L’AI Act è il primo regolamento europeo che disciplina l’uso dell’intelligenza artificiale. È entrato in vigore nell’agosto 2024, con obblighi che si applicano progressivamente fino al 2027. La domanda che ci sentiamo fare più spesso è semplice: “Ma riguarda anche noi?”
La risposta, nella maggior parte dei casi, è sì. Anche per le PMI italiane con 5, 15 o 50 dipendenti. Non perché siano obbligate a sviluppare modelli di intelligenza artificiale, ma perché utilizzano strumenti che contengono componenti AI — e il regolamento si applica anche a chi quei sistemi li impiega, non solo a chi li costruisce.
Questa guida è pratica, non legale. Per la validazione giuridica servono professionisti specializzati. Qui ci concentriamo su ciò che un imprenditore o un responsabile operativo deve sapere per orientarsi e agire.
Cos’è l’AI Act in pratica
Il Regolamento (UE) 2024/1689, noto come AI Act, classifica i sistemi di intelligenza artificiale in base al livello di rischio che comportano. Non è un elenco di software vietati: è un framework che impone obblighi diversi a seconda dell’impatto che un sistema AI ha sulle persone.
Le categorie principali sono quattro:
- Rischio inaccettabile — pratiche vietate (es. social scoring, manipolazione subliminale, sorveglianza biometrica massiva)
- Rischio alto — sistemi che richiedono conformità piena: documentazione tecnica, supervisione umana, gestione dei rischi (es. sistemi che influenzano decisioni su assunzioni, credito, sicurezza sul lavoro)
- Rischio limitato — obblighi di trasparenza: l’utente deve sapere che sta interagendo con un’AI (es. chatbot customer-facing, contenuti generati)
- Rischio minimo — nessun obbligo specifico, ma buone pratiche raccomandate (es. filtri antispam, strumenti di produttività interna)
Il punto chiave: la classificazione non dipende dallo strumento in sé, ma dall’uso che se ne fa. Lo stesso software può ricadere in categorie diverse a seconda del contesto applicativo.
Chi è coinvolto tra le PMI
Molte PMI italiane pensano che l’AI Act riguardi solo le grandi aziende tech. Non è così. Il regolamento distingue tra:
- Provider — chi sviluppa o immette sul mercato un sistema AI
- Deployer — chi utilizza un sistema AI nell’ambito della propria attività professionale
La maggior parte delle PMI rientra nella categoria deployer. Usano ChatGPT per le email commerciali. Integrano un chatbot nel sito. Adottano strumenti di automazione che contengono componenti AI per la gestione ordini o il customer service. Tutto questo rientra nel perimetro del regolamento.
In concreto, se la tua azienda fa una o più di queste cose, è coinvolta:
- Usa strumenti AI generativi per comunicazione, contenuti o analisi dati
- Impiega chatbot o assistenti virtuali a contatto con clienti o fornitori
- Utilizza sistemi automatizzati per decisioni che impattano persone (selezione CV, scoring fornitori, pricing dinamico)
- Integra funzionalità AI nei propri software gestionali o CRM
- Adotta strumenti di automazione con componenti predittive o generative
Non serve “fare AI” per rientrare nell’AI Act. Basta usarla — anche attraverso strumenti di terze parti.
Gli obblighi operativi reali
Per le PMI in ruolo di deployer, gli obblighi concreti dipendono dalla categoria di rischio dei sistemi utilizzati. Vediamo quelli più rilevanti.
Per sistemi a rischio alto:
- Garantire la supervisione umana: deve esserci una persona competente che monitora l’output del sistema e può intervenire
- Conservare i log generati automaticamente dal sistema, per un periodo adeguato
- Utilizzare il sistema solo secondo le istruzioni d’uso fornite dal provider
- Effettuare una valutazione d’impatto sui diritti fondamentali (FRIA), se applicabile
- Informare i rappresentanti dei lavoratori e le autorità competenti, quando previsto
Per sistemi a rischio limitato:
- Informare l’utente che sta interagendo con un sistema AI (obbligo di trasparenza)
- Contrassegnare i contenuti generati dall’AI come tali, quando distribuiti al pubblico
Per tutti i sistemi, indipendentemente dal rischio:
- Formare adeguatamente il personale che utilizza strumenti AI (AI literacy, art. 4 del regolamento)
- Documentare internamente quali sistemi AI vengono utilizzati, da chi e per quale scopo
L’obbligo di AI literacy è spesso sottovalutato. Non si tratta di organizzare un corso generico sull’intelligenza artificiale. Si tratta di garantire che chi usa strumenti AI in azienda comprenda i limiti, i rischi e le responsabilità connesse a quell’uso specifico.
