AI Act per le PMI italiane: la guida operativa completa 2026

Cos'è l'AI Act, spiegato senza gergo

L'AI Act (Regolamento UE 2024/1689) è il primo regolamento al mondo che disciplina l'intelligenza artificiale in modo organico. Entrato in vigore il 1° agosto 2024, si applica progressivamente tra il 2025 e il 2027, con due scadenze che toccano da vicino le imprese italiane: il 2 agosto 2026 (obblighi di trasparenza per i modelli di AI generativa) e il 2 dicembre 2026 (applicazione generale, con l'obbligo di alfabetizzazione AI del personale).

Il principio di fondo è semplice: non si regola la tecnologia in astratto, ma l'uso che se ne fa. Uno stesso strumento può essere a rischio minimo in un contesto (un filtro antispam) e ad alto rischio in un altro (la selezione automatica dei curriculum per un'assunzione). Per questo il Regolamento classifica i sistemi in base al rischio e assegna obblighi progressivi.

Per una PMI italiana la domanda non è 'siamo soggetti all'AI Act?' (quasi certamente sì, se usiamo l'AI anche solo tramite ChatGPT o un CRM con funzioni intelligenti), ma 'quali obblighi ci toccano, e cosa dobbiamo fare concretamente?'. Questa guida risponde in ordine pratico, con checklist, modelli e scadenze.

A chi si applica: fornitori, deployer e importatori

Il Regolamento distingue tre ruoli: il fornitore (chi sviluppa o mette sul mercato un sistema AI), il deployer (chi utilizza il sistema in ambito professionale) e, per i sistemi importati da fuori UE, l'importatore e il distributore. Le PMI italiane nella stragrande maggioranza dei casi sono deployer: usano strumenti AI sviluppati da altri.

Questa distinzione è importante perché determina gli obblighi. I fornitori di modelli general-purpose (OpenAI, Anthropic, Google, Mistral) hanno obblighi propri, tra cui la pubblicazione della sintesi dei contenuti di training dal 2 agosto 2026 e il rispetto del diritto d'autore nelle risposte. I deployer hanno obblighi più leggeri ma comunque concreti: usare i sistemi secondo le istruzioni del fornitore, garantire la supervisione umana nei casi previsti e, dal 2 dicembre 2026, assicurare l'alfabetizzazione AI delle persone che lavorano con questi sistemi.

C'è però una precisazione che le aziende spesso sottovalutano: se la tua azienda sviluppa sistemi AI su misura (ad esempio un agente di risposta automatica per i clienti, o un motore di estrazione dati), per quella parte diventi fornitore, con gli obblighi corrispondenti. È il caso delle aziende che commissionano automazioni AI: l'architettura va progettata in modo che la conformità sia incorporata, non aggiunta dopo.

La mappa dei rischi: vietato, alto, limitato, minimo

Il Regolamento classifica i sistemi in quattro livelli di rischio. Ogni livello ha obblighi diversi, e il livello non dipende dall'intenzione di chi usa il sistema ma dalle caratteristiche oggettive dell'uso.

Sistemi a rischio inaccettabile: vietati dal 2 febbraio 2025. Sono i sistemi che manipolano il comportamento delle persone (nudging subliminale), lo scoring sociale, il riconoscimento delle emozioni nei luoghi di lavoro e di studio, e il riconoscimento biometrico in tempo reale in spazi pubblici con limitate eccezioni per le forze dell'ordine. Per una PMI normale questa categoria è irrilevante, ma vale la pena saperla riconoscere perché le sanzioni per i divieti sono le più alte in assoluto.

Sistemi ad alto rischio: sono quelli in ambiti sensibili — istruzione, lavoro e reclutamento, credito e accesso a servizi essenziali, sanità, infrastrutture critiche, giustizia e procedure democratiche — oltre ai sistemi che compiono una funzione di profilazione delle persone fisiche. Chi li sviluppa o li usa deve rispettare requisiti stringenti: qualità dei dati di addestramento, documentazione tecnica, trasparenza, sorveglianza umana, robustezza e accuratezza. I sistemi ad alto rischio in servizio vanno messi in conformità entro il 2 agosto 2027 (allegato III).

