Il 2 agosto 2026 non è arrivato l’AI Act. È cominciata una fase diversa
Le date, quando si parla di regolamenti europei, rischiano di trasformarsi rapidamente in una sequenza poco memorabile di entrate in vigore, periodi transitori e scadenze. Nel caso dell’AI Act, però, il 2 agosto 2026 segna un passaggio che vale la pena osservare anche al di fuori degli uffici legali.
Il Regolamento europeo sull’intelligenza artificiale è entrato in vigore il 1° agosto 2024 e la sua applicazione è stata costruita per fasi. I divieti relativi ad alcune pratiche AI e le disposizioni sull’AI literacy hanno iniziato ad applicarsi il 2 febbraio 2025. Il 2 agosto dello stesso anno sono diventate applicabili le regole sulla governance e gli obblighi relativi ai modelli di AI per finalità generali. Dal 2 agosto 2026 il Regolamento è diventato applicabile nella sua struttura generale, mentre il calendario dei sistemi ad alto rischio è stato successivamente modificato dall’AI Omnibus entrato in vigore il 27 luglio 2026: le regole relative ai casi d’uso dell’Allegato III, che comprendono tra gli altri occupazione, istruzione, biometria, infrastrutture critiche e migrazione, si applicheranno dal 2 dicembre 2027; quelle relative ai sistemi ad alto rischio incorporati in prodotti regolamentati dal 2 agosto 2028.
Non è quindi corretto raccontare l’AI Act come un interruttore acceso improvvisamente nell’estate del 2026. È più utile immaginarlo come un sistema che sta progressivamente entrando in funzione e che, proprio in questi mesi, comincia a produrre conseguenze concrete per organizzazioni, tecnologie e persone.
Dal 2 agosto, per esempio, sono applicabili gli obblighi di trasparenza previsti per determinate applicazioni dell’intelligenza artificiale. In alcuni casi chi interagisce con un sistema AI deve essere informato del fatto che dall’altra parte non c’è una persona; per determinate tipologie di contenuti sintetici sono previste marcature leggibili dalle macchine; deepfake e altre categorie di contenuti generati o manipolati sono soggetti a specifici obblighi di disclosure.
Ma concentrarsi esclusivamente sulle prescrizioni rischia di far perdere la trasformazione più interessante.
Per anni abbiamo discusso se e come le aziende avrebbero dovuto adottare l’intelligenza artificiale. Nel frattempo l’intelligenza artificiale è entrata nelle aziende senza aspettare che quella discussione finisse.
La domanda quindi non è più soltanto come possiamo utilizzare l’AI. È diventata: sappiamo davvero dove la stiamo già utilizzando?
Fonti: Commissione europea, “AI Act – Application timeline”, aggiornamento agosto 2026; Commissione europea, “Navigating the AI Act”; Commissione europea, Guidelines on transparency obligations for providers and deployers of AI systems.
L’AI è già dentro le aziende. Molto più delle strategie che dovrebbero governarla.
I numeri aiutano a comprendere la velocità del cambiamento. Secondo Eurostat infatti, nel 2025 il 19,95% delle imprese dell’Unione Europea con almeno dieci addetti utilizzava già almeno una tecnologia di intelligenza artificiale. Nel 2024 erano il 13,48%. Nel 2023 poco più dell’8%.
Significa che in appena due anni la diffusione dell’AI nelle imprese europee è più che raddoppiata. La distanza diventa ancora più significativa osservando le dimensioni delle organizzazioni. Nel 2025 utilizzava tecnologie AI il 55,03% delle grandi imprese europee, contro il 30,36% delle medie e il 17% delle piccole.
Ma anche questi numeri raccontano soltanto la parte visibile del fenomeno, perché l’adozione reale dell’intelligenza artificiale non coincide necessariamente con l’acquisto di una piattaforma identificata formalmente dall’azienda come “AI”. L’intelligenza artificiale è ormai incorporata nei software che utilizziamo quotidianamente, nelle suite di produttività, nei CRM, nelle piattaforme di recruiting, nei sistemi di analytics, negli strumenti di marketing automation e nei software di customer care.
E poi c’è tutta l’AI utilizzata direttamente dalle persone, spesso al di fuori di procedure formalizzate. Come ad esempio un dipendente che arica un documento su un modello generativo per sintetizzarlo. Un recruiter utilizza uno strumento per confrontare decine di curriculum. Un commerciale inserisce gli appunti di una call per ottenere una proposta. Un marketing manager analizza dati, produce contenuti o crea segmentazioni. Uno sviluppatore utilizza un assistente per generare codice. Una riunione viene registrata, trascritta, sintetizzata e trasformata automaticamente in task.
Singolarmente sono piccoli gesti mentre insieme rappresentano una trasformazione dell’infrastruttura invisibile del lavoro.
