# AI Act e studi professionali: obblighi, date e sanzioni per lo studio che usa l'intelligenza artificiale

Pubblicato il 17 ottobre 2026. Aggiornato il 22 ottobre 2026. Fonte: https://studiocommercialista.ai/ai-act-studi-professionali/

Articolo preparato con l'intelligenza artificiale, con riferimenti alle fonti ufficiali citate.

**In breve:** Lo studio che usa strumenti di intelligenza artificiale è un deployer per l'AI Act (Regolamento UE 2024/1689). Dal 2 febbraio 2025 deve formare chi li usa (art. 4) e rispettare i divieti (art. 5); dal 2 agosto 2026 valgono gli obblighi di trasparenza (art. 50); quelli per l'alto rischio dell'Allegato III dal 2 dicembre 2027.

Questa guida riguarda lo studio che usa strumenti di intelligenza artificiale, non chi li sviluppa. Non è un parere legale: per i casi particolari fa fede il testo consolidato su EUR-Lex. Le regole italiane sulle professioni, come l'informativa al cliente, sono nella guida alla [legge 132/2025 sull'intelligenza artificiale](/legge-132-2025-intelligenza-artificiale-professionisti/).

## Lo studio professionale è un «deployer» per l'AI Act?

**Sì. L'articolo 3 dell'AI Act definisce deployer chi «utilizza un sistema di IA sotto la propria autorità», escluso l'uso personale non professionale. Lo studio che usa un assistente di scrittura, un programma che legge i documenti dei clienti o un chatbot è quindi un deployer, a prescindere dalle dimensioni.**

Gli obblighi tecnici, come documentazione e valutazione di conformità, ricadono soprattutto sul fornitore, cioè chi sviluppa il sistema e lo immette sul mercato. Lo studio diventa fornitore solo se sviluppa un proprio sistema di AI e lo mette in servizio con il proprio nome, per esempio un assistente costruito in casa e offerto ai clienti sul sito.

## Quali sono le date dell'AI Act dopo l'omnibus digitale?

**L'AI Act è in vigore dal 1° agosto 2024 e si applica a tappe. Il Regolamento (UE) 2026/1744, pubblicato nella Gazzetta ufficiale dell'UE il 24 luglio 2026 e in vigore dal 27 luglio 2026, ha spostato al 2 dicembre 2027 gli obblighi per l'alto rischio dell'Allegato III e aggiunto due divieti dal 2 dicembre 2026.**

| Data | Cosa si applica | Interessa lo studio? |
|---|---|---|
| 2 febbraio 2025 | Disposizioni generali, alfabetizzazione (art. 4), pratiche vietate (art. 5) | Sì, già oggi |
| 2 agosto 2025 | Modelli per finalità generali, governance, regole sulle sanzioni | Indirettamente |
| 27 luglio 2026 | Entrata in vigore dell'omnibus digitale sull'IA | Nuovo testo dell'art. 4 |
| 2 agosto 2026 | Applicazione generale, compresi gli obblighi di trasparenza (art. 50) | Sì |
| 2 dicembre 2026 | Nuovi divieti su immagini intime non consensuali e materiale pedopornografico | Solo in casi estremi |
| 2 dicembre 2027 | Obblighi per i sistemi ad alto rischio dell'Allegato III, compreso l'art. 26 | Solo per usi ad alto rischio |
| 2 agosto 2028 | Obblighi per i sistemi ad alto rischio dell'Allegato I (prodotti regolati) | No, di norma |

Le decorrenze risultano dall’[articolo 113 consolidato pubblicato dalla Commissione](https://ai-act-service-desk.ec.europa.eu/it/ai-act/article-113), consultato il 22 ottobre 2026. Per un sistema concreto occorre verificare anche classificazione e disposizioni transitorie.

