AI Act e chatbot: cosa deve fare oggi una PMI che ha un assistente virtuale sul sito

Gli obblighi di trasparenza dell'AI Act impongono di far sapere a chi ti scrive che dall'altra parte c'è un sistema di intelligenza artificiale, non una persona — ed è un obbligo pienamente in vigore dal 2 agosto 2026. Non serve un'autorizzazione da chiedere, non c'è una certificazione da comprare, non c'è nessun sistema da spegnere: basta una riga, scritta nel punto giusto, prima che la conversazione cominci. Se sul tuo sito o al telefono risponde già un assistente automatico, qui trovi cosa controllare oggi, prima che te lo chieda un cliente o un'ispezione.

Chi ha un chatbot sul sito è obbligato dall'AI Act?

Sì, se qualcuno ci scrive davvero, aspettandosi una risposta. L'AI Act non prende il posto del GDPR né del banner dei cookie — quelli riguardano i dati che raccogli quando qualcuno naviga o compila un modulo, questo riguarda il sistema che gli risponde. Non è nemmeno la NIS2, che protegge la continuità dei tuoi servizi in caso di incidente informatico. Qui l'obbligo è uno solo, ed è diverso da tutti gli altri: dire che dall'altra parte c'è una macchina.

Chi ha già letto qualcosa sull'AI Act tende a infilarlo nello stesso cassetto delle altre norme europee arrivate negli ultimi due anni, e a pensare che essere in regola con una basti per tutte. Non è così: sono obblighi che si sommano, non che si sostituiscono.

Un chatbot può essere perfettamente a norma sull'AI Act — dichiara di essere un sistema automatico fin dalla prima riga — e restare comunque irregolare sul GDPR, se raccoglie l'indirizzo email di chi scrive senza un'informativa o un registro dei consensi: ne abbiamo scritto negli obblighi che ha un sito che raccoglie dati. E se il chatbot lo hai messo perché te lo chiede un cliente strutturato che è un soggetto NIS, la trasparenza verso l'utente finale e i requisiti di sicurezza verso quel cliente sono due pratiche diverse, spiegate in chi è obbligato dalla NIS2 e chi lo diventa come fornitore.

Cosa devo scrivere sul chatbot per essere a norma?

Basta che chi scrive sappia, prima di mandare il primo messaggio, che sta parlando con un sistema automatico. Una riga in apertura della chat — «Sono l'assistente virtuale di [nome della tua attività], rispondo in automatico» — assolve l'obbligo. Non serve un modulo di consenso a parte, non serve un'informativa dedicata, non serve farla ripetere a ogni risposta.

Dove va scritta. Nel primo messaggio della chat, quello che compare quando la finestra si apre — non nel footer del sito, non dentro la privacy policy che quasi nessuno legge prima di scrivere. Se il widget si apre da solo dopo qualche secondo di navigazione, la riga deve esserci già in quel primo messaggio automatico, non in una risposta successiva.

Se il chatbot ha un nome di persona. "Sara", "Marco", un nome scelto per essere amichevole: non è un problema di per sé, ma aumenta il rischio che chi scrive dia per scontato di parlare con una persona vera. In quel caso la riga di apertura conta ancora di più, non di meno.

L'eccezione dell'«evidente». Il regolamento prevede che l'obbligo non scatti quando è già evidente, dal contesto, che si tratta di un sistema di IA. È una scorciatoia che conviene non usare: se per decidere se è evidente serve un ragionamento, vuol dire che non lo è — è un parere nostro, non una lettura del testo, ma è il criterio più prudente finché non hai una riga scritta da qualche parte.

In pratica. Su una chat del sito: «Ciao, sono l'assistente virtuale di [nome attività], rispondo in automatico — se preferisci parlare con una persona, scrivilo e ti metto in contatto». Su WhatsApp Business, lo stesso messaggio come prima risposta automatica attivata. Su un modulo che genera un preventivo con l'IA, una riga sopra il risultato: «Questo preventivo è stato generato automaticamente da un sistema di intelligenza artificiale».

Vale anche per il centralino vocale, o solo per la chat scritta?