È ciò che viene sempre più spesso definito Shadow AI: utilizzi dell’intelligenza artificiale che avvengono al di fuori, o ai margini, della governance ufficiale dell’organizzazione.
Ed è qui che il problema cambia natura. Non riguarda soltanto quale software sia stato utilizzato, ma quali informazioni gli siano state affidate, dove vengano elaborate, per quanto tempo siano conservate, quali altri sistemi possano utilizzarle, quale output ritorni all’azienda e soprattutto quale decisione venga presa sulla base di quell’output.
Un’organizzazione può quindi avere una strategia AI ancora embrionale e, contemporaneamente, decine o centinaia di micro-processi nei quali l’intelligenza artificiale è già presente.
Prima di governare l’AI bisogna riuscire a vederla.
Fonte: Eurostat, “Use of artificial intelligence in enterprises”, dati 2025.
HR, IT, Marketing, Legal: quattro problemi diversi che in realtà sono lo stesso problema
Uno dei principi fondamentali dell’AI Act è l’approccio basato sul rischio. Non tutte le applicazioni dell’intelligenza artificiale sono trattate allo stesso modo, perché non tutte producono le stesse conseguenze sulle persone e sulla società. Ma per un’azienda la classificazione normativa rappresenta soltanto una parte del problema.
Lo stesso sistema può assumere significati completamente diversi a seconda del processo nel quale viene utilizzato, dei dati ai quali accede, del livello di autonomia che gli viene concesso e dell’impatto prodotto sulle persone.
Generare una prima bozza di una newsletter, classificare automaticamente richieste ricevute dal customer service e utilizzare un algoritmo per valutare candidati non sono tre versioni dello stesso problema.
Per HR, il tema diventa particolarmente sensibile quando l’intelligenza artificiale entra nel recruiting, nello screening dei curriculum, nella valutazione delle performance, nell’assegnazione dei task o nelle decisioni che possono incidere sulla carriera delle persone. L’AI Act include infatti tra i casi ad alto rischio dell’Allegato III diversi sistemi utilizzati nell’occupazione e nella gestione dei lavoratori: recruiting e selezione, decisioni sulle condizioni del rapporto di lavoro, promozioni e cessazioni, assegnazione dei compiti sulla base di caratteristiche individuali, monitoraggio e valutazione delle performance.
Con l’attuale calendario europeo, le relative disposizioni sui sistemi ad alto rischio saranno applicabili dal 2 dicembre 2027. Non significa che HR possa aspettare quella data. Al contrario, significa avere oggi una finestra per comprendere quali sistemi siano già presenti, quali fornitori siano coinvolti, quali dati vengano trattati e quali processi debbano eventualmente essere riprogettati.
Per IT, la questione assume un’altra forma. Ogni nuovo sistema AI apre domande su identità e accessi, API, integrazioni, cybersecurity, data retention, trattamento e localizzazione dei dati, dipendenza dai fornitori, scelta dei modelli e tracciabilità delle operazioni. Il problema non consiste soltanto nell’impedire che un dipendente inserisca informazioni riservate in un chatbot pubblico. Consiste nel costruire un’architettura nella quale sia chiaro quali sistemi possano accedere a quali informazioni, attraverso quali autorizzazioni e per svolgere quali azioni.
Per Marketing, Sales e Customer Service, invece, l’intelligenza artificiale promette velocità, personalizzazione, produzione e automazione. Ma porta con sé questioni di trasparenza, proprietà intellettuale, affidabilità degli output, utilizzo dei dati e reputazione. Con l’applicazione degli obblighi di trasparenza dell’AI Act dal 2 agosto 2026, alcuni di questi aspetti smettono inoltre di essere semplicemente questioni di buona pratica.
Per Legal, Compliance e DPO, infine, il problema è comprendere come il nuovo Regolamento si inserisca in un ecosistema normativo già esistente. L’AI Act non sostituisce il GDPR, non sostituisce il diritto d’autore, non sostituisce gli obblighi di cybersecurity, la normativa sul lavoro o la tutela dei consumatori. Si sovrappone e dialoga con essi.
Quattro prospettive apparentemente differenti convergono quindi nella stessa domanda: chi governa l’AI quando l’AI attraversa tutta l’azienda? La risposta non può appartenere a un singolo reparto.
Fonti: Regolamento (UE) 2024/1689, Allegato III; Commissione europea, “AI Act – Application timeline”, aggiornamento agosto 2026.
Governare l’AI non significa bloccarla ma decidere dove può andare.
Di fronte a una tecnologia che evolve più velocemente delle procedure interne, la tentazione più semplice è costruire una lista di divieti. Non utilizzare determinati strumenti. Non inserire informazioni aziendali. Non generare determinati contenuti. Non automatizzare determinate attività.
