AI Act: cosa cambia per le PMI che usano l'intelligenza artificiale

L'AI Act, il Regolamento (UE) 2024/1689 sull'intelligenza artificiale, riguarda anche le PMI che usano l'intelligenza artificiale, non solo chi la sviluppa. Per la maggior parte delle piccole imprese, che usano assistenti per testi, chatbot o funzioni di IA incluse nei software, gli obblighi principali sono due: garantire che il personale abbia competenze adeguate e rispettare gli obblighi di trasparenza, ad esempio informando le persone quando interagiscono con un chatbot. Obblighi molto più estesi si applicano solo a chi usa o fornisce sistemi classificati ad alto rischio.

Questa guida offre un quadro generale e divulgativo. Non sostituisce una consulenza legale: per valutare casi specifici è opportuno rivolgersi a un professionista del diritto.

Che cos'è l'AI Act e a chi si applica?

L'AI Act è il regolamento europeo che disciplina lo sviluppo, la commercializzazione e l'uso dei sistemi di intelligenza artificiale nell'Unione. È entrato in vigore il 1° agosto 2024 e si applica in modo graduale. Distingue diversi ruoli, tra cui:

• fornitori: chi sviluppa un sistema di IA e lo immette sul mercato con il proprio nome;
• deployer (utilizzatori): chi usa un sistema di IA nell'ambito della propria attività professionale.

Una PMI che adotta strumenti di IA sul mercato è, nella gran parte dei casi, un deployer. Se invece sviluppa un proprio sistema e lo offre ad altri, assume anche il ruolo di fornitore, con obblighi più ampi.

I livelli di rischio previsti dall'AI Act

Il regolamento segue un approccio basato sul rischio:

• Pratiche vietate: usi considerati inaccettabili, come la manipolazione che sfrutta vulnerabilità delle persone, il punteggio sociale o alcune forme di riconoscimento delle emozioni sul luogo di lavoro e nelle scuole.
• Alto rischio: sistemi usati in ambiti delicati, ad esempio selezione e gestione del personale, accesso a servizi essenziali, istruzione, infrastrutture critiche, oppure integrati in prodotti già soggetti a normative di sicurezza.
• Rischio legato alla trasparenza: sistemi che interagiscono con le persone o generano contenuti, come chatbot e generatori di testi, immagini, audio e video.
• Rischio minimo: la maggior parte degli usi comuni, senza obblighi specifici aggiuntivi.

Quali obblighi ha una PMI che usa l'intelligenza artificiale?

Competenze del personale

Il regolamento chiede a fornitori e deployer di adottare misure per assicurare un livello sufficiente di alfabetizzazione in materia di IA del personale che usa questi sistemi. L'Omnibus digitale del 2026 ha riformulato l'obbligo in termini più flessibili, ma il principio resta: le misure vanno calibrate su ruolo, esperienza e contesto d'uso. In pratica significa formazione mirata, regole interne chiare e consapevolezza di limiti e rischi degli strumenti.

Trasparenza

Chi usa un chatbot verso clienti o utenti deve, in linea generale, far sapere che stanno interagendo con un sistema di IA, salvo che sia evidente. Sono previsti obblighi specifici anche per i contenuti generati o manipolati artificialmente, come i deepfake, e per la marcatura dei contenuti sintetici, che riguarda soprattutto i fornitori dei sistemi generativi.

Obblighi per l'alto rischio

Chi usa sistemi ad alto rischio, ad esempio software di IA per selezionare candidati, deve tra l'altro seguire le istruzioni del fornitore, assicurare una sorveglianza umana competente, monitorare il funzionamento e conservare i registri generati dal sistema. In alcuni casi sono previsti obblighi di informazione verso i lavoratori.

Le scadenze principali dell'AI Act

Il calendario è stato modificato dal Regolamento (UE) 2026/1744, il cosiddetto Omnibus digitale sull'IA, entrato in vigore a fine luglio 2026. In sintesi:

• 2 febbraio 2025: si applicano i divieti delle pratiche inaccettabili e le disposizioni sull'alfabetizzazione in materia di IA.
• 2 agosto 2025: si applicano le regole sui modelli di IA per finalità generali, la governance e il sistema sanzionatorio.
• 2 agosto 2026: si applicano gli obblighi di trasparenza, ad esempio per chatbot e contenuti generati.
• 2 dicembre 2026: entrano in vigore nuovi divieti introdotti dall'Omnibus, relativi alla generazione di contenuti intimi non consensuali e di materiale di abuso su minori.
• 2 dicembre 2027: obblighi per i sistemi ad alto rischio elencati nell'Allegato III (prima previsti per agosto 2026).
• 2 agosto 2028: obblighi per i sistemi ad alto rischio integrati in prodotti regolati (Allegato I).

Le date possono essere oggetto di ulteriori interventi e chiarimenti: conviene verificarle periodicamente sulle fonti ufficiali, come il servizio di assistenza sull'AI Act della Commissione europea. In Italia è inoltre in vigore dal 2025 una legge nazionale sull'intelligenza artificiale, che affianca il regolamento europeo con disposizioni di principio e settoriali.

Sono previste agevolazioni per le PMI?

Sì. Il regolamento prevede misure di sostegno per PMI e startup, tra cui accesso prioritario agli spazi di sperimentazione normativa, documentazione tecnica semplificata per i fornitori e sanzioni calibrate tenendo conto delle dimensioni dell'impresa. L'Omnibus ha esteso alcune semplificazioni anche alle imprese di dimensioni intermedie. Si tratta però di agevolazioni, non di esenzioni: le regole di fondo valgono per tutti.

Primi passi pratici per una PMI

1. Fai un inventario degli strumenti di IA usati in azienda, compresi quelli integrati in software già in uso e quelli adottati spontaneamente dai collaboratori.
2. Classifica gli usi: per ciascuno chiediti se rientra tra quelli ad alto rischio, se interagisce con il pubblico o se genera contenuti diffusi all'esterno.
3. Definisci una policy interna: quali strumenti si possono usare, con quali dati, chi verifica i risultati.
4. Organizza la formazione del personale, proporzionata al ruolo.
5. Cura la trasparenza: indica chiaramente l'uso di chatbot e valuta come segnalare i contenuti generati.
6. Coordina con il GDPR: molti usi dell'IA comportano trattamento di dati personali, con obblighi che restano pienamente validi.
7. Coinvolgi un legale per i casi dubbi, in particolare se usi l'IA in ambito risorse umane o sviluppi sistemi per terzi.

Nei progetti seguiti da Alessandro Congedo, l'inventario iniziale è spesso il passaggio più utile: rende visibili strumenti adottati in modo spontaneo e permette di impostare regole semplici prima che i problemi emergano. Per integrare l'IA nei processi in modo ordinato puoi consultare la pagina sull'intelligenza artificiale per aziende e quella sul consulente digitale per la strategia.

In sintesi

L'AI Act si applica anche alle PMI che usano l'intelligenza artificiale. Per la maggior parte degli usi comuni gli impegni principali sono competenze adeguate del personale e trasparenza verso le persone. Obblighi più rigorosi riguardano i sistemi ad alto rischio, le cui scadenze sono state rinviate al dicembre 2027 e all'agosto 2028 dall'Omnibus digitale. Il punto di partenza è un inventario degli strumenti, seguito da una policy interna e da formazione mirata, con il supporto di un legale per i casi specifici. Chi rappresenta imprese associate può trovare spunti anche nella pagina per le associazioni di categoria.

Vuoi parlarne? Prenota una call conoscitiva gratuita con Alessandro Congedo o descrivi il tuo progetto.