Vale per entrambi. Il regolamento parla di sistemi destinati a interagire direttamente con le persone, senza distinguere fra testo e voce: un centralino che risponde al telefono deve dichiararsi nella prima frase, esattamente come una chat scritta. Cambia il posto in cui si scrive la riga, non l'obbligo.

Della parte vocale — cosa dire, dove inserirlo, cosa succede se il sistema non sa rispondere a una domanda fuori copione — abbiamo già scritto in perché rispondi ancora al telefono: qui non lo ripetiamo.

Quello che quell'articolo non copre sono i canali che una PMI accende senza pensarci come "un sistema che parla con i clienti": il bot su WhatsApp Business che risponde fuori orario, l'auto-risponditore delle email che genera un testo diverso ogni volta invece di un messaggio fisso, il modulo di preventivo che calcola e scrive una risposta con l'IA invece di limitarsi a inoltrarla a una persona. Se uno di questi genera testo in autonomia e lo manda a un cliente senza che nessuno lo riveda prima, vale lo stesso obbligo di trasparenza di un chatbot: chi lo riceve deve sapere che non l'ha scritto una persona.

Il chatbot me l'ha fatto un'agenzia: l'obbligo è mio o suo?

Il regolamento distingue chi costruisce il sistema da chi lo usa nella propria attività, e assegna obblighi a entrambi. Chi mette un chatbot sul proprio sito per parlare con i propri clienti risponde dell'uso che ne fa, anche se il sistema l'ha costruito qualcun altro. Non è delegabile con un contratto che lo dice.

È la domanda che quasi nessun articolo sull'AI Act si fa, perché quasi tutto quello che si trova online è scritto per chi vende la tecnologia o per chi la deve giudicare in tribunale, non per chi l'ha solo comprata. Ma se hai un chatbot sul sito, la riga di apertura non te la scrive da sola: qualcuno l'ha configurata, o non l'ha configurata.

Cosa chiedere per iscritto al fornitore, prima di firmare o prima di riaccendere un sistema già attivo:

• Chi ha scritto — o dovrebbe scrivere — il messaggio di apertura della chat o della chiamata, e se oggi c'è davvero.
• Cosa succede quando aggiornano il modello dietro al sistema: la riga resta, o va riconfigurata a ogni aggiornamento?
• Dove sono conservati i log delle conversazioni, e per quanto tempo — è una domanda che serve anche per il GDPR, non solo per l'AI Act.

Un fornitore serio la riga di apertura te la scrive senza che tu la chieda, perché sa che è un requisito e non un dettaglio estetico. Se il tuo fornitore non ne ha mai parlato, è il primo segnale che il resto della configurazione — non solo questa riga — non è stato pensato con lo stesso criterio.

Su questo, DigiHelp non parla dall'esterno: sul nostro sito gira lo stesso tipo di sistema di cui parla questo articolo, un assistente vocale accessibile a chiunque, e si dichiara nella prima frase — lo stesso principio raccontato in perché rispondi ancora al telefono. Puoi verificarlo adesso, aprendo il widget vocale su questa pagina, invece di doverci credere sulla parola.

Se il tuo dubbio non è "chi scrive la riga" ma "mi conviene ancora far rispondere una macchina o è meglio una persona", è un conto diverso e più largo, ed è il tema di quanto costa davvero delegare a un assistente virtuale, un dipendente o un agente AI.

Cosa rischia chi non lo dichiara?

Il regolamento prevede sanzioni amministrative, con importi diversi a seconda del tipo di violazione: quelle sugli obblighi di trasparenza stanno in una fascia intermedia, non nella più grave — quella è riservata alle pratiche di IA vietate, un elenco che non riguarda un chatbot che aiuta a prenotare o a rispondere a una domanda sugli orari. L'importo esatto previsto per la tua fascia, e l'autorità che in Italia applica le sanzioni, vanno letti sul testo del regolamento: non li scriviamo qui senza averli verificati sulla fonte primaria, perché un numero sbagliato in un articolo che parla di conformità è un danno peggiore di un numero mancante.