Policy interna: il primo passo
Prima di preoccuparsi della compliance formale, c’è un passo che qualsiasi PMI può fare subito: definire una policy interna sull’uso dell’AI.
Non serve un documento da 40 pagine. Serve un documento chiaro che risponda a domande operative:
- Quali strumenti AI sono autorizzati in azienda e per quali attività
- Chi può utilizzarli e con quale livello di autonomia
- Quali dati possono essere inseriti negli strumenti AI (e quali assolutamente no)
- Come viene gestito l’output: chi lo valida, chi ne è responsabile, come viene archiviato
- Come si gestiscono errori o incidenti legati all’uso di sistemi AI
- Chi è il referente interno per le questioni AI (non serve un team dedicato — serve una persona con delega chiara)
Una policy AI interna non è un documento legale. È uno strumento operativo che protegge l’azienda e dà chiarezza alle persone.
Nella nostra esperienza, la maggior parte delle PMI non ha nessun documento di questo tipo. Gli strumenti AI vengono adottati in modo informale, spesso su iniziativa individuale, senza che la direzione abbia visibilità completa su cosa viene usato e come.
Questo è il primo gap da colmare — e non richiede budget significativi. Richiede metodo.
Timeline: quando prepararsi
L’AI Act non si applica tutto insieme. Le scadenze sono progressive e vanno conosciute per pianificare gli interventi.
- Febbraio 2025 — Divieto delle pratiche a rischio inaccettabile (già in vigore)
- Agosto 2025 — Obbligo di AI literacy per tutto il personale che utilizza sistemi AI (già in vigore)
- Agosto 2025 — Obblighi per i modelli AI di uso generale (GPAI), applicabili ai provider
- Agosto 2026 — Obblighi completi per i sistemi ad alto rischio definiti nell’Allegato III
- Agosto 2027 — Obblighi per i sistemi ad alto rischio integrati in prodotti già regolamentati (Allegato I)
Per le PMI italiane, le scadenze più rilevanti sono quelle già superate: i divieti sulle pratiche inaccettabili e l’obbligo di AI literacy sono già operativi. La prossima scadenza importante — agosto 2026 — riguarda i sistemi ad alto rischio e richiede una preparazione strutturata.
In sintesi: non c’è tempo per rimandare. Chi non ha ancora iniziato a mappare i propri sistemi AI e a formare il personale è già in ritardo rispetto agli obblighi vigenti.
Questo non significa farsi prendere dal panico. Significa iniziare con ordine:
- Inventario degli strumenti AI in uso
- Classificazione per livello di rischio
- Policy interna
- Formazione del personale
- Verifica con professionisti legali specializzati per i casi a rischio alto
Governance AI come risposta operativa
La governance AI non è un concetto astratto riservato alle multinazionali. Per una PMI, governance AI significa avere regole chiare, ruoli definiti e un processo di controllo su come l’intelligenza artificiale viene adottata e utilizzata in azienda.
Nella pratica, un modello di governance AI per una PMI comprende:
- Un registro degli strumenti AI utilizzati, con classificazione del rischio e responsabile interno
- Una policy d’uso approvata dalla direzione e comunicata a tutto il personale
- Un piano di formazione che soddisfi l’obbligo di AI literacy previsto dal regolamento
- Un processo di valutazione per l’adozione di nuovi strumenti AI (non basta che “funzioni” — deve essere conforme)
- Una procedura di revisione periodica, almeno annuale, per aggiornare il registro e la policy
Non si tratta di creare burocrazia. Si tratta di trasformare un rischio normativo in un vantaggio competitivo: le aziende che governano bene l’AI lavorano meglio, riducono gli sprechi e si presentano in modo più credibile a clienti e partner.
La governance AI non è un costo. È il modo in cui un’azienda dimostra di usare la tecnologia con consapevolezza.
Noi lavoriamo con PMI italiane — moda, beauty, manifattura — che hanno bisogno di struttura, non di teoria. Il nostro AI Readiness Audit (670 €) è pensato esattamente per questo: una fotografia operativa di dove si trova l’azienda rispetto all’AI Act, con indicazioni concrete su cosa fare prima e cosa può aspettare.
Non è una consulenza legale. È un punto di partenza strutturato per chi sa che deve muoversi, ma non sa da dove cominciare.
Il momento giusto per iniziare era ieri. Il momento realistico è adesso.