AI Act e marketing: cosa cambia per le PMI dal 2 agosto 2026

Il 2 agosto 2026 scatta una scadenza che riguarda anche te, se sul tuo sito c’è un chatbot o se il tuo team scrive testi con l’intelligenza artificiale. È il giorno in cui diventa applicabile la parte generale del Regolamento europeo sull’intelligenza artificiale, compresi gli obblighi di trasparenza. Non è una pratica da girare al legale e archiviare.

La tesi di questo articolo è che gli obblighi che ti toccano sono meno pesanti di quanto temi, ma nessuno li assolve al posto tuo. Il legale ti dice cosa prescrive la norma. Quali strumenti automatici hai attivi in azienda, quello lo sai solo tu. E li hai: secondo la ricerca Jasper State of AI in Marketing 2026, condotta su 1.400 professionisti del marketing a fine 2025, il 91% dichiara di usare l’AI nel proprio lavoro, contro il 63% della rilevazione precedente.

È una scena che si ripete quasi ogni mese nelle call che facciamo con i clienti. Il direttore commerciale elenca gli strumenti attivi, arriva al chatbot messo online due anni fa e si ferma. Chi lo aveva configurato non lavora più in azienda, e nessuno sa più su quali dati risponde.

In sintesi: cosa devi fare entro il 2 agosto 2026

Se usi strumenti di AI di terze parti nel marketing, gli adempimenti che ti riguardano sono quattro, e nessuno richiede un progetto.

• Inventario degli strumenti AI attivi: cosa usi, per cosa, con quali dati, chi ne risponde.
• Avviso sul chatbot: chi ci scrive deve capire di parlare con un sistema automatico.
• Informative aggiornate: privacy policy e termini di servizio devono dire che usi sistemi di AI.
• Formazione minima del team: è l’obbligo di alfabetizzazione, in vigore già dal 2 febbraio 2025.

Aggiornato al 25 luglio 2026, dopo la pubblicazione in Gazzetta Ufficiale UE del Regolamento (UE) 2026/1744 che modifica l’AI Act.

Cosa prevede l’AI Act e perché riguarda chi fa marketing?

L’AI Act è il Regolamento (UE) 2024/1689, il primo quadro normativo europeo che regola sviluppo e uso dei sistemi di intelligenza artificiale classificandoli per livello di rischio. Non riguarda solo chi costruisce i modelli: riguarda anche chi li usa nelle proprie attività professionali, PMI comprese.

La logica è lineare. Più un sistema può causare danni, più è regolamentato. Le categorie sono quattro:

• Rischio inaccettabile: pratiche vietate, come la manipolazione che sfrutta tecniche subliminali o il punteggio sociale.
• Alto rischio: obblighi stringenti, per esempio nella selezione del personale o nell’accesso al credito.
• Rischio limitato: obblighi di trasparenza, la categoria di chatbot e contenuti generati da AI.
• Rischio minimo: nessun obbligo specifico, come i filtri antispam.

Quasi tutti gli strumenti AI usati nel marketing B2B ricadono nel rischio limitato: chatbot di qualificazione, generatori di testi, sistemi di raccomandazione. Non significa zero obblighi, ma vuol dire che gli obblighi si concentrano sulla trasparenza verso chi ti legge.

Perché quasi tutte le PMI sono “deployer”?

Perché il Regolamento distingue chi sviluppa i sistemi AI da chi li utilizza in un contesto professionale, e le PMI stanno quasi sempre nella seconda categoria. La norma chiama fornitore (provider) chi sviluppa il sistema e lo immette sul mercato con il proprio nome o marchio, e deployer chi lo utilizza sotto la propria autorità nella propria attività.

Se usi ChatGPT, l’AI dentro il tuo CRM o una piattaforma pubblicitaria con ottimizzazione automatica, sei un deployer. Non hai costruito il modello, lo hai adottato. Il deployer ha obblighi propri, più leggeri di quelli del fornitore ma non nulli, e concentrati su cosa dichiari agli utenti finali e su come tieni traccia internamente di quello che usi. Attenzione a un caso di confine: se sviluppi un sistema in casa e lo usi per i tuoi scopi, sei fornitore e deployer insieme, e gli obblighi si sommano.