## Cosa chiede l'articolo 4 sull'alfabetizzazione?

**L'articolo 4 chiede a fornitori e deployer di adottare misure per sostenere l'alfabetizzazione sull'AI del personale e di chi usa i sistemi per loro conto, tenendo conto di competenze, esperienza e contesto d'uso. Dopo l'omnibus non è più richiesto di garantire un livello specifico di alfabetizzazione: servono misure concrete e proporzionate.**

Per uno studio le misure ragionevoli sono poche e documentabili:

- un elenco degli strumenti di AI ammessi e dei dati che si possono inserire;
- una sessione di formazione per titolare e collaboratori su cosa fanno gli strumenti, dove sbagliano e chi controlla i risultati;
- traccia scritta della formazione, con data e partecipanti, ripetuta quando arriva uno strumento nuovo.

I limiti d'uso degli strumenti generici sono nella guida a [ChatGPT per commercialisti](/chatgpt-per-commercialisti/).

## Quali pratiche vieta l'articolo 5?

**L'articolo 5 vieta gli usi dell'AI considerati inaccettabili: manipolazione e sfruttamento delle vulnerabilità, punteggio sociale, previsione di reati basata solo sulla profilazione, raccolta indiscriminata di volti, riconoscimento delle emozioni sul luogo di lavoro, categorizzazione biometrica sensibile. I divieti valgono dal 2 febbraio 2025 anche per chi usa il sistema.**

Per uno studio il divieto più concreto è quello della lettera f): niente sistemi che deducono le emozioni dei dipendenti o dei collaboratori sul luogo di lavoro, salvo motivi medici o di sicurezza. Vale per esempio per strumenti che analizzano voce o volto durante le videochiamate per misurare lo stato d'animo.

## Cosa impone l'articolo 50 sulla trasparenza?

**Dal 2 agosto 2026 il deployer deve dichiarare l'origine artificiale dei deep fake e dei testi generati con l'AI pubblicati per informare il pubblico su questioni di interesse pubblico, salvo revisione umana con responsabilità editoriale. Chi usa sistemi di riconoscimento delle emozioni deve informare le persone esposte.**

Cosa significa nella pratica dello studio:

| Situazione | Obbligo AI Act |
|---|---|
| Circolare o articolo scritto con l'AI, riletto e firmato dallo studio | Nessuna dichiarazione: c'è revisione umana e responsabilità editoriale |
| Testo generato e pubblicato sul sito senza revisione | Dichiarare che è generato con l'AI |
| Video o audio con persone reali creati o alterati con l'AI | Dichiarare che è generato o manipolato |
| Chatbot sul sito dello studio | La progettazione che avvisa l'utente spetta al fornitore (art. 50, par. 1) |

L'informazione va data in modo chiaro e distinguibile al più tardi alla prima interazione o esposizione (art. 50, par. 5). Se lo studio costruisce da sé il chatbot, diventa fornitore e l'obbligo di avvisare chi scrive ricade su di lui.



## Quando lo studio usa un sistema ad alto rischio e cosa chiede l'articolo 26?

**Un sistema è ad alto rischio quando rientra negli usi dell'Allegato III. Per uno studio i casi realistici sono due: selezione e gestione del personale (punto 4) e valutazione del merito creditizio di persone fisiche (punto 5, lettera b). In quei casi, dal 2 dicembre 2027, si applicano gli obblighi dei deployer dell'articolo 26.**

Gli usi quotidiani dello studio, come leggere documenti, abbinare movimenti, preparare bozze e promemoria, di norma non sono nell'Allegato III. Se invece lo studio usa l'AI per filtrare candidature, valutare le prestazioni dei collaboratori o dare un giudizio di affidabilità creditizia su clienti persone fisiche, l'articolo 26 chiede di:

1. usare il sistema secondo le istruzioni del fornitore;
2. affidare la sorveglianza umana a persone competenti, formate e con l'autorità per intervenire;
3. controllare che i dati di input, se li gestisce lo studio, siano pertinenti;
4. monitorare il funzionamento e segnalare rischi e incidenti gravi al fornitore e all'autorità;
5. conservare i log generati dal sistema per almeno sei mesi;
6. informare lavoratori e rappresentanti prima di usare il sistema sul luogo di lavoro;
7. informare le persone soggette a decisioni prese o supportate dal sistema.

