AI Act per PMI: cosa devi fare davvero, entro quando

Se in azienda qualcuno usa ChatGPT per scrivere email, un chatbot per rispondere ai clienti o uno strumento AI per generare immagini di prodotto, l'AI Act ti riguarda già. Non tra due anni, non "quando sarà tutto in vigore": adesso. La maggior parte delle PMI italiane pensa che il regolamento europeo sull'intelligenza artificiale sia una questione per chi sviluppa software o per le grandi aziende con sistemi complessi. Non è così.

Il Regolamento (UE) 2024/1689 distingue due ruoli: il provider, chi sviluppa un sistema AI, e il deployer, chi lo usa nella propria attività professionale. La stragrande maggioranza delle PMI italiane è deployer. E anche in questo ruolo, gli obblighi esistono e in parte sono già scattati.

Questo articolo elenca cosa devi fare davvero, entro quando, e cosa rischi se non fai niente. Senza allarmismo e senza minimizzare: le fonti dicono entrambe le cose, ed è giusto riportarle così come sono.

Cosa è già in vigore, oggi

Due obblighi sono operativi dal 2 febbraio 2025 e non sono stati toccati da nessun rinvio. Il primo è il divieto di alcune pratiche a rischio inaccettabile (articolo 5): manipolazione comportamentale, social scoring, riconoscimento delle emozioni sul posto di lavoro. Nessuna PMI dovrebbe operare in questo ambito, ed è comunque bene saperlo per evitare strumenti che li implementano senza dichiararlo apertamente.

Il secondo, molto più rilevante per una PMI, è l'obbligo di alfabetizzazione AI previsto dall'articolo 4. Chi utilizza sistemi di intelligenza artificiale per la propria attività professionale deve garantire che il personale coinvolto abbia un livello di competenza adeguato. Non significa necessariamente organizzare corsi certificati: significa poter dimostrare che chi usa l'AI in azienda lo fa in modo consapevole, sapendo cosa può e non può fare uno strumento come un chatbot per preparare offerte commerciali o un software che riassume documenti.

Questo è l'obbligo che quasi nessuna PMI italiana ha ancora affrontato, secondo le analisi più recenti del settore. Ed è anche il più semplice da colmare: non richiede budget elevati, richiede un percorso strutturato.

Le scadenze del 2026 che contano davvero

Il 2 agosto 2026 resta la data chiave per la maggior parte delle PMI. Da quel giorno diventano pienamente operativi gli obblighi di trasparenza dell'articolo 50: se usi un chatbot o un assistente virtuale rivolto al pubblico, devi informare chiaramente l'utente che sta interagendo con una macchina. Vale per il sito, per WhatsApp, per qualsiasi canale in cui un cliente possa scambiare l'AI per una persona.

Accanto a questa, c'è la marcatura dei contenuti sintetici. Immagini generate con strumenti come DALL-E o Midjourney, testi prodotti integralmente da AI generativa, video promozionali creati con questi strumenti: se li usi in comunicazioni commerciali, dal 2 novembre 2026 devono essere identificabili come tali attraverso metadati leggibili da macchina. È esattamente il tipo di adempimento che una PMI scopre in ritardo, perché passa dal marketing, non dall'ufficio legale.

Per i sistemi ad alto rischio — quelli usati in selezione del personale, valutazione dei lavoratori, credito, sicurezza critica — il Digital Omnibus ha spostato la piena applicabilità al 2 dicembre 2027. È un rinvio reale, ma riguarda una minoranza di PMI: la maggior parte usa strumenti a rischio limitato o minimo, per cui gli obblighi principali restano quelli di trasparenza e alfabetizzazione, con scadenze che non si sono mosse.