Sistemi a rischio limitato: sono i sistemi che interagiscono con persone (chatbot, sistemi di generazione di testi, immagini o voci) e i sistemi di riconoscimento delle emozioni non vietati. L'obbligo è la trasparenza: gli utenti devono sapere che stanno interagendo con un sistema AI. Dal 2 dicembre 2026, se il tuo sito ha un chatbot AI o i tuoi preventivi sono generati con l'AI, devi dichiararlo.

Sistemi a rischio minimo: il resto — filtri antispam, classificatori di documenti interni, raccomandatori di contenuti, motori di traduzione. Nessun obbligo specifico, ma restano validi i principi generali (GDPR, protezione dei consumatori, ecc.) e l'obbligo di alfabetizzazione del personale che li usa.

Il calendario delle scadenze (tabella che puoi appendere in ufficio)

Le date che contano per la tua azienda sono sei. Le prime due sono già passate; le altre tre richiedono azioni concrete, alcune entro pochi mesi.

I 6 obblighi pratici per chi USA l'AI (senza svilupparla)

Se la tua azienda usa AI generativa o sistemi AI di terze parti — anche solo ChatGPT in azienda, o un CRM con assistente integrato — questi sono gli obblighi che ti riguardano davvero, tutti dal 2 dicembre 2026.

Primo: alfabetizzazione AI del personale (art. 4). Chi lavora con sistemi AI deve ricevere formazione adeguata su funzionamento, limiti e rischi. Non è un corso di PowerPoint: è formazione commisurata ai sistemi che l'azienda usa davvero, da documentare.

Secondo: uso conforme alle istruzioni del fornitore. Il deployer deve usare i sistemi secondo le indicazioni d'uso e le condizioni contrattuali. Se il contratto con il fornitore vieta l'inserimento di dati personali e il dipendente li inserisce comunque, la responsabilità è dell'azienda.

Terzo: trasparenza verso gli utenti. Se un cliente interagisce con un chatbot o riceve contenuti generati da AI (preventivi, risposte, riassunti), va informato in modo chiaro e non ambiguo.

Quarto: supervisione umana. Nei casi in cui il sistema produce effetti sui diritti delle persone (selezione, decisioni creditizie, valutazioni), la decisione finale deve essere umana e documentata.

Quinto: monitoraggio e segnalazione. Se il sistema causa un incidente (danno a persone, violazione di diritti fondamentali), il deployer deve segnalarlo e documentarlo.

Sesto: conformità delle applicazioni sviluppate internamente. Se costruisci automazioni AI per la tua azienda (workflow, agenti, knowledge base), anche quelle sono 'sistemi AI': devono rispettare trasparenza, supervisione e qualità dei dati, e i dati usati per addestrarle/contestualizzarle vanno documentati.

L'art. 4: l'alfabetizzazione AI del personale, in dettaglio

L'articolo 4 del Regolamento impone ai deployer di adottare misure per garantire un livello adeguato di alfabetizzazione in materia di AI per il personale che utilizza i sistemi. È l'obbligo che tocca il maggior numero di imprese italiane, e la sanzione per la mancata attuazione arriva fino a 7,5 milioni di euro o all'1,5% del fatturato mondiale annuo.

Cosa significa 'livello adeguato' in pratica? La formazione deve essere proporzionata ai sistemi usati: un'azienda che usa un CRM con funzioni AI leggerà la policy e farà una sessione di un'ora; un'azienda con workflow di automazione AI su dati dei clienti ha bisogno di formazione più approfondita su limiti, errori possibili e punti di controllo.

La formazione va documentata: chi ha partecipato, quando, quale contenuto. Non serve un attestato formale, ma serve la tracciabilità, perché è ciò che dimostra la diligenza in caso di verifica. La formazione va ripetuta quando cambiano gli strumenti o arrivano sistemi nuovi, e va integrata con una policy scritta che stabilisce cosa si può fare e cosa no.

Nel modello eTuka, la formazione AI Act per il personale è una sessione pratica di 1-2 ore costruita sui sistemi realmente usati dall'azienda, con esempi del lavoro quotidiano, esercizi e documento di tracciabilità. Si organizza in una settimana, costa una frazione di una consulenza legale tradizionale, ed è ripetibile quando il parco strumenti cambia.