L'articolo 26 non è stato modificato dall'omnibus: è cambiata solo la data da cui si applica.

## Che rapporto c'è con la legge 132/2025?

**L'AI Act si applica direttamente in Italia; la legge 132/2025 lo affianca con regole nazionali. Per lo studio il punto in più è l'articolo 13, che chiede di informare il cliente sui sistemi di AI usati. L'articolo 20 designa le autorità italiane: AgID per le notifiche, ACN per la vigilanza del mercato, ispezioni e sanzioni.**

Restano ferme le competenze del Garante per la protezione dei dati personali: quando lo strumento tratta dati dei clienti, il GDPR si applica insieme all'AI Act. L'articolo 13, la clausola tipo del CNDCEC e le altre norme nazionali sono spiegati nella guida dedicata alla [legge 132/2025](/legge-132-2025-intelligenza-artificiale-professionisti/).

## Quali sanzioni prevede l'articolo 99?

**L'articolo 99 fissa tre fasce di sanzioni massime: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate; fino a 15 milioni o al 3% per gli altri obblighi, compresi quelli dei deployer e di trasparenza; fino a 7,5 milioni o all'1% per informazioni inesatte alle autorità.**

| Violazione | Massimo | Riferimento |
|---|---|---|
| Pratiche vietate (art. 5) | 35 milioni di euro o 7% del fatturato | Art. 99, par. 3 |
| Obblighi dei deployer (art. 26) e di trasparenza (art. 50) | 15 milioni di euro o 3% del fatturato | Art. 99, par. 4 |
| Informazioni inesatte o fuorvianti alle autorità | 7,5 milioni di euro o 1% del fatturato | Art. 99, par. 5 |

Per le imprese vale l'importo più alto tra cifra fissa e percentuale; per le PMI, start-up comprese, quello più basso (par. 6). L'omnibus ha esteso la regola dell'importo più basso alle piccole imprese a media capitalizzazione, per le sanzioni dei paragrafi 4 e 5. Le norme di dettaglio sulle sanzioni le stabiliscono gli Stati membri, con misure effettive, proporzionate e dissuasive.

## Qual è la checklist AI Act per lo studio?

**Il controllo iniziale comprende sei aree: inventario degli strumenti, verifica del ruolo, formazione documentata, regole di trasparenza per i contenuti pubblicati, controllo degli usi ad alto rischio, coordinamento con privacy e legge 132/2025. Il lavoro va scritto e ripreso ogni volta che lo studio adotta un nuovo strumento.**

1. **Inventario.** Elenca gli strumenti di AI usati, anche quelli dei singoli collaboratori: cosa fanno, con quali dati, chi li usa.
2. **Ruolo.** Per ciascuno, verifica che lo studio sia solo deployer; se ha costruito un proprio sistema offerto ad altri, valuta gli obblighi del fornitore.
3. **Formazione (art. 4).** Organizza la sessione, conserva data e partecipanti, aggiorna l'elenco degli strumenti ammessi.
4. **Trasparenza (art. 50).** Ogni testo pubblicato è riletto e firmato dallo studio; i contenuti audio e video alterati con l'AI sono dichiarati.
5. **Alto rischio (Allegato III).** Escludi l'AI nella selezione del personale e nel merito creditizio, oppure prepara entro il 2 dicembre 2027 le misure dell'articolo 26.
6. **Privacy e informativa.** Verifica il ruolo privacy di ciascun fornitore e, quando opera come responsabile, formalizza l’incarico e aggiorna la lettera d'incarico come chiede la legge 132/2025.

Per scegliere cosa affidare all'AI e cosa no, la guida all'[intelligenza artificiale per commercialisti](/intelligenza-artificiale-commercialisti/) propone un piano di 30 giorni; per la posta, le regole sono nella guida sulla [gestione delle email dello studio](/gestione-email-studio-commercialista/). Altri approfondimenti nella sezione [AI e software](/categoria/ai/).

