AI Act per le PMI: cosa fare adesso, passo per passo
Una PMI che usa l’AI senza venderla ha oggi due obblighi: prendere misure perché chi usa questi strumenti sappia farlo, e far sapere a clienti e pubblico quando parlano con un chatbot o guardano un contenuto generato. Gli obblighi pesanti valgono solo per gli usi ad alto rischio, come la selezione del personale, e sono stati rinviati al 02/12/2027.
In quale ruolo vi mette l’AI Act
Quasi sempre in quello di deployer, cioè chi usa un sistema di AI sotto la propria autorità. L’ufficio acquisti che usa ChatGPT per riassumere le offerte, l’assistenza che risponde con un chatbot sul sito, l’amministrazione con un software che legge le fatture: in tutti questi casi siete deployer. Gli obblighi più lunghi, documentazione tecnica e marcatura CE, ricadono sul fornitore, cioè chi sviluppa il sistema e lo mette sul mercato con il proprio nome.
Diventate fornitori se mettete in commercio un sistema di AI con il vostro marchio. Capita più spesso di quanto si pensi ai costruttori di macchine: una macchina che vendete con una funzione di visione artificiale per lo scarto dei pezzi porta il vostro nome, e con lei la funzione di AI.
Il regolamento è l’(UE) 2024/1689. Il 27/07/2026 è entrato in vigore il Regolamento (UE) 2026/1744, detto Digital Omnibus, che ha spostato le scadenze dell’alto rischio e riscritto l’obbligo di alfabetizzazione. Le date qui sotto tengono conto di entrambi.
Le date che riguardano un’azienda che usa l’AI
| Data | Cosa si applica | Cosa significa per una PMI |
|---|---|---|
| 02/02/2025 | Pratiche vietate (art. 5) e alfabetizzazione (art. 4) | Nessun uso vietato in azienda; misure per formare chi usa l’AI |
| 02/08/2025 | Regole sui modelli per finalità generali e sanzioni | Riguarda chi sviluppa i modelli; le sanzioni sono applicabili |
| 02/08/2026 | Trasparenza (art. 50) | Chi parla con un chatbot deve saperlo; i contenuti falsi realistici vanno dichiarati |
| 02/12/2026 | Marcatura leggibile dalle macchine dei contenuti generati | Obbligo dei fornitori di sistemi generativi già sul mercato prima di agosto 2026 |
| 02/12/2027 | Alto rischio dell’allegato III | Selezione e valutazione del personale, accesso al credito, altri usi elencati |
| 02/08/2028 | Alto rischio dell’allegato I | AI come componente di sicurezza di prodotti regolati, macchine comprese |
Fonti: Regolamento (UE) 2024/1689 e Regolamento (UE) 2026/1744, pubblicato in Gazzetta ufficiale UE il 24/07/2026. Verificato il 30/10/2026.
Cosa fare, in sei passi
L’ordine segue le scadenze: i primi quattro passi riguardano obblighi già in vigore.
Fare l’inventario degli usi
Un foglio con una riga per strumento: chi lo usa, per cosa, con quali dati. Dentro ci vanno anche le funzioni di AI nascoste nei software che avete già, come il CRM che dà un punteggio ai lead o il portale del personale che filtra i curriculum.
Classificare ogni riga
Per ognuna si decide se è vietata (raro in una PMI), ad alto rischio, soggetta a trasparenza o a rischio minimo. Riassumere offerte o leggere fatture è rischio minimo; un chatbot verso i clienti è trasparenza; un filtro sui candidati è alto rischio.
Mettere in piedi l’alfabetizzazione
Dopo il Digital Omnibus l’articolo 4 chiede misure che sostengano la competenza di chi usa l’AI, non un livello garantito. In pratica: regole scritte su quali dati si possono incollare negli strumenti, una formazione breve per chi li usa ogni giorno, un nome a cui rivolgersi.
Sistemare la trasparenza verso i clienti
Il chatbot del sito o l’agente che risponde su WhatsApp dichiara di essere un sistema automatico, se non è già evidente. Formalmente l’obbligo è di chi fornisce il chatbot, ma la conversazione avviene a vostro nome: controllate che il messaggio ci sia. Immagini o video realistici generati con l’AI, usati nel marketing, vanno dichiarati come tali.
Informare i dipendenti
La legge italiana 132/2025, in vigore dal 10/10/2025, all’articolo 11 chiede al datore di lavoro di informare i lavoratori quando usa sistemi di AI nella gestione del rapporto di lavoro, con le regole già previste per i sistemi automatizzati.
Chiedere ai fornitori
Per ogni strumento con AI: dove finiscono i dati, se servono ad addestrare modelli, in quale categoria lo colloca il fornitore. La risposta scritta va tenuta con l’inventario.
Quando una PMI finisce nell’alto rischio
Succede in due situazioni tipiche. La prima è il personale: un software che ordina i curriculum, che suggerisce chi promuovere o che valuta le prestazioni dei dipendenti è ad alto rischio secondo l’allegato III. Come deployer dovrete usarlo secondo le istruzioni del fornitore, affidarne la sorveglianza a una persona competente, conservare i log e informare i lavoratori. Scadenza: 02/12/2027.
La seconda riguarda i costruttori di macchine. Se l’AI svolge una funzione di sicurezza nella macchina, per esempio un sistema di visione che ferma il robot quando un operatore entra nell’area, il prodotto rientra nell’allegato I e la funzione passa dalla valutazione di conformità della macchina. Qui siete fornitori, con obblighi di documentazione e gestione del rischio, dal 02/08/2028. Una visione artificiale che scarta pezzi difettosi, senza funzione di sicurezza, di norma non è alto rischio.
Errori comuni
- Pensare che l’AI Act non vi riguardi perché non sviluppate AI. Gli obblighi di alfabetizzazione e trasparenza valgono anche per chi la usa soltanto.
- Fare l’inventario solo degli strumenti «di AI» e dimenticare le funzioni dentro CRM, software del personale e piattaforme di selezione.
- Leggere il rinvio dell’alto rischio come un rinvio di tutto. Divieti, alfabetizzazione e trasparenza sono già in vigore.
- Lasciare a ognuno la scelta di quali dati incollare in un chatbot pubblico. Il problema lì è soprattutto il GDPR, ma la regola scritta va fatta comunque.
- Comprare un modulo di selezione del personale con AI senza chiedere al fornitore come intende rispettare gli obblighi del 2027.
- Affidarsi a un corso generico come unica misura. L’alfabetizzazione va legata agli strumenti che le persone usano davvero.
Domande frequenti
Parliamone in 30 minuti
Raccontateci il processo e cosa non funziona: vi diciamo se e come lo risolveremmo, con tempi e costi indicativi.
Matteo Budriesi
CEO e co-founder di Webion, la software house di Modena che sviluppa software su misura e agenti AI per le aziende.
Aggiornato il 30/10/2026