opinione
AI Act per PMI: obblighi, scadenze e da dove partire
Anche chi usa solo un assistente AI in ufficio ha obblighi dall'AI Act. Cosa vale già, le date aggiornate al Digital Omnibus e una checklist in 10 passi.
L’AI Act (Regolamento UE 2024/1689) è la legge europea sull’intelligenza artificiale. Molte PMI pensano che riguardi solo chi sviluppa software. Non è così: si applica anche a chi usa strumenti di AI in azienda, per esempio un assistente per scrivere email, un chatbot sul sito o un software che aiuta a selezionare i candidati.
Le PMI non sono esonerate. Sono previste alcune semplificazioni e sanzioni massime più basse (art. 99, par. 6), ma gli obblighi di base valgono per tutti.
Fornitore o deployer: chi siete
L’AI Act distingue due ruoli principali:
- il fornitore sviluppa un sistema di AI o lo mette sul mercato con il proprio nome;
- il deployer usa un sistema di AI nella propria attività.
Quasi tutte le PMI sono deployer. Attenzione però: se mettete il vostro marchio su un sistema o ne cambiate la finalità, potete diventare fornitori, con obblighi più pesanti (art. 25).
Cosa vale già oggi
- Alfabetizzazione in materia di AI (art. 4). Chi usa sistemi di AI deve adottare misure perché il personale che li usa abbia competenze sufficienti. È in applicazione dal 2 febbraio 2025 e soggetta a vigilanza dal 2 agosto 2026. Un corso è una delle misure possibili, non l’unica: contano anche regole d’uso chiare e un registro di chi è stato formato.
- Pratiche vietate (art. 5). Alcuni usi dell’AI sono vietati dal 2 febbraio 2025, per esempio la manipolazione che sfrutta le vulnerabilità delle persone o il riconoscimento delle emozioni sul luogo di lavoro, salvo eccezioni. Il Regolamento (UE) 2026/1744 (il cosiddetto Digital Omnibus sull’IA, in vigore dal 27 luglio 2026) aggiunge due nuovi divieti, applicabili dal 2 dicembre 2026.
- Trasparenza (art. 50). Dal 2 agosto 2026 le persone devono sapere quando parlano con un sistema di AI, per esempio un chatbot sul sito, e i contenuti generati o manipolati dall’AI vanno indicati nei casi previsti dalla norma.
Le prossime scadenze
| Data | Cosa si applica |
|---|---|
| 2 febbraio 2025 | Alfabetizzazione (art. 4) e pratiche vietate (art. 5) |
| 2 agosto 2026 | Trasparenza (art. 50); vigilanza sull’art. 4 |
| 2 dicembre 2026 | Nuovi divieti introdotti dal Digital Omnibus |
| 2 dicembre 2027 | Sistemi ad alto rischio dell’Allegato III (es. selezione del personale, merito creditizio) |
| 2 agosto 2028 | Sistemi ad alto rischio dell’Allegato I (prodotti già regolati) |
Gli obblighi sui sistemi ad alto rischio, quindi, non scattano ad agosto 2026 come si legge spesso: per l’Allegato III la data è il 2 dicembre 2027.
Checklist in 10 passi
- Fate l’inventario degli strumenti di AI usati in azienda, anche quelli adottati dai singoli dipendenti.
- Escludete le pratiche vietate: nessuno strumento deve rientrare nell’art. 5.
- Organizzate l’alfabetizzazione per chi usa l’AI e tenete traccia di chi è stato formato.
- Scrivete una policy d’uso: quali strumenti, per cosa, con quali dati.
- Informate i clienti quando interagiscono con un sistema di AI.
- Informate i dipendenti sugli strumenti che li riguardano.
- Verificate se qualche uso è ad alto rischio, per esempio nella selezione del personale.
- Rivedete i contratti con i fornitori di AI: ruoli, dati, responsabilità.
- Allineate il GDPR: registro dei trattamenti e, se serve, il DPO.
- Aggiornate tutto almeno ogni sei mesi: norme e strumenti cambiano in fretta.
Non esiste una certificazione generale “AI Act” per chi usa l’AI: diffidate di bollini e promesse di conformità garantita.
Da dove partire
Per i passi 3 e 4 nella libreria trovate un modello gratuito di policy AI per l’ufficio amministrativo, con la classificazione dei dati e il registro della formazione. Se volete capire quali obblighi valgono per la vostra azienda, guardate il servizio DPO & Compliance o prenotate un audit gratuito di 30 minuti.
Questo articolo è un’informazione generale aggiornata al 29 ottobre 2026 e non costituisce parere legale.