I sistemi ad alto rischio: chi deve preoccuparsene (e chi no)

La categoria ad alto rischio (allegato I e allegato III) preoccupa molte aziende a torto. Se la tua azienda non opera in settori sensibili e non usa l'AI per decisioni che producono effetti giuridici o di impatto significativo sulle persone, i sistemi ad alto rischio non ti riguardano.

Gli ambiti che invece innescano la classificazione: sistemi di reclutamento e selezione del personale (i tool che filtrano i curriculum), sistemi per la valutazione del credito e dei premi assicurativi, sistemi sanitari (triage, diagnosi assistita), sistemi educativi (valutazione degli studenti), sistemi usati nella gestione di infrastrutture critiche e nell'ambito giudiziario. Anche i sistemi che fanno profilazione delle persone possono salire di categoria.

Per chi ricade nell'alto rischio, gli obblighi sono significativi: sistema di gestione della qualità, documentazione tecnica, log automatici, sorveglianza umana, requisiti di accuratezza e robustezza, e registrazione nella banca dati UE degli operatori. La messa in conformità dei sistemi già in servizio è entro il 2 agosto 2027.

Una nota per il settore HR: i tool di screening dei curriculum con AI, anche acquistati da terzi, collocano l'azienda nella posizione di deployer di un sistema ad alto rischio. La scelta consapevole è possibile: usare l'AI in assistenza alla selezione (riassunti, ranking con revisione umana) mantenendo la decisione finale umana, con trasparenza verso i candidati.

Le sanzioni: numeri reali e lettura pratica

Le sanzioni dell'AI Act sono allineate ai livelli più alti del GDPR, e per questo hanno generato molta apprensione. I valori: fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per le violazioni dei divieti (sistemi a rischio inaccettabile); fino a 15 milioni o il 3% per le violazioni degli obblighi su sistemi ad alto rischio e della maggior parte degli altri obblighi; fino a 7,5 milioni o l'1,5% per la mancata alfabetizzazione del personale.

La lettura pratica è più rassicurante: le sanzioni si applicano a violazioni sostanziali e dimostrate, e il Regolamento prevede che le autorità nazionali tengano conto della dimensione dell'impresa (le PMI godono di attenuanti esplicite) e delle misure di mitigazione adottate. Avere documentazione, policy e formazione in ordine riduce sia il rischio di sanzione sia l'importo in caso di verifica.

L'AGCM (Autorità Garante della Concorrenza e del Mercato) e il Garante per la protezione dei dati personali sono le autorità italiane di riferimento. La vigilanza sulle PMI in Italia è nelle prime fasi di organizzazione: il momento migliore per mettersi in regola è adesso, quando il costo è basso, non dopo una verifica.

La checklist operativa in 10 punti (per la PMI che usa l'AI)

Questa è la checklist che consegniamo alle aziende che seguiamo. Ogni punto è un'azione concreta, misurabile in giorni lavorativi, non in mesi.

Inventario dei sistemi AI in uso: elenca ogni strumento (ChatGPT, Claude, Copilot, CRM con AI, chatbot, automazioni interne) con fornitore, versione, reparti che lo usano e finalità. È il fondamento di tutto il resto.

Policy aziendale sull'uso dell'AI: un documento di una pagina che stabilisce cosa si può usare, cosa non si può inserire (dati personali, segreti aziendali, contratti), chi autorizza usi nuovi e chi risponde delle violazioni. Va firmata da tutto il personale.

Formazione del personale: la sessione pratica di 1-2 ore con tracciabilità delle presenze e dei contenuti, da ripetere a ogni cambio di strumenti. È l'obbligo dell'art. 4.

Verifica dei contratti con i fornitori: controllare che gli accordi con i fornitori di modelli escludano il training sui dati dell'azienda e includano un accordo sul trattamento dei dati (Data Processing Agreement). Se manca, limitare i dati immessi.

Registro dei processi automatizzati: per ogni automazione AI in produzione, una scheda con processo, dati coinvolti, modello, responsabile, log e punti di supervisione umana. È la prova della diligenza.

Trasparenza verso gli utenti: dichiarare dove serve (chatbot, preventivi generati, contenuti AI) che l'utente interagisce con un sistema AI, con formulazioni semplici.

