AI Act per PMI: obblighi, scadenze e sanzioni 2026

Cos'è l'AI Act e perché riguarda la tua PMI

L'AI Act è il Regolamento UE 2024/1689, entrato in vigore il 1 agosto 2024. È la prima normativa organica al mondo sull'intelligenza artificiale e si applica direttamente in tutti gli Stati membri, senza bisogno di recepimento.

Il punto chiave per chi gestisce una PMI: il regolamento non parla solo di chi sviluppa sistemi AI (i "provider"), ma soprattutto di chi li utilizza in azienda — il ruolo di "deployer". La maggior parte delle PMI italiane ricade in questa seconda categoria nel momento in cui adotta ChatGPT in modo strutturato, un copilota integrato nel gestionale, un sistema di scoring clienti, un chatbot di customer service, una videosorveglianza con riconoscimento.

L'errore tipico ("noi non sviluppiamo AI, non ci riguarda") porta a sottovalutare obblighi che invece scattano già oggi su chi semplicemente la usa.

Le scadenze: cosa è già in vigore e cosa potrebbe slittare

Le scadenze già in vigore o ravvicinate sono:

• 2 febbraio 2025 — divieto delle pratiche vietate elencate all'Art. 5 (es. social scoring, manipolazione cognitiva, riconoscimento emotivo sul posto di lavoro nei casi previsti) e obbligo di alfabetizzazione AI del personale previsto dall'Art. 4.
• 2 agosto 2025 — entrano in applicazione le regole sui modelli di AI di uso generale (GPAI), che riguardano i grandi fornitori di modelli ma hanno effetti a cascata sui contratti di chi li integra.
• 2 agosto 2026 — obblighi di trasparenza dell'Art. 50: dichiarare chiaramente quando l'utente sta interagendo con un sistema AI e etichettare i contenuti generati o manipolati artificialmente (compresi i deepfake).

Elemento da seguire con attenzione — il "Digital Omnibus". A maggio 2026 è stato raggiunto un accordo politico provvisorio sul cosiddetto Digital Omnibus, che — se confermato e formalizzato — sposterebbe in avanti gli obblighi sui sistemi ad alto rischio: al 2 dicembre 2027 per quelli dell'Allegato III e al 2 agosto 2028 per quelli dell'Allegato I. Alla data di scrittura di questa pagina (giugno 2026) il provvedimento non è ancora formalizzato: va trattato come proposta in via di definizione, da verificare, non come legge certa. Non rinviare l'analisi del rischio sulla base di una norma non ancora approvata.

Le sanzioni (e la tutela prevista per le PMI)

L'apparato sanzionatorio è definito all'Art. 99. I tetti sono:

• fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per violazioni relative alle pratiche vietate (Art. 5);
• fino a 15 milioni di euro o il 3% del fatturato per violazioni degli altri obblighi, inclusi quelli sui sistemi ad alto rischio;
• fino a 7,5 milioni di euro o l'1% per la comunicazione di informazioni scorrette, incomplete o fuorvianti alle autorità competenti.

Una tutela importante è espressamente prevista per PMI e startup: in questi casi si applica l'importo MINORE tra la cifra fissa in euro e la percentuale sul fatturato — principio di proporzionalità. Resta comunque un'esposizione significativa rispetto ai margini tipici di una piccola impresa.

Il doppio binario italiano (Legge 132/2025)

In Italia all'AI Act si affianca la Legge 132/2025, che integra il regolamento europeo. Tre punti operativi per le PMI:

• designa l'ACN (Agenzia per la Cybersicurezza Nazionale) come autorità nazionale di vigilanza sull'AI;
• attribuisce ad AgID il ruolo per le notifiche previste dal regolamento;
• modifica il D.Lgs. 231/2001 introducendo nuovi reati presupposto in materia di deepfake e uso fraudolento dell'AI: significa che le società dotate (o tenute a dotarsi) di Modello 231 devono aggiornarlo per coprire questi rischi.

In pratica: l'adeguamento all'AI Act in Italia tocca compliance regolamentare europea e responsabilità amministrativa degli enti.

Cosa fare adesso: mappatura, classificazione, alfabetizzazione

Indipendentemente dall'eventuale rinvio per i sistemi ad alto rischio, ci sono tre attività che vanno fatte subito perché poggiano su scadenze già scattate o molto vicine:

1. Mappatura dei sistemi AI realmente in uso — censimento di tutto ciò che è AI dentro l'azienda, anche l'uso "informale" (ChatGPT usato dal commerciale, copiloti integrati nel CRM, plug-in con AI nei software di videosorveglianza, scoring nei gestionali).
2. Classificazione del rischio — per ciascun sistema valutare se ricade in una pratica vietata (Art. 5), in alto rischio (Allegati I e III), in obbligo di trasparenza (Art. 50) o in rischio minimo.
3. Alfabetizzazione AI del personale (Art. 4) — formazione documentata e proporzionata al ruolo per tutto il personale che usa sistemi AI nel lavoro. È obbligo del datore di lavoro ed è già in vigore dal 2 febbraio 2025.

Come ti affianca TENDEOAI

Accompagniamo la PMI lungo l'intero percorso di adeguamento. Per il dettaglio del servizio gestito vedi AI Compliance Officer.

1. Censimento sistemi AI in uso (anche "informali") e raccolta delle informazioni necessarie a classificarli.
2. Classificazione del rischio secondo le categorie del regolamento (pratiche vietate, alto rischio, trasparenza, rischio minimo).
3. Documentazione tecnica per i sistemi che lo richiedono e registro interno dei sistemi AI.
4. Programma di AI literacy conforme all'Art. 4, modulato sui ruoli effettivi.
5. Governance interna: policy d'uso, procedura per l'introduzione di nuovi sistemi AI, integrazione con il Modello 231 alla luce della Legge 132/2025.
6. Affiancamento in caso di interlocuzioni con ACN o AgID.

Sul blog: la serie di articoli sull'AI Act raccoglie analisi sui singoli articoli del regolamento e casi applicativi per le PMI italiane.