Stai usando AI in azienda? Allora sei già dentro al perimetro dell'AI Act.
Non importa se l'hai introdotta tu volontariamente — un chatbot sul sito, ChatGPT per scrivere le email, un sistema di scoring dei lead — o se l'hai trovata dentro a un software che hai sempre usato — un gestionale che integra suggerimenti automatici, un sistema di videosorveglianza con riconoscimento, una piattaforma HR che filtra CV. In tutti questi casi, sei un "deployer" ai sensi del regolamento UE 2024/1689. E hai degli obblighi.
La buona notizia: per la maggior parte delle PMI italiane gli obblighi concreti sono pochi e gestibili. La meno buona: hanno scadenze precise e l'autorità italiana di vigilanza — l'ACN — può partire con i controlli dal 3 agosto 2026.
Cos'è l'AI Act e quando si applica alle PMI
L'AI Act è il primo regolamento europeo sull'intelligenza artificiale. Entrato in vigore il 1° agosto 2024, diventa pienamente applicabile per gradi:
| Data | Cosa scatta |
|---|---|
| 2 febbraio 2025 | Divieti assoluti (manipolazione subliminale, social scoring, riconoscimento emotivo nei luoghi di lavoro). Già attivi. |
| 2 agosto 2025 | AI literacy obbligatoria del personale (art. 4). Già in vigore. |
| 2 agosto 2026 | Sistemi ad alto rischio + obblighi di trasparenza chatbot (art. 50). La data principale per le PMI. |
| 2 agosto 2027 | Sistemi AI integrati in prodotti già regolati (Allegato I, es. dispositivi medici, automotive). |
Si applica a te se: usi un qualsiasi strumento AI nell'esercizio della tua attività professionale, indipendentemente da chi lo ha sviluppato. OpenAI ha sviluppato ChatGPT, tu lo usi: sei un deployer. Il fornitore del tuo gestionale ha integrato un suggeritore AI, tu lo usi: sei un deployer.
Come capire se i tuoi sistemi AI sono "ad alto rischio"
L'AI Act classifica i sistemi in quattro categorie:
Sistemi vietati (art. 5) — già fuori dal 2 febbraio 2025. Riguarda casi estremi che le PMI quasi mai usano: scoring sociale, manipolazione subliminale, riconoscimento emotivo nei luoghi di lavoro (con eccezioni), categorizzazione biometrica per origine etnica.
Sistemi ad alto rischio (Allegato III) — l'area da capire con attenzione. Include:
- Sistemi AI per la selezione del personale (filtraggio CV, valutazione candidati, scoring video colloqui)
- Scoring creditizio dei clienti (anche se costruito su algoritmi semplici, se l'output decide accesso al credito o pricing)
- Sistemi AI per la sicurezza dei prodotti (componenti di sicurezza in macchinari, dispositivi medici)
- Identificazione biometrica
- Sistemi nel contesto educativo che decidono accesso o valutazione
Se uno dei tuoi sistemi rientra qui, hai obblighi pieni di documentazione, supervisione umana, registrazione nel database europeo EIPAMA.
Sistemi con obblighi di trasparenza (art. 50) — chatbot, agenti AI, contenuti generati da AI. Sono la maggior parte degli strumenti AI delle PMI. Obbligo principale: l'utente deve sapere che sta interagendo con un sistema automatizzato, non con una persona.
Sistemi a rischio minimo — ChatGPT per scrivere email interne, Copilot per riassumere documenti, suggeritori di prodotto sul tuo e-commerce. Nessun obbligo specifico oltre alla buona pratica.
Il primo passo della conformità è classificare ciascun sistema in uso. Da questo dipende tutto il resto.
Gli obblighi concreti per le PMI
1. AI literacy del personale (art. 4 — già in vigore da agosto 2025)
Tutti i dipendenti che usano o supervisionano sistemi AI devono avere formazione documentata. Non un dottorato — basta capire come funziona lo strumento, quali rischi comporta, come usarlo in modo conforme al GDPR. La documentazione richiesta: registro presenze, contenuti del corso, attestati nominativi. Approfondisci nell'articolo dedicato: AI literacy obbligo di legge.
2. Disclosure sui chatbot (art. 50 — da agosto 2026)
Se hai un chatbot sul sito, su WhatsApp Business, o qualsiasi agente AI che interagisce con utenti, deve identificarsi all'inizio dell'interazione come sistema automatizzato. Non nascondere la natura AI nel footer dei termini di servizio. Dettagli in chatbot aziendale e AI Act.
