AI Act per PMI: cosa deve fare un'azienda che usa l'intelligenza artificiale
Che ruolo ha la tua azienda, le categorie di rischio, le scadenze aggiornate dopo l'Omnibus, la legge italiana e una checklist in 10 punti.
di Alessandro Cirocchi Aggiornato il
In breve
La maggior parte delle PMI rientra nell'AI Act come 'deployer', cioè chi usa sistemi di intelligenza artificiale fatti da altri. Per loro gli impegni principali sono tre: aiutare chi usa l'AI a farlo con competenza, dire alle persone quando hanno davanti contenuti o conversazioni generati dall'AI, e non usarla in ambiti ad alto rischio, come assunzioni o credito, senza le misure previste, obbligatorie dal 2 dicembre 2027.
Cos'è l'AI Act, in tre righe?
È il regolamento europeo sull'intelligenza artificiale (Regolamento UE 2024/1689), valido direttamente in tutta l'Unione. Divide gli usi dell'AI in base al rischio: alcuni sono vietati, alcuni sono permessi con regole precise, la maggior parte è libera. Nel 2026 è stato modificato dall'Omnibus digitale sull'IA (Regolamento UE 2026/1744), che ha spostato in avanti le scadenze per l'alto rischio.
Riguarda già molte aziende: secondo l'ISTAT, nel 2025 il 16,4% delle imprese italiane con almeno 10 addetti usa almeno una tecnologia di intelligenza artificiale, il doppio del 2024 (ISTAT, Imprese e ICT, 15 dicembre 2025). La Commissione europea spiega le regole e le scadenze nella pagina Legge sull'IA.
“Quasi tutte le PMI che incontro usano già l'AI, spesso con ChatGPT sul telefono di qualcuno. Per l'AI Act il primo passo è mettere per scritto chi la usa e per cosa. È il lavoro di un pomeriggio e toglie già molti dubbi.”
Che ruolo ha la tua azienda: fornitore o deployer?
| Se la tua azienda… | Ruolo | Cosa vuol dire |
|---|---|---|
| Usa ChatGPT, Copilot o Claude per lavoro | Deployer | Gli obblighi sono soprattutto di uso corretto, formazione e trasparenza |
| Fa sviluppare un agente AI su misura per usarlo al proprio interno | Deployer (di solito) | Chi lo sviluppa ti deve dare le informazioni per usarlo bene; tu lo usi come previsto e lo controlli |
| Vende o mette a disposizione di altri un prodotto con l'AI, con il proprio nome | Fornitore | Gli obblighi sono più pesanti: documentazione, controlli e, per l'alto rischio, valutazione di conformità |
Quali sono le categorie di rischio?
- Pratiche vietate: per esempio manipolare le persone, sfruttarne le fragilità o dare un "punteggio sociale". Vietate dal 2 febbraio 2025.
- Alto rischio: AI usata per selezionare il personale, valutare il credito, l'accesso all'istruzione o nei prodotti regolati come i dispositivi medici. Servono misure precise.
- Rischio di trasparenza: chatbot, contenuti generati, immagini e video modificati. Le persone devono saperlo.
- Rischio minimo: quasi tutti gli usi in una PMI, come scrivere email, riassumere documenti, leggere fatture o compilare il gestionale. Nessun obbligo specifico oltre alla formazione.
