AI Act per le PMI: cosa devi fare davvero se usi l'intelligenza artificiale

La risposta breve

L'AI Act, il regolamento europeo 2024/1689, è in vigore dal 1° agosto 2024 e si applica a tappe. Nel 2026 sono successe tre cose che cambiano il quadro per una PMI:

• dal 2 agosto 2026 valgono gli obblighi di trasparenza: il chatbot deve dire che è un'AI, i deepfake vanno dichiarati;
• il Digital Omnibus (regolamento UE 2026/1744, pubblicato il 24 luglio 2026) ha rinviato al 2 dicembre 2027 gli obblighi per i sistemi ad alto rischio;
• dal 23 ottobre 2026 il decreto legislativo 179/2026 ha dato all'Italia autorità di controllo e sanzioni.

La maggior parte delle PMI usa l'AI senza svilupparla. Per l'AI Act è un deployer, cioè un utilizzatore, e ha molti meno obblighi di chi la produce.

Fornitore o utilizzatore: che ruolo hai

Il regolamento divide gli obblighi per ruolo.

• Fornitore è chi sviluppa un sistema di AI e lo mette sul mercato con il proprio nome: OpenAI per ChatGPT, l'azienda che vende un software con l'AI dentro.
• Utilizzatore è chi usa il sistema nella propria attività: l'ufficio che scrive email con ChatGPT, il negozio che mette un chatbot sul sito.

Attenzione a un caso: se fai sviluppare un sistema su misura e lo metti in uso con il tuo nome, per la legge il fornitore puoi essere tu, anche se il codice l'ha scritto qualcun altro. Per un chatbot sul sito cambia poco, perché gli obblighi sono quelli di trasparenza; conviene però scrivere nel preventivo chi si occupa di cosa.

Le date che contano

• 2 febbraio 2025. Si applicano le pratiche vietate (per esempio manipolare le persone o riconoscere le emozioni dei dipendenti sul lavoro) e l'alfabetizzazione: l'azienda deve adottare misure perché chi usa l'AI sappia come funziona.
• 10 ottobre 2025. Entra in vigore la legge italiana 132/2025: tra l'altro, i professionisti devono informare il cliente sugli strumenti di AI che usano.
• 2 agosto 2026. Valgono gli obblighi di trasparenza dell'articolo 50. Il 20 luglio 2026 la Commissione ha pubblicato le linee guida.
• 23 ottobre 2026. Entra in vigore il D.Lgs. 179/2026: autorità, ispezioni, sanzioni e regole sul lavoro.
• 2 dicembre 2026. Nuove pratiche vietate aggiunte dall'Omnibus (le immagini intime false di persone reali) e termine per la marcatura dei contenuti dei sistemi generativi già sul mercato.
• 2 dicembre 2027. Obblighi per i sistemi ad alto rischio dell'allegato III: selezione e gestione del personale, valutazione del credito, istruzione e altri.
• 2 agosto 2028. Alto rischio per l'AI dentro prodotti già regolati, come macchine e dispositivi medici.

Cosa fare, uso per uso

Chatbot o assistente sul sito. Chi parla con un sistema di AI deve saperlo al primo contatto, salvo quando è evidente. Una riga chiara in apertura della chat basta. Se raccoglie nome, email o telefono, servono anche l'informativa privacy e un servizio che non usi le conversazioni per addestrarsi. Ne parlo nella nota su quanto costa un chatbot AI.

Testi, foto e video generati. Immagini, video e audio realistici che fanno sembrare vero qualcosa che non lo è (deepfake) vanno dichiarati. Un'illustrazione palesemente creativa no. Per i testi l'obbligo riguarda quelli pubblicati per informare il pubblico su questioni di interesse generale, e cade se una persona li rivede e ne risponde: un articolo del blog aziendale scritto con l'aiuto dell'AI e riletto da te di norma non va etichettato.

ChatGPT e simili in ufficio. Qui conta l'alfabetizzazione: chi usa lo strumento deve sapere che può sbagliare, che va controllato e quali dati non caricare. Non serve un attestato: serve poter mostrare cosa hai fatto, per esempio una regola interna scritta e un incontro di formazione. Valgono come sempre il GDPR e il segreto aziendale.

Curriculum, turni e valutazioni del personale. Il D.Lgs. 179/2026 dice che assunzioni, valutazioni, sanzioni disciplinari e licenziamenti non possono basarsi solo su un trattamento automatico: decide una persona con un potere reale, e il lavoratore può chiedere una spiegazione. I lavoratori vanno informati prima. Dal 2 dicembre 2027 questi sistemi diventano ad alto rischio, con obblighi in più per chi li usa.

Professionisti con clienti. Avvocati, commercialisti, consulenti, tecnici: la legge 132/2025 chiede che l'AI resti di supporto al lavoro intellettuale e che il cliente sia informato, in modo chiaro, degli strumenti usati. Il momento più semplice è il conferimento dell'incarico.

Chi controlla e cosa si rischia

In Italia vigila l'Agenzia per la cybersicurezza nazionale (ACN), mentre AgID si occupa degli organismi di certificazione; per banche e assicurazioni ci sono Banca d'Italia, Consob e Ivass. Le sanzioni massime sono:

• fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate;
• fino a 15 milioni o il 3% per gli altri obblighi, trasparenza compresa;
• fino a 7,5 milioni o l'1% per informazioni false o incomplete date alle autorità.

Per le grandi aziende vale l'importo più alto; per le PMI e le startup vale il più basso.

Da dove partire

1. Fai l'elenco degli strumenti di AI che usate: chatbot, ChatGPT, generatori di immagini, funzioni AI dentro il gestionale o il CRM.
2. Scrivi una regola interna di una pagina: cosa si può fare, quali dati non caricare, chi controlla i risultati. E fai un incontro con chi usa questi strumenti.
3. Controlla il chatbot del sito: deve dire in apertura che è un'AI e avere l'informativa privacy.
4. Rivedi testi e immagini che pubblicate: dichiara i contenuti realistici generati e fai rileggere a una persona i testi informativi.
5. Se usi l'AI sul personale, verifica che decida sempre una persona e che i lavoratori siano informati. Se sei un professionista, aggiungi una riga sull'AI alla lettera d'incarico.

Quanto costa mettersi in regola

Per un chatbot già online la sistemazione è di solito piccola, una riga in apertura, l'informativa e il controllo delle impostazioni dei dati, e si fa a ore, € 60 l'ora. Un assistente AI nuovo, costruito già con queste regole, parte da € 2.500. Cosa comprende ogni voce è nella pagina Automazioni e AI.

Questa nota spiega le regole in modo pratico e non è una consulenza legale. Per i casi dubbi, soprattutto sul personale e sui sistemi ad alto rischio, conviene sentire il proprio consulente.