Alcuni confini sono indispensabili. Ma una governance costruita esclusivamente sulla proibizione presenta un problema evidente: non elimina necessariamente l’utilizzo dell’AI, rischia semplicemente di renderlo meno visibile.
Per questo il punto di partenza non dovrebbe essere una policy scritta in astratto, ma una fotografia dell’organizzazione reale.
Quali strumenti sono già utilizzati? Quali funzionalità AI sono incorporate nelle licenze software che l’azienda possiede? Quali team utilizzano modelli generativi? Quali informazioni vengono condivise? Quali processi prevedono un output prodotto o elaborato dall’AI? Quali fornitori utilizzano sistemi di intelligenza artificiale nei servizi erogati all’azienda? Quali decisioni vengono automatizzate o supportate? Dove è presente una supervisione umana e dove, invece, l’output viene assunto quasi automaticamente come corretto?
Da questa fotografia può nascere un AI inventory, un registro dinamico dei sistemi e dei casi d’uso capace di associare a ogni applicazione il processo coinvolto, il responsabile interno, i dati utilizzati, il fornitore, il livello di autonomia, le persone potenzialmente impattate e il relativo profilo di rischio.
Da qui si può passare alla valutazione dei singoli casi, alla definizione degli strumenti ammessi, delle responsabilità, dei livelli di accesso, delle procedure e dei sistemi di controllo. E contemporaneamente individuare quei processi nei quali l’intelligenza artificiale potrebbe produrre valore e ancora non viene utilizzata.
È un passaggio importante perché permette di distinguere due concetti spesso sovrapposti: compliance e governance.
La compliance risponde alla domanda: possiamo utilizzare questo sistema rispettando le norme applicabili? La governance aggiunge altre domande: ci serve davvero? È sicuro? Chi ne è responsabile? Quali dati può utilizzare? Quanto controllo umano vogliamo mantenere? Quanto costa? Quanto tempo risparmia? Migliora realmente la qualità del processo? E soprattutto: produce valore?
Perché un sistema perfettamente conforme ma inutile rimane un cattivo investimento.
AI literacy: conoscere ChatGPT non significa conoscere l’AI
C’è un punto dell’AI Act particolarmente interessante perché porta la discussione fuori dalla tecnologia e dentro le competenze.
Le disposizioni sull’AI literacy sono applicabili dal 2 febbraio 2025 e sono state modificate nel 2026 dall’AI Omnibus. Nella formulazione attuale, provider e deployer devono adottare misure per sostenere lo sviluppo dell’alfabetizzazione AI del personale e delle altre persone che operano con sistemi di intelligenza artificiale per loro conto. Non viene però imposto un unico livello di conoscenza valido per tutti: devono essere considerate le competenze tecniche, l’esperienza, l’istruzione e la formazione delle persone, insieme al contesto nel quale i sistemi vengono utilizzati.
La Commissione europea chiarisce inoltre un punto estremamente concreto: anche un’azienda nella quale i dipendenti utilizzano strumenti come ChatGPT per scrivere testi pubblicitari o effettuare traduzioni deve affrontare il tema dell’AI literacy, informando le persone dei rischi specifici, per esempio quello delle allucinazioni dei modelli.
È una formulazione molto più interessante di quanto possa sembrare. Perché conoscere ChatGPT non significa conoscere l’intelligenza artificiale. E saper scrivere un buon prompt non significa necessariamente sapere quando un sistema possa essere utilizzato, quali dati possa ricevere o quanto ci si possa fidare del suo output.
L’AI literacy di un recruiter dovrebbe comprendere i rischi di bias, discriminazione e automazione delle decisioni. Quella di chi lavora nel marketing dovrebbe includere proprietà intellettuale, trasparenza, trattamento dei dati e affidabilità dei contenuti. Un team IT deve conoscere architetture, sicurezza, accessi, modelli e integrazioni. Un management team dovrebbe essere in grado di valutare opportunità, costi, responsabilità e ritorni.
Non serve quindi la stessa formazione per tutti, serve costruire competenze proporzionate al ruolo, al processo e al rischio.
Ed è forse questo uno degli effetti più interessanti dell’AI Act: rendere evidente che l’adozione dell’intelligenza artificiale non può più essere delegata a una piccola comunità di persone particolarmente curiose o tecnologicamente competenti. Deve diventare una competenza organizzativa.
Fonte: Commissione europea, “AI Literacy – Questions & Answers”, aggiornamento successivo all’AI Omnibus 2026.
L’AI Act stabilisce il perimetro dentro il quale bisogna riprogettare il lavoro.
Una volta resa visibile l’AI presente nell’organizzazione, la questione diventa inevitabilmente operativa.
