Il 1° settembre 2026 la Commissione europea ha confermato di aver inviato richieste formali di informazioni a oltre 30 società di intelligenza artificiale. Sono i primi controlli AI Act nella storia del regolamento: fino a oggi si parlava di scadenze, da oggi si parla di verifiche.
La risposta breve per chi ha un'attività e usa l'AI: le richieste non sono rivolte a te, ma ai fornitori dei grandi modelli. Però cambiano il clima. Un regolamento che viene applicato è un regolamento che prima o poi arriva anche a chi quei modelli li integra in un chatbot, in un gestionale o in un sito.
In questo articolo ricostruisco cosa ha chiesto Bruxelles, a chi, perché proprio adesso, e soprattutto cosa dovrebbe avere pronto una PMI italiana se un giorno la verifica dovesse arrivare a lei. Per il calendario completo degli obblighi rimando alla mia guida su cosa è scattato con l'AI Act dal 2 agosto 2026: qui mi concentro sui controlli.
Controlli AI Act: cosa ha fatto la Commissione
La conferma è arrivata dal portavoce della Commissione Thomas Regnier durante il briefing. Le richieste sono "le prime nell'ambito delle azioni di enforcement avviate dalla Commissione" e riguardano "due principali aree".
I nomi delle aziende non sono stati resi noti: si tratta, ha precisato Regnier, di semplici richieste di informazioni e il dialogo prosegue con tutte. Interpellato su OpenAI e Anthropic, il portavoce ha confermato scambi recenti con entrambe anche sui rischi di cybersicurezza dei loro modelli, senza dire se figurino tra i destinatari formali.
Le due aree sotto esame
Secondo la ricostruzione di AI4Business, che cita un'intervista della vicepresidente esecutiva Henna Virkkunen a Euractiv del 26 agosto, le richieste chiedono agli sviluppatori di documentare:
- Sicurezza e rischi sistemici: le misure per proteggere i modelli dagli attacchi, limitare le capacità pericolose e controllare l'accesso concesso ai valutatori esterni. Il riferimento ai test cyber e agli incidenti nelle sandbox è esplicito.
- Diritto d'autore: come vengono rispettate le norme europee sul copyright nei dati di addestramento.
È il primo utilizzo dei poteri di enforcement sui modelli di intelligenza artificiale per finalità generali (GPAI), diventati pienamente esercitabili il 2 agosto 2026. Fino a quella data la Commissione poteva solo raccomandare; ora può chiedere documenti, disporre verifiche tecniche e, alla fine del percorso, sanzionare.
Perché i controlli AI Act partono proprio adesso
Tre cose si sono allineate nelle ultime settimane, e le ho seguite tutte da vicino perché toccano gli strumenti che uso ogni giorno.
La prima è il calendario: dal 2 agosto la Commissione ha i poteri, e un'autorità che ha un potere nuovo tende a usarlo presto per stabilire il precedente.
La seconda è la sicurezza. Il tema dei modelli capaci di trovare e sfruttare vulnerabilità è esploso con la generazione Mythos di Anthropic e con le risposte di OpenAI, e nelle stesse settimane Anthropic ha pubblicato nuove barriere per i clienti enterprise. Ne ho scritto analizzando cosa cambia con Claude Fable 5.1 e Mythos 5.1. Bruxelles vuole vedere la documentazione dietro quelle barriere, non i comunicati stampa.
La terza è il copyright. Le cause intentate dalle major discografiche contro gli sviluppatori di modelli per l'uso di musica nei dati di addestramento hanno riportato il tema al centro, e l'AI Act chiede ai fornitori GPAI una policy sul diritto d'autore e un riepilogo pubblico dei dati usati.
Cosa cambia per una PMI che usa l'AI
Qui serve chiarezza, perché in giro si leggono due estremi: "non ti riguarda" e "ora arrivano le multe". Nessuno dei due è corretto.
Non sei tu il destinatario, oggi
Le richieste sono rivolte ai fornitori di modelli generali. Se usi ChatGPT, Claude, Gemini o un chatbot costruito sopra uno di questi modelli, il tuo ruolo nell'AI Act è quello di deployer, e gli obblighi principali sono quelli di trasparenza dell'articolo 50 e di alfabetizzazione del personale.
Ma la catena di fornitura ora conta
Se un fornitore dovesse limitare funzioni, cambiare condizioni o restringere l'accesso API per adeguarsi a una richiesta della Commissione, il tuo prodotto ne risente. Lo abbiamo già visto con restrizioni introdotte dai fornitori per motivi di sicurezza: chi aveva integrazioni rigide ha dovuto rimettere mano al codice in fretta.
La lezione pratica è una: nessuna integrazione AI dovrebbe dipendere da un solo modello senza un piano di sostituzione. Nei progetti che sviluppo il livello di chiamata al modello è sempre isolato, in modo da poter cambiare fornitore in giorni, non in mesi.