**L'AI Act si applica anche a un piccolo studio professionale?**
Sì. L'AI Act considera deployer chiunque usi un sistema di AI sotto la propria autorità in un'attività professionale, senza soglie di dimensione. Per lo studio che usa strumenti diffusi, come assistenti di scrittura o lettura di documenti, gli obblighi principali sono la formazione del personale e la trasparenza.

**Cosa ha cambiato il Regolamento (UE) 2026/1744 per gli studi?**
L'omnibus digitale sull'IA, pubblicato nella Gazzetta ufficiale dell'UE il 24 luglio 2026 e in vigore dal 27 luglio 2026, ha riscritto l'articolo 4: restano le misure di formazione, ma senza un livello specifico di alfabetizzazione da garantire. Ha anche spostato al 2 dicembre 2027 gli obblighi per i sistemi ad alto rischio dell'Allegato III.

**Lo studio deve dire ai clienti che usa l'AI per l'AI Act?**
L'AI Act chiede al deployer di dichiararlo in casi precisi: deep fake, testi generati e pubblicati per informare il pubblico senza revisione umana, sistemi di riconoscimento delle emozioni. L'obbligo generale di informare il cliente del professionista viene invece dall'articolo 13 della legge 132/2025.

**Quando uno strumento di AI usato dallo studio è ad alto rischio?**
Quando rientra negli usi dell'Allegato III, per esempio la selezione del personale, la valutazione delle prestazioni dei dipendenti o la valutazione del merito creditizio di persone fisiche. Gli usi tipici di uno studio, come leggere documenti o preparare bozze, di norma non rientrano in questo elenco.

**Quali sanzioni prevede l'AI Act?**
L'articolo 99 fissa i massimi: fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate, fino a 15 milioni o al 3% per la violazione degli obblighi dei deployer e di trasparenza. Per le PMI vale l'importo più basso tra cifra fissa e percentuale. Le regole di dettaglio le fissano gli Stati membri.

## Fonti
- [EUR-Lex - Regolamento (UE) 2024/1689 sull'intelligenza artificiale (AI Act)](https://eur-lex.europa.eu/eli/reg/2024/1689/oj?locale=it)
- [EUR-Lex - Regolamento (UE) 2026/1744 dell'8 luglio 2026 (Omnibus digitale sull'IA), GU L del 24 luglio 2026](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/ita)
- [Commissione europea, AI Act Service Desk - Articolo 113, entrata in vigore e applicazione (versione consolidata al 27 luglio 2026)](https://ai-act-service-desk.ec.europa.eu/it/ai-act/article-113)
- [Commissione europea, AI Act Service Desk - Articolo 4, alfabetizzazione in materia di IA](https://ai-act-service-desk.ec.europa.eu/it/ai-act/article-4)
- [Commissione europea, AI Act Service Desk - Articolo 5, pratiche di IA vietate](https://ai-act-service-desk.ec.europa.eu/it/ai-act/article-5)
- [Commissione europea, AI Act Service Desk - Articolo 26, obblighi dei deployer dei sistemi ad alto rischio](https://ai-act-service-desk.ec.europa.eu/it/ai-act/article-26)
- [Commissione europea, AI Act Service Desk - Articolo 50, obblighi di trasparenza](https://ai-act-service-desk.ec.europa.eu/it/ai-act/article-50)
- [Commissione europea, AI Act Service Desk - Articolo 99, sanzioni](https://ai-act-service-desk.ec.europa.eu/it/ai-act/article-99)
- [Commissione europea, AI Act Service Desk - Allegato III, sistemi di IA ad alto rischio](https://ai-act-service-desk.ec.europa.eu/it/ai-act/annex-3)
- [Normattiva - Legge 23 settembre 2025, n. 132, art. 20 Autorità nazionali per l'intelligenza artificiale](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2025-09-23;132~art20!vig=)