Quello che si può dire con certezza è come funziona il meccanismo, non quanto costa nel tuo caso: l'importo previsto è un tetto massimo, non una tariffa fissa, e conta anche la dimensione dell'impresa che lo riceve. In Italia la vigilanza sull'applicazione dell'AI Act è affidata alle autorità nazionali designate per questo scopo — non è un compito lasciato al caso, ma il nome esatto dell'autorità competente per ogni settore va verificato di volta in volta, non generalizzato in un articolo di blog.

Da dove parte una PMI che ha già un chatbot acceso?

Si apre il proprio chatbot come farebbe un cliente qualsiasi e si legge il primo messaggio: se non dice che è un sistema automatico, è lì che si interviene, e sono cinque minuti di configurazione, non un progetto. Poi si controllano gli altri punti di contatto automatici, uno per uno.

In ordine di velocità:

1. La chat del sito. Apri il widget da incognito, come un visitatore qualunque, e leggi la primissima riga.
2. Il numero WhatsApp Business. Scrivi un messaggio fuori orario e guarda cosa risponde in automatico.
3. Il centralino vocale, se ne hai uno. Chiama e ascolta le prime parole, non il resto della chiamata.
4. I moduli che generano una risposta con l'IA — un preventivo, un calcolo, un consiglio — invece di limitarsi a inoltrare la richiesta a una persona.
5. Chi in azienda ha configurato questi sistemi, e se sa rispondere alle tre domande della sezione precedente sul fornitore.

Cosa preparare prima ancora di arrivare a questo controllo — listino, casi limite, la regola su cosa il bot può decidere da solo — è il tema di cosa preparare prima che un chatbot risponda al posto tuo: la trasparenza verso il cliente e il perimetro di quello che il sistema può fare sono due controlli diversi, e conviene farli entrambi, non uno al posto dell'altro.

Se preferisci non passare la giornata a controllare cinque canali diversi — o hai già controllato e la riga manca, e non sai chi debba scriverla — è il lavoro che facciamo quando costruiamo un sistema che risponde ai clienti rispettando questo obbligo fin dalla prima riga.

Domande frequenti

Il chatbot deve dirlo a ogni messaggio o basta la prima volta? Basta la prima volta, nel messaggio di apertura della conversazione. Non serve ripeterlo a ogni risposta, e non serve nemmeno un banner fisso in un angolo dello schermo.

Se il chatbot ha un nome di persona, è un problema? Non di per sé — molti fornitori lo consigliano per rendere la conversazione più naturale. Ma aumenta l'ambiguità di chi sta parlando con l'utente, e per questo la riga di apertura diventa ancora più necessaria, non meno.

Vale anche per il bot su WhatsApp? Sì. L'obbligo riguarda il sistema che genera la risposta, non il canale su cui arriva: chat sul sito, WhatsApp Business, centralino vocale sono coperti allo stesso modo.

L'AI Act sostituisce il GDPR sul mio sito? No. Sono due obblighi che si sommano, non che si scambiano: il GDPR riguarda i dati personali che raccogli scrivendo con un cliente, l'AI Act riguarda il fatto che chi scrive sappia di parlare con una macchina. Restano entrambi da rispettare, e uno in regola non copre l'altro.

L'AI Act non ti chiede di diventare un esperto di conformità: ti chiede una riga, scritta nel punto giusto, prima che qualcuno inizi a scrivere con un sistema che hai messo tu. Il resto — chi l'ha configurata, chi la controlla, cosa fare se manca — si verifica in un pomeriggio, non in un progetto di consulenza. Se il tuo chatbot non lo dice ancora, è la prima cosa da sistemare oggi, non la settima voce di una lista.

📚 Riferimenti

• Regolamento (UE) 2024/1689 (AI Act) — riferimento normativo europeo
• Application timeline dell'AI Act — Commissione europea, sezione sull'applicabilità del regolamento: entrata in vigore il 1° agosto 2024, piena applicabilità dal 2 agosto 2026
• Dati sull'adozione dell'intelligenza artificiale nelle PMI italiane: Eurostat, dataset isoc_eb_ai, 2025