per un periodo adeguato alla finalità del sistema, comunque non inferiore a sei mesi (articolo 19).
Molte infrastrutture non sono progettate per garantire questo livello di tracciabilità, e ce ne si accorge quando serve. E intervenire a posteriori è molto più costoso che progettare correttamente fin dall’inizio.
Ogni sistema AI può produrre errori, bias o decisioni inattese. La maturità di un’organizzazione non si misura dall’assenza di errore, ma dalla capacità di reagire.
Un framework di AI governance solido deve includere:
L’integrazione tra incident management tradizionale e gestione degli incidenti AI è una delle aree in cui oggi si vede la differenza fra chi ha un metodo e chi no.
L’AI Act è un regolamento europeo e si applica direttamente. L’Italia però ha una legge propria che gli sta accanto: la legge 23 settembre 2025, n. 132, pubblicata in Gazzetta Ufficiale il 25 settembre 2025 ed entrata in vigore il 10 ottobre 2025.
Per chi guida l’IT la parte che conta di più è l’articolo 20, perché dice chi verrà a controllare. AgID e ACN sono designate autorità nazionali per l’intelligenza artificiale: AgID si occupa di notifica, valutazione, accreditamento e monitoraggio dei soggetti incaricati di verificare la conformità dei sistemi, ACN della vigilanza, comprese le ispezioni e le sanzioni. Per banche, mercati e assicurazioni restano autorità di vigilanza del mercato Banca d’Italia, CONSOB e IVASS.
C’è un errore concettuale diffuso: considerare la compliance come un costo.
Nei progetti che seguiamo, le aziende con una governance strutturata sono quelle che riescono ad aggiungere nuovi sistemi più in fretta.
Quando esistono:
l’introduzione di nuovi sistemi AI diventa più rapida e meno rischiosa.
La governance non rallenta l’innovazione. La rende sostenibile.
È già in vigore e si applica per gradi. Dal 2 febbraio 2025 valgono le definizioni, l’obbligo di alfabetizzazione dell’articolo 4 e i divieti; dal 2 agosto 2025 le regole sui modelli per finalità generali, la governance e le sanzioni; dal 2 agosto 2026 l’applicazione generale. Gli obblighi sui sistemi ad alto rischio sono stati rinviati al 2 dicembre 2027 e al 2 agosto 2028 dal regolamento (UE) 2026/1744 dell’8 luglio 2026. In Italia si affianca la legge 132/2025, in vigore dal 10 ottobre 2025.
Oggi il minimo è aver identificato i propri sistemi di IA, classificato i casi d’uso per livello di rischio, definito i ruoli di responsabilità e adottato misure a sostegno dell’alfabetizzazione del personale, che si applica dal febbraio 2025. Da agosto 2026 valgono anche gli obblighi di trasparenza dell’articolo 50, che riguardano chi espone un chatbot, chi pubblica contenuti generati e chi diffonde deep fake. Documentazione tecnica, log e tracciabilità diventano obbligatori con i sistemi ad alto rischio: dal 2 dicembre 2027 per quelli dell’allegato III e dal 2 agosto 2028 per quelli dell’allegato I. Chi li costruisce prima spende meno.
Sì. I modelli di AI generativa sono disciplinati in modo specifico dal regolamento, con obblighi di trasparenza e, in alcuni casi, requisiti aggiuntivi per i fornitori di modelli di IA per finalità generali con rischio sistemico.
Un sistema AI ad alto rischio è un sistema che può incidere significativamente su diritti fondamentali, sicurezza o accesso a servizi essenziali. La classificazione dipende dal contesto applicativo e dall’impatto.
Il regolamento non impone necessariamente un “AI Officer”, ma richiede accountability chiara. Molte organizzazioni stanno formalizzando ruoli specifici per garantire governance e coordinamento.
Lo standard ISO/IEC 42001:2023 definisce un sistema di gestione dell’intelligenza artificiale. È uno strumento utile per strutturare la governance e facilitare l’allineamento con i requisiti dell’AI Act.
Nel 2026 l’AI Act in Italia non è più una prospettiva futura. È un quadro operativo che obbliga le aziende a trasformare l’AI da tecnologia sperimentale a sistema governato.
Per un IT Manager, la priorità non è fermare l’AI. È mapparla, classificarla, documentarla e integrarla nei processi di controllo esistenti.
La differenza tra rischio e vantaggio competitivo sta nella governance.
L’AI Act non viaggia da solo: si inserisce in un’ondata normativa europea che comprende anche la Direttiva NIS2 e, per il settore finanziario, il Regolamento DORA. Per un IT Manager la sfida reale è governarle in modo integrato, non a silos.
Dgroove ha costruito un percorso dedicato agli IT Manager che devono governare l’adozione dell’AI: governance, classificazione dei rischi e roadmap di conformità, con materiale operativo scaricabile. Accedi al percorso AI Act per IT Manager oppure scrivici per una consulenza sulla formazione AI e cybersecurity del tuo team.
Se non hai ancora mappato i tuoi sistemi AI, classificato i casi d’uso e verificato log e responsabilità, il momento di farlo è ora. Ogni mese di ritardo aumenta esposizione e complessità.
Prenota una call strategica di 30 minuti con un consulente Dgroove per:
