Autorità vigilanza AI Act operative: chi controlla e cosa possono chiederti

Le autorità vigilanza AI Act sono gli enti nazionali che verificano se aziende e fornitori rispettano gli obblighi del Regolamento UE 2024/1689. In Italia sono due: l’Agenzia per l’Italia Digitale (AgID) e l’Agenzia per la Cybersicurezza Nazionale (ACN). Da agosto 2026 non parliamo più di principi generali su carta, ma di soggetti che possono chiedere documenti, fare verifiche e aprire procedimenti. Se hai una PMI che usa l’intelligenza artificiale per produrre contenuti, video o testi, questo articolo ti spiega cosa aspettarti — senza allarmismo, ma senza far finta di niente.

Chi sono le autorità di vigilanza AI Act in Italia

Sono le due agenzie che l’Italia ha designato per applicare il Regolamento europeo: AgID come autorità di notifica, ACN come autorità di vigilanza del mercato. La divisione dei ruoli è netta e conviene tenerla a mente.

L’assetto è stato definito con i decreti attuativi della legge 132/2025. La governance strategica è affidata all’Agenzia per l’Italia Digitale (AgID) come autorità di notifica, mentre l’Agenzia per la Cybersicurezza Nazionale (ACN) ha il ruolo di autorità di vigilanza del mercato e punto di contatto unico con l’Unione Europea. In pratica: AgID valuta gli organismi di conformità, mentre ACN è l’autorità di vigilanza del mercato e il punto di contatto unico per l’Unione Europea.

Non finisce qui. Per il settore finanziario e assicurativo le competenze di vigilanza spettano a Banca d’Italia, CONSOB e IVASS, mentre il Garante per la protezione dei dati personali mantiene la competenza su specifici sistemi di IA ad alto rischio. Per la stragrande maggioranza delle PMI che fanno comunicazione, marketing e contenuti, però, l’interlocutore di riferimento tra le autorità vigilanza AI Act è ACN.

Da quando le autorità vigilanza AI Act sono davvero operative

Da agosto 2026 il quadro istituzionale italiano è completo e le autorità hanno i poteri per agire. Prima erano nomi su un decreto; adesso sono uffici con strumenti operativi.

Nella seduta del 4 agosto 2026 il Consiglio dei Ministri ha approvato in via definitiva i due decreti legislativi di adeguamento all’Artificial Intelligence Act, individuando AgID come autorità di notifica e ACN come autorità di vigilanza del mercato. È il momento in cui la macchina dei controlli si mette in moto. Il passaggio è coerente con la scadenza europea: le regole per i sistemi ad alto rischio e buona parte degli obblighi scattano proprio in questa fase, come abbiamo raccontato parlando delle tre cose che la tua PMI deve avere pronte per il 2 agosto 2026.

Vale la pena ricordare che l’operatività non è stata uniforme in tutta Europa. Solo 8 Stati membri su 27 avevano formalmente designato il proprio punto di contatto entro la scadenza, e i ritardi nazionali non esentano le imprese dai loro obblighi: l’AI Act si applica direttamente a fornitori e utilizzatori a prescindere dalla prontezza delle autorità. Tradotto: aspettare che qualcuno bussi alla porta non è una strategia.

Cosa può chiederti un’ispezione delle autorità vigilanza AI Act

ACN può acquisire informazioni e documenti, fare controlli e verifiche tecniche, e intervenire sui sistemi non conformi. Sono i poteri classici della vigilanza del mercato, applicati all’intelligenza artificiale.

L’Agenzia può esercitare i poteri di vigilanza e ispezione previsti dal regolamento europeo e dal Regolamento UE 2019/1020 sulla vigilanza del mercato, in particolare acquisire informazioni e documenti, effettuare controlli, svolgere verifiche tecniche e intervenire nei confronti di sistemi non conformi o suscettibili di produrre rischi. Non è un controllo a sorpresa dal nulla: i procedimenti possono essere avviati a seguito della segnalazione di un incidente grave, di un reclamo non manifestamente infondato, di una comunicazione proveniente da un’altra autorità oppure d’ufficio.

Cosa significa per una PMI che produce contenuti? Che se usi l’AI per generare video, immagini o testi, un’ispezione può chiederti di dimostrare due cose semplici: che sai cosa stai usando e che sei trasparente su cosa è sintetico. Sono gli stessi punti degli obblighi di trasparenza dell’articolo 50 — la dichiarazione dei contenuti generati dall’IA — e dell’etichettatura tramite watermarking, che diventa un tema concreto poco dopo. Una richiesta documentale non è una condanna: è la richiesta di mostrare che hai un processo.

Cosa serve avere pronto prima di un controllo

Serve poter rispondere, con carta alla mano, a tre domande: quali sistemi AI usi, per farci cosa, e come garantisci trasparenza e competenza di chi li usa. Non è burocrazia fine a se stessa, è la base di ogni verifica.

• Un inventario degli strumenti AI che usi in azienda: quali servizi, per quale finalità, chi vi accede. Anche un elenco ordinato è meglio di una memoria approssimativa.
• La prova della trasparenza sui contenuti sintetici: come dichiari all’utente che un contenuto è generato o modificato con l’AI.
• La formazione del personale: l’AI literacy non è un optional. È un obbligo dell’articolo 4 che abbiamo approfondito nel percorso sull’AI literacy per le PMI.
• Un referente interno che sappia rispondere e reperire i documenti, invece di dover ricostruire tutto sotto pressione.

Questo è anche il motivo per cui molte aziende scelgono di affidare la parte visibile — i contenuti, i video, la presenza social — a un fornitore che quel processo lo ha già strutturato. Un’azienda di Seveso che vuole gestire i social in autonomia può farlo con una piattaforma self-service pensata apposta; chi invece vuole video e podcast fatti a regola d’arte trova più comodo che sia l’agenzia a occuparsi anche di conformità e trasparenza. In entrambi i casi, il punto non cambia: sapere cosa stai pubblicando e con quali strumenti.

Sanzioni: da cosa dipende il rischio economico

Le sanzioni dell’AI Act sono proporzionali alla gravità della violazione e calcolate sul fatturato globale, quindi il rischio dipende molto da cosa e da come sbagli. Non esiste un importo fisso valido per tutti.

Le multe possono arrivare fino al 7% del fatturato annuo globale per le pratiche di IA vietate, fino al 3% per la violazione di altri obblighi e fino all’1,5% per la fornitura di informazioni scorrette. Il decreto italiano prevede inoltre un regime sanzionatorio nazionale specifico, con sanzioni fino a decine di milioni di euro per le violazioni più gravi. Sono cifre pensate per le violazioni sistematiche, non per l’errore in buona fede di una piccola realtà — ma spiegano perché conviene arrivare preparati invece di improvvisare.

Un’ultima nota utile per non fare mosse affrettate: il quadro normativo è in movimento. Alcune scadenze per i sistemi ad alto rischio slittano, come abbiamo spiegato parlando del rinvio al 2027 e di cosa non fare adesso. Vale lo stesso per un’azienda di Magenta che sta rivedendo il proprio piano editoriale: meglio costruire un processo solido oggi che rincorrere ogni singola deadline.

Se vuoi che la parte di contenuti — video aziendali, podcast, social — sia gestita da chi lavora già dentro queste regole, dai un’occhiata a cosa facciamo in Zero Limiti.

Domande frequenti

Le autorità vigilanza AI Act possono controllare una piccola azienda?

Sì. L’AI Act si applica a fornitori e utilizzatori indipendentemente dalle dimensioni. L’articolo 70 non prevede un’esenzione generale per le PMI, anche se il regolamento include misure di supporto e obblighi potenzialmente più leggeri a seconda del ruolo nella catena del valore. Una micro-impresa non ha gli stessi carichi di un grande fornitore, ma non è invisibile.

Chi controlla in Italia se uso l’AI per fare contenuti?

Per la comunicazione e i contenuti l’interlocutore è ACN, l’autorità nazionale di vigilanza del mercato. All’Agenzia per la cybersicurezza nazionale è affidato il ruolo di autorità di vigilanza del mercato e di punto di contatto unico con il sistema europeo dell’AI Act. AgID interviene invece sul versante degli organismi di conformità.

Come parte un’ispezione?

Non solo a caso. Un procedimento può essere avviato a seguito della segnalazione di un incidente grave, di un reclamo non manifestamente infondato, di una comunicazione da un’altra autorità oppure d’ufficio. Un reclamo di un concorrente o di un utente può bastare a far partire una verifica.

Cosa mi possono chiedere durante un controllo?

Informazioni, documenti e verifiche tecniche sui sistemi che usi. ACN può esercitare attività di controllo, acquisizione di informazioni, verifiche tecniche e interventi nei confronti di sistemi non conformi o potenzialmente rischiosi. Per una PMI dei contenuti, in pratica significa dimostrare cosa usi e come sei trasparente sui contenuti generati.

Se lo Stato è in ritardo con le nomine, sono al sicuro?

No. Gli obblighi dell’AI Act si applicano direttamente a fornitori e utilizzatori a prescindere dalla prontezza delle autorità nazionali. Il ritardo di uno Stato non sposta la responsabilità dell’azienda: conta essere in regola, non aspettare il controllo.

Le autorità aiutano le imprese o solo sanzionano?

Hanno anche un ruolo di supporto. Le autorità nazionali competenti possono fornire orientamenti e consulenza sull’attuazione del regolamento, in particolare alle PMI, incluse le start-up. La vigilanza serve a far funzionare il sistema, non solo a colpire: chiedere chiarimenti è un diritto, non un rischio.