Meccanismi di supervisione umana: per ogni decisione automatica con effetti rilevanti, definire chi controlla, quando e come, e documentare le verifiche.

Valutazione dei dati personali: verificare base giuridica e informativa per i dati immessi nei sistemi AI. Il GDPR continua ad applicarsi integralmente: il Titolare è e resta l'azienda.

Valutazione del rischio scritta: anche in due pagine, una valutazione per iscritto del livello di rischio dei sistemi in uso, con le misure adottate. Dimostra diligenza e orienta le azioni successive.

Responsabile AI nominato: una persona (interna o esterna, ad esempio il fractional AI ops) che possiede inventario, policy, formazione e registro, e che risponde delle domande di conformità.

Il modello di policy aziendale sull'uso dell'AI (testo pronto da adattare)

La policy è il documento che rende operativi gli obblighi: senza policy, la formazione non ha contenuti da formare. Ecco la struttura che usiamo, pronta da adattare alla tua azienda.

Il registro dei processi automatizzati: campi e esempio

Il registro dei processi automatizzati è il documento che collega l'inventario (quali strumenti) al funzionamento reale (quali processi, con quali dati, controllati da chi). È anche lo strumento che ti fa dormire tranquilli durante una verifica.

Cosa fare entro il 2 agosto 2026 (entro poche settimane, se leggi questo oggi)

Il 2 agosto 2026 attiva gli obblighi sui modelli general-purpose. Se la tua azienda è deployer, il lavoro da fare in queste settimane è contenuto e a costo quasi zero: verifica gli accordi con i fornitori (OpenAI, Anthropic, Google, Mistral) per assicurarti che i dati non vengano usati per il training e che esista un accordo di processing; aggiorna l'inventario con gli strumenti in uso, perché senza inventario non puoi dimostrare nulla; e allinea la policy all'elenco aggiornato degli strumenti.

Per le aziende che sviluppano o commissionano automazioni AI (report automatici, agenti, knowledge base), il 2 agosto è la scadenza per assicurarsi che i contratti con i fornitori di modelli siano conformi e che la documentazione dei sistemi in sviluppo includa la descrizione dei contenuti e dei dati utilizzati. È anche il momento giusto per decidere se il modello va usato via API (controllabile e documentabile) o via interfaccia personale (meno controllabile).

Se la tua azienda usa ChatGPT o Claude in azienda, il lavoro minimo è: una mattina per l'inventario, una per la policy, una per la verifica contrattuale. Tre mattine, e la scadenza di agosto è gestita.

Cosa fare entro il 2 dicembre 2026 (il grosso del lavoro)

Il 2 dicembre 2026 è la scadenza che richiede il lavoro vero: alfabetizzazione del personale, trasparenza verso gli utenti, requisiti operativi per i sistemi in uso. È anche la scadenza che la maggior parte delle PMI ignora, e che pagherà il prezzo più alto in termini di sanzioni.

Il piano di lavoro consigliato, per un'azienda tipo con 5-50 dipendenti: entro settembre, completare inventario, policy e verifica contratti; in ottobre, fare la formazione (una giornata di preparazione + sessioni da 1-2 ore per reparto, con tracciabilità); in novembre, predisporre il registro dei processi e le dichiarazioni di trasparenza (chatbot, preventivi generati, contenuti AI sul sito); a dicembre, revisione finale e nomina del responsabile AI.

Un errore da evitare: considerare la conformità un progetto IT. È un progetto organizzativo: coinvolge la direzione (decisioni), le risorse umane (formazione), l'IT (inventario e registro) e il legale (policy e contratti). Il fractional AI ops che progetta le automazioni e segue la compliance è il ruolo che tiene insieme questi pezzi senza assumere nessuno.

AI Act e GDPR: dove finisce l'uno e comincia l'altro

AI Act e GDPR si sovrappongono e si completano. Il GDPR disciplina il trattamento dei dati personali, a prescindere dalla tecnologia; l'AI Act disciplina i sistemi di AI, anche quando non trattano dati personali. Un sistema AI che tratta dati personali è soggetto a entrambi.

Le sovrapposizioni pratiche: la valutazione d'impatto (DPIA) del GDPR si aggiorna quando un sistema AI tratta dati personali in modo sistematico e su larga scala; i principi di minimizzazione e finalità valgono anche per i dati usati per contestualizzare i modelli; l'informativa deve menzionare l'uso dell'AI e, dove applicabile, la logica del trattamento (diritto del GDPR sulla spiegazione delle decisioni automatizzate).