Quali sono le scadenze dell’AI Act da segnare in agenda?

Le scadenze si distribuiscono tra il 2025 e il 2028, e la tabella qui sotto le riassume. Il Regolamento non è entrato in applicazione tutto insieme, ed è questo che genera la confusione più frequente. Il calendario è stato inoltre riscritto a ridosso del traguardo dal cosiddetto Digital Omnibus.

Cosa è già obbligatorio dal 2025?

Due cose, e la seconda sorprende quasi tutti. Dal 2 febbraio 2025 sono vietate le pratiche a rischio inaccettabile dell’articolo 5. Nel marketing parliamo di sistemi che usano tecniche subliminali o manipolative, o che sfruttano vulnerabilità legate a età, disabilità o situazione socioeconomica, distorcendo in modo rilevante il comportamento delle persone e causando o potendo causare un danno significativo. È una soglia alta: non ogni interfaccia aggressiva ci rientra, e i cosiddetti dark pattern restano regolati soprattutto dal diritto dei consumatori e dal Digital Services Act.

Dalla stessa data si applica l’articolo 4 sull’alfabetizzazione in materia di IA, che riguarda fornitori e deployer, quindi anche te. Il Digital Omnibus ne ha attenuato il contenuto: si passa dall’obbligo di “garantire un livello sufficiente” a quello di “sostenere lo sviluppo” delle competenze, con l’espressa precisazione che non è imposto un livello specifico per ciascuna persona. Resta comunque un adempimento vincolante. In pratica: chi usa uno strumento AI per lavoro deve sapere dove può sbagliare, quando non fidarsi dell’output e come trattare i dati. Un percorso breve e documentato basta.

Cosa scatta davvero il 2 agosto 2026?

L’applicazione generale del Regolamento e gli obblighi di trasparenza dell’articolo 50, che si applicano a tutti i sistemi in perimetro a prescindere dalla data di immissione sul mercato. Da quella data la vigilanza delle autorità nazionali si estende all’insieme delle disposizioni applicabili, mentre l’impianto sanzionatorio e le regole su governance e modelli per finalità generali erano già applicabili dal 2 agosto 2025.

Gli obblighi dell’articolo 50 si distribuiscono tra due figure. Il fornitore deve progettare i sistemi destinati a interagire con le persone in modo che l’utente sappia di parlare con una AI, e marcare in formato leggibile dalle macchine gli output dei sistemi che generano contenuti sintetici. Il deployer ha obblighi propri e più circoscritti: dichiarare i deepfake che pubblica, informare quando usa riconoscimento delle emozioni o categorizzazione biometrica, dichiarare i testi generati dall’AI pubblicati per informare il pubblico su questioni di interesse pubblico. Il quadro completo è sul portale AI Act Service Desk della Commissione Europea.

Cosa ha cambiato il Digital Omnibus?

Ha rinviato gli obblighi sui sistemi ad alto rischio, lasciando intatta la trasparenza. Il Regolamento (UE) 2026/1744, pubblicato in Gazzetta Ufficiale dell’Unione europea il 24 luglio 2026 ed entrato in vigore il 27 luglio, sposta l’applicazione degli obblighi per i sistemi ad alto rischio dal 2 agosto 2026 al 2 dicembre 2027 per i sistemi autonomi dell’Allegato III e al 2 agosto 2028 per quelli integrati nei prodotti dell’Allegato I.

C’è una sola eccezione dentro l’articolo 50 e riguarda i fornitori: per i sistemi generativi già sul mercato, la finestra per adeguarsi alla marcatura leggibile meccanicamente dei contenuti si chiude il 2 dicembre 2026. Se pubblichi immagini o video generati con strumenti di terze parti, non è un adempimento tuo, ma è una domanda sensata da fare al fornitore.

Il messaggio da non fraintendere: il rinvio riguarda scadenze specifiche, non il calendario intero. Se usi strumenti di marketing di terze parti, il tuo perimetro operativo resta quello di agosto 2026. Il testo integrale delle modifiche è nel Regolamento (UE) 2026/1744 su EUR-Lex, disponibile anche in italiano.

Cosa cambia davvero nelle tue attività di marketing?