Bisogna distinguere i casi d’uso, valutarne rischi e opportunità, definire responsabilità e strumenti autorizzati. Bisogna formare le persone non sull’intelligenza artificiale in astratto, ma sulle applicazioni che incontrano nel proprio lavoro. E infine bisogna misurare: tempo risparmiato, riduzione dei costi, qualità degli output, errori, adoption, soddisfazione delle persone, performance del processo, ritorno economico.
Perché esiste un rischio meno discusso rispetto a quelli normativi: spendere moltissimo per introdurre AI che non produce alcun vantaggio significativo.
L’obiettivo non dovrebbe essere avere più AI possibile. Dovrebbe essere capire dove l’intelligenza artificiale è realmente capace di modificare il rapporto tra risorse impiegate e valore prodotto.
Questa questione diventa ancora più importante osservando l’evoluzione tecnologica in corso. Stiamo rapidamente superando la prima stagione dell’AI generativa, quella nella quale l’interazione consisteva prevalentemente nel chiedere a un modello di produrre un testo, un’immagine, una sintesi o un’analisi. Stiamo entrando nella fase degli agenti AI, sistemi capaci di utilizzare strumenti, interrogare fonti differenti, compiere sequenze di azioni e perseguire un obiettivo con livelli crescenti di autonomia.
La differenza sembra tecnica, ma è soprattutto organizzativa. Un conto è chiedere a un sistema di scrivere una mail. Un altro è permettergli di leggere un CRM, identificare un lead, recuperare informazioni, predisporre una comunicazione, aggiornare il database e programmare un’attività successiva.
A quel punto non stiamo più automatizzando semplicemente un task, stiamo ridisegnando un processo.
Ed è precisamente per questo che HR e IT non possono affrontare la trasformazione separatamente. Il primo conosce persone, ruoli e organizzazione; il secondo infrastrutture, dati e sicurezza. Tra i due esistono processi, customer experience, business model e obiettivi economici.
L’AI Act rende necessario governare l’intelligenza artificiale e la trasformazione che sta avvenendo rende necessario capire che cosa vogliamo farne.
Da NOOO a BOOONSAI: dall’esperienza digitale alla trasformazione dei processi
È dentro questa trasformazione che dall’esperienza di NOOO è nata BOOONSAI, spin-off verticale dedicato all’intelligenza artificiale applicata ai processi aziendali.
Non come laboratorio separato dal lavoro fatto fino a oggi, ma come sua evoluzione.
Perché lavorare per anni su ecosistemi digitali, dati, marketing, customer experience, e-commerce, piattaforme, analytics e progettazione dei servizi significa osservare quotidianamente il punto in cui tecnologia, persone e processi si incontrano. L’intelligenza artificiale sta modificando proprio quel punto.
BOOONSAI nasce per portare questa esperienza dentro una nuova fase: aiutare le organizzazioni a comprendere dove l’AI sia già presente, dove possa produrre valore, dove introduca rischio e quali condizioni tecnologiche, organizzative e culturali siano necessarie per adottarla in maniera consapevole.
Questo può significare partire da un AI assessment, affrontare Shadow AI e data governance, definire policy e strumenti di protezione, costruire percorsi di formazione differenziati per funzione. Ma può significare anche andare oltre la compliance: progettare agenti AI, automatizzare processi, intervenire sul customer service, supportare recruiting e HR, ripensare attività marketing e sales.
Perché implementare un nuovo strumento oggi è relativamente facile.
La parte difficile è scegliere quale problema affidargli, quali dati permettergli di utilizzare, quale autonomia concedergli, quale controllo mantenere e quale risultato aspettarsi. Ed è lì che la tecnologia diventa consulenza.
Il punto non è essere pronti per l’AI Act. È essere pronti per quello che viene dopo
Il 2 agosto 2026 resterà una data importante nella storia della regolamentazione dell’intelligenza artificiale europea. Ma probabilmente non perché improvvisamente le aziende abbiano iniziato a utilizzare l’AI. È vero il contrario: le regole stanno arrivando perché l’AI è già diventata parte del lavoro.
Il compito delle organizzazioni è ora trasformare questa diffusione spesso spontanea, frammentata e invisibile in qualcosa di consapevole: sapere quali sistemi vengono utilizzati, comprendere quali dati attraversano, stabilire responsabilità, formare le persone, proteggere ciò che deve essere protetto, sperimentare dove esiste un’opportunità, misurare ciò che funziona.
L’AI Act rende una parte di questo percorso obbligatoria, la competitività renderà necessario tutto il resto.
La domanda quindi non è quanta intelligenza artificiale riusciremo a mettere nelle nostre aziende, è quanta saremo capaci di governarne, integrarne nei processi e trasformarne in valore.
Quanto AI c’è già nella tua azienda?
Se vuoi mappare gli utilizzi esistenti, comprendere rischi e opportunità e individuare i processi dai quali partire, contattaci per un approfondimento.