Quali sono le scadenze dell'AI Act dopo l'Omnibus?
| Da quando | Cosa vale |
|---|---|
| 2 febbraio 2025 | Divieto delle pratiche vietate |
| 2 agosto 2025 | Regole per i modelli di AI per uso generale e sistema delle sanzioni |
| 27 luglio 2026 | Entra in vigore l'Omnibus: nuovo testo dell'obbligo di alfabetizzazione (art. 4) e semplificazioni per le PMI |
| 2 agosto 2026 | Obblighi di trasparenza (art. 50): chatbot, contenuti generati, deepfake |
| 2 dicembre 2026 | Termine per marcare come artificiali i contenuti dei sistemi generativi già sul mercato prima del 2 agosto 2026 |
| 2 dicembre 2027 | Obblighi per i sistemi ad alto rischio dell'Allegato III (personale, credito, istruzione…). Prima era il 2 agosto 2026 |
| 2 agosto 2028 | Obblighi per l'AI dentro prodotti regolati (Allegato I: macchinari, dispositivi medici, veicoli…) |
Cosa vuol dire "alfabetizzazione AI" per una PMI?
Con l'Omnibus l'articolo 4 chiede a fornitori e deployer di prendere misure per far crescere le competenze sull'AI di chi la usa per loro, tenendo conto di ruolo, esperienza e uso. Non chiede più di garantire un livello preciso di competenza. In pratica: una formazione di base per chi usa l'AI, regole d'uso scritte e qualcuno a cui chiedere, conservando traccia di quello che si è fatto. È quello che facciamo con AI di squadra.
Cosa aggiunge la legge italiana sull'AI?
La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, affianca l'AI Act. Per le imprese i punti principali sono:
- Lavoratori: se usi l'AI per assumere, assegnare mansioni, valutare o controllare il personale, devi informare per iscritto i lavoratori e le rappresentanze sindacali.
- Professionisti: chi offre una prestazione intellettuale e usa l'AI deve dirlo al cliente con parole chiare.
- Autorità: in Italia vigilano l'Agenzia per l'Italia digitale (AgID) e l'Agenzia per la cybersicurezza nazionale (ACN).
Dove si incrociano AI Act e GDPR?
Se l'AI tratta dati personali, il GDPR vale come sempre: base giuridica, informativa, dati ridotti al necessario e, per i trattamenti più delicati, la valutazione d'impatto. Conviene anche sapere dove finiscono i dati e se vengono usati per addestrare i modelli: con i piani aziendali dei principali assistenti e con gli agenti che sviluppiamo noi, no.
AI Act per PMI: la checklist in 10 punti
- Fai l'elenco degli strumenti di AI che usate in azienda, anche quelli "personali".
- Per ognuno, segna se siete deployer o fornitori.
- Controlla che nessun uso rientri tra le pratiche vietate.
- Segna gli usi ad alto rischio: personale, credito, istruzione, prodotti regolati.
- Organizza una formazione di base per chi usa l'AI e tieni traccia di cosa avete fatto.
- Scrivi regole d'uso semplici: cosa si può caricare, cosa no, chi controlla.
- Se avete un chatbot o pubblicate contenuti generati, fallo sapere a chi li legge.
- Se usate l'AI sul personale, informate per iscritto lavoratori e sindacati (L. 132/2025).
- Verificate con il responsabile privacy dati personali, informative e dove finiscono i dati.
- Ripassate la lista ogni sei mesi: strumenti e regole cambiano in fretta.
Come progettiamo agenti AI già in regola
Negli agenti AI che sviluppiamo una persona controlla sempre le decisioni importanti, ogni esecuzione si vede da LAIC e i dati restano in un ambiente chiuso, senza addestrare modelli sulle informazioni del cliente. Esempi concreti nella guida agenti AI per PMI.
Verifica gratis il tuo progetto
Se avete un software o un prototipo che usa l'AI, l'analisi gratuita del codice controlla in pochi minuti sicurezza, dati e i punti che toccano GDPR e AI Act. È un controllo tecnico, non un parere legale.
Questa guida spiega le regole in modo semplice e non è una consulenza legale: per il tuo caso specifico rivolgiti a un avvocato o al tuo responsabile privacy. Fonti: Regolamento (UE) 2024/1689, Regolamento (UE) 2026/1744, legge 23 settembre 2025, n. 132 (GU n. 223 del 25 settembre 2025), Commissione europea, Legge sull'IA.