Cambiano tre cose: cosa dichiari sul chatbot, cosa etichetti nei contenuti, cosa documenti sulla profilazione. Vediamole una per una, perché è qui che la norma diventa una lista di cose da fare.

Hai un chatbot sul sito? Va dichiarato

Sì, e la responsabilità formale è del fornitore. L’articolo 50, paragrafo 1 impone a chi sviluppa e immette sul mercato il sistema di progettarlo in modo che l’utente sappia di interagire con una AI, salvo che la circostanza sia evidente dal contesto. Se il chatbot lo hai comprato, l’obbligo di progettazione non è tuo.

Nella pratica, però, la partita si gioca sul tuo sito. Cosa fare: verificare che l’avviso ci sia davvero e sia leggibile all’avvio della conversazione, del tipo “stai parlando con un assistente AI”, anche se il bot ha un nome e un carattere definito. In ambito commerciale contare sull’ovvietà del contesto è una scommessa che non conviene fare. Poi una riga interna che registri quale agente AI conversazionale usi, chi lo ha fornito e come è configurato.

Contenuti generati con AI: cosa va etichettato

Come deployer, i deepfake. L’articolo 50, paragrafo 4 impone a chi utilizza un sistema che genera o manipola immagini, audio o video costituenti un deepfake di dichiarare che il contenuto è stato generato o manipolato artificialmente. Per il testo l’obbligo di dichiarazione è circoscritto ai contenuti pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico, e non scatta quando c’è revisione umana e qualcuno si assume la responsabilità editoriale.

Tradotto per il B2B: un articolo commerciale scritto con l’AI e rivisto dal tuo team non rientra nell’obbligo. Un video promozionale con un volto o una voce sintetici verosimili, sì.

Resta il piano reputazionale, che nel B2B pesa più dell’adempimento. Dove la fiducia si costruisce prima del contratto, dichiarare come usi l’AI ti mette in una posizione più solida quando il cliente fa la domanda. Le aziende che impostano una strategia di AI marketing trasparente non stanno solo rispettando una norma.

Personalizzazione e profilazione: dove serve governance

Serve dove i sistemi assegnano punteggi o decidono cosa mostrare a chi. Questi strumenti rientrano nel perimetro dell’AI Act e, quando trattano dati personali, si sommano agli obblighi del GDPR. Se la tua piattaforma di marketing assegna punteggi ai contatti in base al comportamento, devi verificare come il fornitore gestisce la conformità e quali obblighi restano in capo a te.

Non basta il documento del fornitore. Serve una tracciatura interna, anche minima, di quali sistemi usi, per quale scopo e con quale effetto sulle persone. Qui l’Italia parte da lontano: secondo ISTAT, Imprese e ICT anno 2025, usa un CRM il 21,1% delle imprese tra 10 e 249 addetti, contro il 56,5% delle grandi imprese. Chi ce l’ha e lo tiene ordinato ha già metà del lavoro fatto, perché un CRM ben configurato registra le attività automatiche senza che tu debba costruire nulla da zero.

C’è anche una legge italiana sull’intelligenza artificiale?

Sì, ed è in vigore da prima dell’AI Act. La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, è la prima normativa nazionale organica sull’intelligenza artificiale. Non sostituisce il Regolamento europeo, lo affianca sui settori lasciati all’autonomia degli Stati membri e fissa principi di trasparenza e centralità della decisione umana.

Due elementi da conoscere. Le autorità nazionali sono AgID, competente su notifica, valutazione, accreditamento e monitoraggio dei soggetti che verificano la conformità, e ACN, responsabile della vigilanza sui sistemi di intelligenza artificiale, comprese ispezioni e sanzioni. E c’è un principio generale di informazione sull’uso dell’AI, con obblighi specifici in alcuni ambiti, per esempio l’informativa al cliente nelle professioni intellettuali prevista dall’articolo 13, e l’informazione ai lavoratori sull’uso dell’AI nel rapporto di lavoro prevista dall’articolo 11. Diversi aspetti attendono i decreti attuativi delegati al Governo: è un quadro da tenere monitorato, non da dare per chiuso.

Come ci si adegua senza un ufficio legale?