La regola operativa: se l'automazione è progettata bene (dati minimi, finalità chiare, cloud UE, log), la conformità AI Act e GDPR si raggiunge insieme, senza duplicare il lavoro. Le architetture eTuka nascono già con questi requisiti incorporati: è il motivo per cui la compliance nei nostri progetti non è un costo aggiuntivo, ma una proprietà del sistema.

Quattro casi pratici: come si applica il Regolamento

Un'azienda tessile che usa ChatGPT per le email ai clienti esteri: deployer di un modello general-purpose a rischio minimo. Obblighi: policy, formazione del personale (art. 4), verifica che il contratto del fornitore escluda il training. Nessun sistema ad alto rischio, nessuna registrazione.

Uno studio professionale con un agente AI che prepara bozze di preventivo: il sistema interagisce con i clienti e produce contenuti. Obblighi: trasparenza verso i clienti (informare che la bozza è generata da AI), supervisione umana sulla bozza prima dell'invio, registro del processo, formazione del personale. Il professionista che firma la bozza resta pienamente responsabile.

Una PMI che usa un tool di screening dei curriculum con AI: deployer di un sistema ad alto rischio (reclutamento). Obblighi: requisiti di qualità dei dati, documentazione, sorveglianza umana sulla selezione, trasparenza verso i candidati, registrazione in banca dati UE, conformità entro il 2 agosto 2027. È il caso in cui il supporto tecnico e legale è realmente necessario.

Un e-commerce con un chatbot di assistenza clienti: sistema a rischio limitato (interazione con persone). Obblighi: informare chiaramente che si parla con un chatbot, garantire che in caso di richiesta il passaggio a un operatore umano sia possibile, log delle interazioni, formazione del personale che supervisiona il chatbot.

Gli errori comuni (e come evitarli)

Errore 1: 'L'AI Act non ci riguarda'. Se l'AI la usi, riguarda: basta un dipendente con ChatGPT per far scattare l'obbligo di formazione. L'errore più costoso è il ritardo: la sanzione non dipende dalla dimensione dell'azienda, anche se le PMI godono di attenuanti.

Errore 2: comprare formazione generica. L'art. 4 chiede formazione adeguata ai sistemi che l'azienda usa davvero. Una formazione su 'cos'è l'AI' senza i vostri strumenti non è formazione ai sensi del Regolamento: è un corso di cultura generale.

Errore 3: considerare conformità e automazione come due progetti separati. Se l'automazione nasce già con trasparenza, supervisione e registro, la conformità è un sottoprodotto. Se arriva dopo, costa il doppio e si scontra con architetture già fatte.

Errore 4: non documentare. La differenza tra un'azienda diligente e una negligente, agli occhi di un'autorità, è la documentazione. Inventario, policy, registro e formazione tracciata sono la prova della diligenza: costano giorni, non mesi.

Errore 5: panico e paralisi. Il lavoro per un deployer tipico è di 5-10 giorni lavorativi spalmati su due mesi, non un progetto da 50.000 euro. Chi vende paura vende consulenze inutili: la compliance AI Act per chi usa, non sviluppa, è alla portata di qualsiasi PMI.

Conclusione: la scadenza è vicina, ma il lavoro è piccolo

L'AI Act è il regolamento che trasforma l'adozione dell'AI da scelta tecnica a decisione di governance. Per le PMI italiane che usano l'AI, la buona notizia è che il lavoro è contenuto: inventario, policy, formazione, registro, trasparenza. Cinque azioni, 5-10 giorni di lavoro, e la scadenza del 2 dicembre 2026 è gestita.

La cattiva notizia è che il tempo è poco: tra la lettura di questo articolo e il 2 dicembre 2026 restano pochi mesi, e la formazione del personale è la voce che non si compra all'ultimo minuto.

Se vuoi un punto di partenza concreto, il nostro intervento di conformità AI Act parte dall'inventario e dalla policy, passa dalla formazione documentata e arriva al registro: tutto incluso, in 2-4 settimane, con costi da PMI. Contattaci per un preventivo senza impegno.