AI Act e PMI italiane: cosa fare entro il 2026

Dal 2 agosto 2024 il Regolamento Europeo sull’Intelligenza Artificiale, noto come AI Act (UE 2024/1689), e’ ufficialmente in vigore. Non e’ una proposta, non e’ una bozza: e’ legge europea, e come tutte le leggi europee si applica anche alle imprese italiane. Se nella tua azienda usi strumenti di intelligenza artificiale – anche solo un chatbot sul sito, un software di analisi dati o un sistema di selezione CV – potresti avere obblighi specifici da rispettare. In questo articolo ti spiego cosa prevede la normativa, quali sono le scadenze reali e cosa deve fare concretamente una PMI italiana per essere in regola.

Cos’e’ l’AI Act e perché’ riguarda anche te

L’AI Act e’ il primo regolamento al mondo che disciplina in modo organico l’uso dell’intelligenza artificiale. Nasce dall’Unione Europea con l’obiettivo di garantire che i sistemi AI usati in Europa siano sicuri, trasparenti e rispettosi dei diritti fondamentali delle persone.

Molti imprenditori pensano che riguardi solo le grandi tech company americane. Non e’ così’. Il regolamento si applica a qualsiasi azienda che usa, vende, distribuisce o sviluppa sistemi AI in Europa, indipendentemente dalla dimensione. Una PMI di 10 dipendenti che usa un software AI per analizzare i propri clienti e’ soggetta a questo regolamento esattamente come una multinazionale.

Il sistema a rischi: da dove iniziare

La logica centrale dell’AI Act e’ quella dei livelli di rischio. Ogni sistema AI viene classificato in base al rischio potenziale che comporta per le persone:

• Rischio inaccettabile (vietati): sistemi di scoring sociale, manipolazione comportamentale inconsapevole, riconoscimento biometrico in tempo reale in spazi pubblici. Questi sistemi non possono essere usati, punto.
• Rischio alto: sistemi usati in ambiti come selezione del personale, credito, istruzione, giustizia, infrastrutture critiche. Chi li usa ha obblighi stringenti di documentazione, trasparenza e supervisione umana.
• Rischio limitato: chatbot e sistemi che interagiscono con persone. Obbligo di dichiarare che si tratta di AI.
• Rischio minimo: la maggior parte degli strumenti AI usati dalle PMI. Nessun obbligo specifico, ma buone pratiche raccomandate.

Per la maggior parte delle PMI italiane il focus e’ sui livelli di rischio limitato e alto.

Le scadenze concrete che devi conoscere

L’AI Act non e’ entrato in vigore tutto insieme: segue una tabella di marcia graduale.

Le date chiave per le PMI

• Febbraio 2025: divieto dei sistemi AI a rischio inaccettabile (già’ in vigore)
• Agosto 2025: obblighi di trasparenza per i modelli AI general-purpose (come GPT, Claude, Gemini) usati in prodotti
• Agosto 2026: piena applicazione degli obblighi per i sistemi AI ad alto rischio
• Agosto 2027: obblighi per i sistemi AI ad alto rischio già’ sul mercato prima del 2024

Se usi un chatbot sul sito che non dichiara di essere AI, sei già’ in violazione delle norme di trasparenza entrate in vigore nel 2025. Se usi strumenti AI per selezionare candidati o valutare il merito creditizio dei clienti, hai tempo fino ad agosto 2026 per metterti in regola.

Le sanzioni: numeri che fanno riflettere

L’AI Act non e’ una normativa di facciata. Le sanzioni sono proporzionate al fatturato globale dell’azienda e possono essere significative anche per una PMI:

• Violazioni dei divieti assoluti: fino a 35 milioni di euro o il 7% del fatturato globale
• Violazioni degli obblighi per sistemi ad alto rischio: fino a 15 milioni di euro o il 3% del fatturato
• Informazioni errate o incomplete alle autorita’: fino a 7,5 milioni di euro o l’1,5% del fatturato

Per le PMI sono previste alcune attenuanti, ma non esenzioni totali. Il messaggio e’ chiaro: ignorare la normativa non e’ un’opzione sostenibile.

Un esempio concreto: l’agenzia di selezione di Bologna

Un’agenzia di recruiting con 8 dipendenti a Bologna usava da qualche anno un software americano per il pre-screening dei CV. Il software assegnava automaticamente un punteggio ai candidati in base a parametri come esperienza, formazione e parole chiave nel curriculum. Classico sistema AI ad alto rischio secondo l’AI Act, perché’ influenza l’accesso al lavoro delle persone.

Senza saperlo, l’agenzia aveva obblighi precisi: documentazione del sistema, valutazione del rischio, supervisione umana obbligatoria sulle decisioni finali, registro delle attività’. Con un percorso di compliance AI Act strutturato, ha messo in regola la sua situazione in circa sei settimane, senza dover cambiare software ma aggiungendo i processi e la documentazione richiesti.

Cosa fare adesso: i passi concreti per una PMI

Non serve un team legale interno o un budget da grande azienda. Per una PMI italiana, la compliance all’AI Act si costruisce in modo progressivo:

• Censimento dei sistemi AI in uso: fai una lista di tutti gli strumenti AI che usi, anche quelli che sembrano banali
• Classificazione del rischio: per ogni sistema, identifica il livello di rischio secondo la classificazione dell’AI Act
• Obblighi di trasparenza: se hai chatbot o sistemi che interagiscono con persone, aggiungi la dichiarazione che si tratta di AI
• Documentazione: per i sistemi ad alto rischio, prepara la documentazione tecnica e il registro delle attività’
• Supervisione umana: assicurati che le decisioni rilevanti abbiano sempre un controllo umano finale

Conclusione

La compliance AI Act per le PMI italiane non e’ un ostacolo ma un’opportunità’: le aziende che si mettono in regola per prime costruiscono fiducia con clienti e partner, riducono il rischio legale e si posizionano meglio in un mercato che parlera’ sempre più’ di AI responsabile.

In Future Is Now ho sviluppato un servizio specifico di audit e compliance per le PMI italiane: un percorso concreto, senza tecnicismi eccessivi, che parte dalla mappatura dei sistemi AI in uso e arriva alla documentazione pronta per le autorita’.

Scopri il servizio Compliance AI Act di Future Is Now