Con quattro passi, nell’ordine, e senza produrre carta che nessuno leggerà. Senza ufficio legale non significa senza legale: il grosso è lavoro organizzativo che sta in casa tua, mentre al professionista restano le informative e i casi dubbi. Il primo passo vale da solo più degli altri tre.

Primo passo: mappa gli strumenti che usi

Fai l’inventario di tutto ciò che nel marketing decide o suggerisce qualcosa in automatico: chatbot, generatori di contenuti, campagne con ottimizzazione automatica, punteggi sui contatti. Per ciascuno annota chi lo ha sviluppato, come lo usi, con quali dati lavora e chi ne subisce gli effetti.

Un inventario non è un progetto. È un foglio di calcolo e un pomeriggio. Ed è più raro di quanto sembri: sempre secondo ISTAT, nel 2025 solo il 16,4% delle imprese con almeno 10 addetti usa almeno una tecnologia di intelligenza artificiale, in crescita dall’8,2% del 2024. Chi la usa spesso non l’ha ancora censita.

Secondo passo: classifica il livello di rischio

Assegna a ogni strumento la sua categoria, usando le quattro descritte sopra. Per la quasi totalità degli strumenti di marketing la risposta sarà rischio limitato, con obblighi concentrati sulla trasparenza. Se invece usi l’AI per decisioni che pesano sulla vita delle persone, come valutare candidati o merito creditizio, il livello sale e con esso gli adempimenti, con applicazione dal 2 dicembre 2027.

Terzo passo: aggiorna cosa dichiari agli utenti

Per i sistemi a rischio limitato l’adempimento principale è comunicativo, e si risolve in tre interventi:

• Integrare l’informativa privacy con l’uso di sistemi AI nel trattamento dei dati.
• Verificare che gli avvisi ci siano dove operano chatbot o contenuti generati in automatico.
• Rivedere i termini di servizio se il sito propone esperienze personalizzate.

Non serve riscrivere tutto. Nella maggior parte dei casi basta un’integrazione mirata ai documenti che hai già, fatta rivedere da chi segue la privacy in azienda.

Quarto passo: costruisci una governance minima

Un registro che risponde a tre domande è sufficiente: quali sistemi AI usiamo, chi è responsabile di ciascuno, come controlliamo che vengano usati bene. Cinquanta pagine di procedura non ti servono e non le leggerà nessuno. Nello stesso registro annota la formazione fatta: è la prova con cui dimostri l’alfabetizzazione dell’articolo 4.

Questo registro lavora anche verso l’interno. Se il team produce contenuti con l’AI, avere scritto cosa è ammesso, cosa passa sempre da una revisione umana e cosa non si fa evita discussioni a valle. Una strategia di content marketing che incorpora queste regole ti mette avanti rispetto alla media.

L’AI Act sostituisce il GDPR?

No, si affianca. Il GDPR continua a regolare il trattamento dei dati personali, incluse le decisioni automatizzate disciplinate dall’articolo 22. L’AI Act aggiunge uno strato che guarda al sistema in sé e alla sua trasparenza, non solo ai dati che macina.

Se sei già in regola con il GDPR nelle attività di automazione e generazione contatti, il grosso del lavoro è fatto. Resta da verificare che i processi di lead generation reggano anche i nuovi obblighi di trasparenza. Le due norme si rinforzano quando le tratti insieme, si contraddicono solo quando le tratti come due pratiche separate.

Perché conviene muoversi prima della scadenza?

Perché la domanda sull’AI sta entrando nelle conversazioni commerciali prima che nelle ispezioni. Lavorando con aziende B2B da oltre 15 anni abbiamo visto molte normative arrivare e molte aziende aspettare l’ultimo giorno utile.

Qui il rischio dell’attesa non sono le sanzioni imminenti. È che i tuoi clienti, abituati a valutare i fornitori su affidabilità e solidità, iniziano a chiedere come usi l’AI nei processi che li riguardano. Chi risponde con un elenco preciso di strumenti e responsabili chiude la questione in due minuti. Chi risponde “usiamo l’AI un po’ ovunque” apre un dubbio che non voleva aprire. Chi vuole lavorare sul metodo, oltre che sugli adempimenti, trova materiale nella nostra Digital Marketing Academy.