Cosa succede a non fare niente

Le sanzioni previste dall'AI Act sono su tre fasce. Le pratiche vietate dell'articolo 5 possono costare fino a 35 milioni di euro o il 7% del fatturato mondiale annuo. La non conformità sui sistemi ad alto rischio arriva fino a 15 milioni o il 3%. Le informazioni inesatte fornite alle autorità fino a 7,5 milioni o l'1%. Numeri pensati per le big tech, non per una PMI da due milioni di fatturato — ma il regolamento prevede criteri di proporzionalità per PMI e startup, quindi le cifre reali applicate saranno commisurate alla dimensione aziendale.

In Italia i controlli passano da due autorità: l'Agenzia per la Cybersicurezza Nazionale (ACN), con poteri ispettivi su sicurezza e adeguatezza dei sistemi, e l'Agenzia per l'Italia Digitale (AgID), responsabile di notifiche e promozione di casi d'uso sicuri. I controlli sui sistemi ad alto rischio iniziano nel 2026.

Ma il rischio più concreto per una PMI italiana oggi non è la sanzione multimilionaria, è lo Shadow AI: dipendenti che usano chatbot e strumenti generativi senza che l'azienda lo sappia, senza policy, senza formazione. Circa il 39% delle organizzazioni italiane dichiara di non aver ancora definito una policy ufficiale per l'uso dell'AI generativa. È il terreno su cui si accumula l'esposizione normativa senza che nessuno se ne accorga, finché non arriva un controllo o un cliente che chiede conto di come sono stati trattati i suoi dati.

La sequenza pratica per una PMI senza ufficio compliance

Le fonti convergono su una sequenza di quattro passi, applicabile con budget limitato e senza una struttura legale interna.

Il primo è l'inventario: capire quali strumenti AI usa realmente il team, non quelli "ufficiali" ma anche quelli adottati spontaneamente dai singoli — un foglio condiviso basta per iniziare. Il secondo è la classificazione del rischio per ciascuno strumento: la maggior parte ricadrà in rischio minimo o limitato, ma vale la pena verificarlo invece di darlo per scontato, soprattutto per strumenti usati in selezione del personale o valutazione di collaboratori. Il terzo è la formazione del personale che usa questi strumenti, anche in forma non certificata ma documentabile: due o tre ore con un formatore esterno, con verbale di partecipazione, sono già una base difendibile. Il quarto è una policy interna scritta, che stabilisca cosa si può condividere con l'AI, come verificare gli output e chi è il referente interno per queste decisioni.

Questo percorso corrisponde, non a caso, a quello che un audit AI aziendale affronta in pratica: mappatura degli strumenti, valutazione dei processi coinvolti, definizione di una policy interna coerente sia con l'AI Act sia con il GDPR, che resta applicabile in parallelo per tutti i dati personali trattati dai sistemi AI.

Cosa NON serve fare (e dove si spreca budget)

L'AI Act non impone alle PMI di assumere una figura dedicata come un "AI Officer", né richiede certificazioni formali per ogni dipendente che usa uno strumento AI. L'obiettivo del regolamento è elevare le competenze diffuse, non creare una nuova casella organizzativa. Chi propone pacchetti di compliance costosi e standardizzati, uguali per un'azienda di dieci persone e per una di cento, sta probabilmente vendendo più di quanto serva.

Allo stesso modo, non ha senso trattare la registrazione nel database europeo dei sistemi ad alto rischio come priorità se la tua azienda usa solo un chatbot per il servizio clienti o uno strumento per bozze di documenti: quello è un obbligo che riguarda i provider di sistemi ad alto rischio, categoria in cui la stragrande maggioranza delle PMI italiane non rientra. La proporzionalità è un principio esplicito del regolamento, e vale anche al contrario: non serve prepararsi per obblighi che non ti competono.

Se non sai ancora quali strumenti AI usa davvero il tuo team, in quale categoria di rischio ricadono e cosa manca per essere in regola, il punto di partenza è una mappatura chiara prima che diventi un problema. Con Samurai Lab puoi partire da un audit che ti dice esattamente dove sei esposto e cosa fare per primo.