In Italia i controlli hanno già un indirizzo
La Legge 132/2025, in vigore dal 10 ottobre 2025, ha designato AgID e ACN come autorità nazionali per l'intelligenza artificiale, con il Garante Privacy che mantiene le sue competenze sui dati personali. I decreti attuativi, approvati in esame preliminare dal Consiglio dei Ministri il 10 giugno 2026 e poi nell'estate, completano il quadro. In pratica: la vigilanza nazionale è operativa, e i controlli AI Act sulle imprese italiane, quando arriveranno, passeranno da lì.
I 6 documenti da tenere pronti per un controllo AI Act
Ho ragionato su cosa chiederei io, se dovessi verificare un'azienda, e su cosa i miei clienti riescono davvero a produrre in poche ore. Questo è l'elenco minimo, in ordine di priorità.
- 1. Inventario dei sistemi AI: un foglio con nome dello strumento, fornitore, funzione, chi lo usa e da quando. Se non sai elencare i sistemi, non puoi dimostrare nulla del resto.
- 2. Classificazione del rischio: per ogni sistema, una riga che dice se rientra nelle pratiche vietate, nell'alto rischio o nella trasparenza. Per la maggior parte delle PMI la risposta è "trasparenza", ma va scritta.
- 3. Prova della trasparenza: screenshot datati del chatbot che si dichiara AI nel primo messaggio, delle etichette sui contenuti generati, del passaggio a operatore umano. È la prova più semplice da produrre e la più richiesta.
- 4. Registro della formazione: l'obbligo di alfabetizzazione AI vale da febbraio 2025. Basta un elenco di chi ha seguito cosa, con date e materiali.
- 5. Policy interna sull'uso dell'AI: una pagina con strumenti autorizzati, dati che non vanno nei prompt, referente interno. Copre AI Act e GDPR insieme.
- 6. Documentazione dei fornitori: i contratti o le condizioni d'uso dei servizi AI, con le clausole su conformità, sede dei dati e responsabilità. Se il fornitore non le fornisce, è un segnale.
Sei documenti, nessuno dei quali richiede un avvocato per la prima stesura. Il tempo che serve è quello di raccoglierli prima che servano.
Il caso pratico: il chatbot sul sito
Il sistema AI più diffuso tra le piccole imprese italiane è il chatbot di assistenza, e per me è anche il caso più semplice da mettere in regola. Nei progetti che realizzo la disclosure vive nel codice: il primo messaggio dichiara che l'assistente è un'AI, l'etichetta resta visibile nell'intestazione della chat, ogni conversazione è loggata e c'è sempre un modo per parlare con una persona.
Il punto che spesso manca è il sesto documento dell'elenco: sapere quale modello c'è sotto e con quali condizioni. Se il tuo chatbot è stato installato da un fornitore che non sa dirti quale modello usa, dove finiscono i dati delle conversazioni e cosa succede se quel modello cambia, il problema non è la compliance: è la fornitura. Ne parlo anche in quando un chatbot aziendale serve davvero e quando no.
Controlli AI Act e incentivi: il legame che pochi vedono
C'è un effetto collaterale dei controlli che riguarda direttamente il bilancio. La conformità all'AI Act sta entrando come condizione nei bandi per la digitalizzazione: un sistema AI acquistato con un incentivo e poi trovato non conforme espone al rischio di perdere il beneficio in sede di verifica. Se stai valutando un investimento in AI con fondi pubblici, prima leggi la mia mappa dei bandi per l'intelligenza artificiale 2026, poi assicurati che i sei documenti qui sopra esistano prima della rendicontazione.
Leggi anche
- AI Act dal 2 agosto 2026: cosa cambia davvero per le PMI
- Claude Fable 5.1 e Mythos 5.1: cosa cambia e quanto costa
- Chatbot per aziende: quando serve e quando no
- Bandi Intelligenza Artificiale 2026: tutte le agevolazioni
Conclusione
I primi controlli AI Act colpiscono i grandi fornitori, non le PMI. Ma segnano il passaggio dalla teoria all'applicazione, e la catena di fornitura da cui dipende il tuo chatbot o la tua automazione è ora sotto osservazione. Il modo più economico per non farsi trovare impreparati è raccogliere oggi i sei documenti dell'elenco e costruire le integrazioni in modo da poter cambiare modello senza riscrivere tutto.
Se vuoi una verifica tecnica di come sono integrati e documentati i sistemi AI nella tua attività, scrivimi: rispondo io e guardiamo insieme codice, fornitori e trasparenza. Questo articolo è divulgazione tecnica, non consulenza legale: per i profili giuridici rivolgiti a un avvocato o a un DPO.