Da dove partire

Parti dall’inventario. Sapere quali strumenti automatici hai attivi è il prerequisito di ogni decisione successiva, e nella maggior parte delle PMI è anche l’unico passo che manca davvero.

Le date da tenere a mente sono poche. Il 2 agosto 2026 diventa applicabile la parte generale del Regolamento, con gli obblighi di trasparenza dell’articolo 50 in prima fila. Il 2 dicembre 2027 e il 2 agosto 2028 riguardano i sistemi ad alto rischio, che con ogni probabilità non sono i tuoi. E l’obbligo di alfabetizzazione è già in vigore dal 2 febbraio 2025.

Se vuoi capire come incastrare questo lavoro nella strategia di marketing che stai già portando avanti, parlaci: partiamo sempre da quello che hai, non da quello che dovresti avere.

Domande frequenti

Uso solo strumenti AI di terze parti: ho comunque obblighi?

Sì, ma più leggeri di quelli di chi sviluppa il sistema. Chi utilizza sistemi AI nella propria attività professionale è un deployer e ha obblighi propri: l’alfabetizzazione del personale già dal 2 febbraio 2025, e dal 2 agosto 2026 gli obblighi di trasparenza dell’articolo 50 che ricadono sul deployer, come la dichiarazione dei deepfake pubblicati. La documentazione del fornitore copre la sua parte, non la tua.

Il Digital Omnibus ha rinviato tutto al 2027?

No, ha rinviato solo gli obblighi sui sistemi ad alto rischio. Il Regolamento (UE) 2026/1744, pubblicato in Gazzetta Ufficiale UE il 24 luglio 2026, sposta al 2 dicembre 2027 i sistemi ad alto rischio autonomi dell’Allegato III e al 2 agosto 2028 quelli integrati nei prodotti. Gli obblighi di trasparenza dell’articolo 50 restano applicabili dal 2 agosto 2026, e le pratiche vietate e l’alfabetizzazione IA sono in vigore dal 2 febbraio 2025.

Devo etichettare gli articoli del blog scritti con l’AI?

In genere no. L’obbligo di dichiarazione per i testi generati dall’AI riguarda i contenuti pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico, e non si applica quando il contenuto è sottoposto a revisione umana e qualcuno ne assume la responsabilità editoriale. Un contenuto commerciale rivisto dal tuo team resta fuori dall’obbligo. Diverso il caso di immagini, audio e video sintetici verosimili, che come deployer devi dichiarare.

Sono già in regola con il GDPR: basta?

No, ma sei a buon punto. Il GDPR regola il trattamento dei dati personali, incluse le decisioni automatizzate. L’AI Act aggiunge obblighi di trasparenza sul sistema AI in quanto tale, anche dove i dati trattati non sono personali. In pratica serve aggiornare le informative per coprire in modo esplicito l’uso di sistemi AI, non solo il trattamento dei dati.

Ho poco tempo: da cosa parto?

Dall’inventario degli strumenti AI attivi e dalla verifica dell’avviso sul chatbot, se ne hai uno. Sono i due interventi che chiudono la parte più visibile degli obblighi di trasparenza e richiedono giorni, non mesi. La classificazione del rischio, la formazione documentata e il registro di governance vengono subito dopo, e si costruiscono più in fretta quando l’inventario esiste già.

Nota di trasparenza

Questo articolo ha finalità esclusivamente informative e divulgative: non costituisce consulenza legale e non sostituisce il parere di un avvocato. L’applicazione dell’AI Act dipende da come i sistemi sono configurati e utilizzati nella singola azienda, quindi ogni decisione di adeguamento va presa con un professionista sul tuo caso concreto, non sulla base di un articolo.

Le informazioni sono state verificate sulle fonti citate al 25 luglio 2026. La normativa e le sue interpretazioni ufficiali sono in evoluzione: nonostante la cura nella verifica, non possiamo escludere imprecisioni o aggiornamenti successivi, e non ci assumiamo responsabilità per decisioni prese sulla sola base di questo contenuto. Se noti un errore o una novità che non abbiamo ancora recepito, segnalacelo a info@escagency.it: verifichiamo e aggiorniamo l’articolo.