3. Supervisione umana sui sistemi ad alto rischio
Per i sistemi nell'Allegato III, l'output dell'AI non può essere l'unica base di una decisione. Serve un meccanismo di supervisione umana documentato: chi rivede, come, con quali criteri di override. Per HR che usa AI per filtrare CV: una persona deve poter accedere ai filtri rifiutati e correggerli. Per scoring clienti: chi nega un credito sulla base dell'AI deve poterne motivare la decisione.
4. Fascicolo tecnico e registrazione
Per ciascun sistema ad alto rischio: descrizione tecnica, dati usati per training (se applicabile al deployer), valutazione del rischio, misure di mitigazione, log degli accessi. I sistemi ad alto rischio vanno registrati nel database europeo EIPAMA.
La norma UNI 11621-8:2026: perché conta per le PMI
Ad aprile 2026 è stata pubblicata la UNI 11621-8:2026, primo standard europeo sui profili professionali AI. Definisce 12 figure:
AI Designer · AI Officer · AI Developer · AI Trainer · AI Architect · AI Auditor · AI Ethicist · AI Risk Manager · AI Quality Manager · AI User Experience Specialist · AI Implementation Specialist · AI Business Manager.
Non è obbligatorio adottare la norma. Ma sta diventando un riferimento contrattuale rapido: i clienti enterprise che devono dimostrare alla loro AI compliance di avere una supply chain in regola chiedono ai fornitori PMI di indicare quali profili AI hanno (o usano in outsourcing) secondo la UNI 11621-8:2026. È lo stesso meccanismo del GDPR: prima i grandi si sono adeguati, poi hanno iniziato a chiederlo ai fornitori.
Per una PMI da 20-50 dipendenti, raramente serve avere internamente tutti i profili. Avere un AI Officer (responsabile della governance AI) e l'accesso a un AI Auditor esterno per la documentazione è sufficiente per la maggior parte dei requisiti contrattuali.
Cosa rischi se non ti metti in regola
Le sanzioni dell'AI Act (art. 99) sono articolate in tre fasce:
- Fino a €35 milioni o 7% del fatturato globale per uso di sistemi vietati (art. 5)
- Fino a €15 milioni o 3% del fatturato per violazione degli obblighi su sistemi ad alto rischio e disclosure (art. 50)
- Fino a €7,5 milioni o 1% del fatturato per informazioni false alle autorità
Per le PMI vale sempre l'importo più basso tra cifra assoluta e percentuale del fatturato. Una PMI con fatturato €3M che ha un chatbot senza disclosure rischia al massimo €90.000.
Ma il rischio diretto delle sanzioni non è il principale. I rischi reali per una PMI italiana:
- Perdita di clienti enterprise: i grandi clienti stanno inserendo nei contratti la richiesta di conformità AI Act come prerequisito. Chi non è in regola perde gare e contratti già in essere alla rinnovo.
- Esclusione dai bandi pubblici: i bandi di digitalizzazione finanziati pubblicamente includono progressivamente requisiti di conformità AI Act.
- Costo reputazionale: le sanzioni ACN sono pubblicate. Anche un'importo modesto può compromettere la fiducia nel mercato B2B.
Approfondisci nelle sanzioni AI Act per PMI.
Il percorso pratico in 4 step
Step 1 — Diagnosi (1 settimana) Censimento dei sistemi AI in uso, intervista a chi li usa, classificazione preliminare del rischio. Output: lista di tutti i sistemi con la categoria AI Act associata.
Step 2 — Mappatura formale (1-2 settimane) Per ciascun sistema: scheda con nome, fornitore, scopo d'uso, dati trattati, responsabile interno. Le schede sono la base del fascicolo tecnico.
Step 3 — Documentazione (2-3 settimane) Policy interna sull'uso AI, aggiornamento del registro GDPR, configurazione disclosure per chatbot esistenti, piano di supervisione umana per i sistemi ad alto rischio.
Step 4 — Formazione (1-2 settimane in parallelo) Erogazione del percorso AI literacy con attestati. Recuperabile al 50-70% via Fondimpresa (Avviso 4/2025).
Tempo totale: 30-60 giorni per una PMI con uso AI standard. 60-120 giorni se ci sono sistemi ad alto rischio.
Non sai da dove iniziare? Parti dalla diagnosi gratuita
L'AI Compliance Officer è il servizio che gestisce tutto questo percorso per la tua PMI. La diagnosi iniziale è gratuita: in una settimana mappiamo i sistemi AI della tua azienda, ti diciamo a quali obblighi sei soggetto, e quanto tempo serve per la conformità completa.
Scopri il servizio AI Compliance Officer → Prenota la diagnosi AI Act gratuita →