Se la tua azienda usa l’intelligenza artificiale — anche solo un chatbot sul sito o uno strumento di screening dei CV — l’AI Act per le PMI non è un tema che puoi rimandare. Il regolamento europeo sull’intelligenza artificiale è in vigore dal 2024 e i suoi obblighi entrano in applicazione a scaglioni: proprio nel 2026 scattano le regole più rilevanti per chi usa sistemi AI considerati ad alto rischio. La buona notizia è che, per la stragrande maggioranza delle PMI, la conformità è gestibile con un approccio pragmatico. In questo articolo ti spiego cosa prevede davvero il regolamento, come capire in quale categoria ricadono gli strumenti che usi e quali passi concreti fare adesso, senza fermare l’innovazione.
Cos’è l’AI Act e perché riguarda anche le PMI
L’AI Act è il primo regolamento organico al mondo sull’intelligenza artificiale. Come il GDPR, si applica a chiunque operi nel mercato europeo, indipendentemente dalle dimensioni: non esiste un’esenzione generale per le piccole imprese. Esistono però semplificazioni e proporzionalità: gli obblighi più pesanti ricadono su chi sviluppa e immette sul mercato sistemi ad alto rischio, mentre chi li utilizza (nel gergo del regolamento, il “deployer”) ha responsabilità più leggere ma reali.
Il punto chiave da capire è che l’AI Act non regola “l’AI” in astratto: regola i casi d’uso. Lo stesso modello linguistico può essere del tutto libero in un contesto e regolamentato in un altro. Per questo il primo passo non è legale ma operativo: censire dove e come l’AI è già entrata nella tua azienda.
Le quattro categorie di rischio: dove ricadono i tuoi strumenti
Il regolamento classifica i sistemi AI in quattro livelli, con obblighi crescenti:
- Rischio inaccettabile: pratiche vietate, come il social scoring o la manipolazione subliminale. Nessuna azienda seria le usa, ma è bene saperlo: questi divieti sono già in vigore.
- Alto rischio: sistemi usati in ambiti sensibili come selezione del personale, valutazione del merito creditizio, accesso a servizi essenziali, sicurezza dei prodotti. Se usi un software AI per filtrare candidature o valutare dipendenti, sei probabilmente in questa categoria come utilizzatore.
- Rischio limitato: obblighi di trasparenza. Un chatbot deve dichiarare di essere un’AI; i contenuti generati artificialmente (audio, video, immagini) devono essere riconoscibili come tali.
- Rischio minimo: la stragrande maggioranza degli usi aziendali — automazione di processi interni, analisi dati, generazione di bozze di contenuti, assistenti per i dipendenti. Qui non ci sono obblighi specifici oltre alle norme già esistenti (GDPR in primis).
Per una PMI tipica, il quadro realistico è questo: quasi tutto quello che fai con l’AI ricade nel rischio minimo o limitato. I punti di attenzione veri sono di solito due o tre casi d’uso specifici, quasi sempre legati a persone: recruiting, valutazioni, credito.
Obblighi concreti per chi usa l’AI (non per chi la sviluppa)
Se la tua azienda utilizza sistemi AI di fornitori terzi, gli obblighi pratici si riducono a un elenco gestibile:
- Inventario dei sistemi AI: sapere quali strumenti usi, per cosa, con quali dati. Sembra banale, ma nella mia esperienza quasi nessuna azienda ce l’ha: l’AI entra dai singoli reparti, un abbonamento alla volta.
- Trasparenza verso le persone: se un cliente parla con un chatbot, deve saperlo. Se pubblichi contenuti generati dall’AI, valuta come segnalarlo dove richiesto.
- Supervisione umana sui casi sensibili: per gli usi ad alto rischio serve che una persona possa verificare e ribaltare le decisioni del sistema. Nessuna decisione rilevante su una persona dovrebbe essere completamente automatizzata — principio che peraltro il GDPR impone già.
- Alfabetizzazione AI del personale: il regolamento chiede che chi usa sistemi AI in azienda abbia una formazione adeguata al ruolo. Una policy interna chiara e una sessione di formazione documentata coprono gran parte di questo obbligo.
- Verifica dei fornitori: quando compri un software con AI integrata, chiedi al fornitore la documentazione di conformità. L’onere principale è suo, ma tu devi poter dimostrare di aver scelto con diligenza.
AI Act e GDPR: due facce dello stesso lavoro
Se hai già impostato bene la conformità privacy, sei a metà strada. Registro dei trattamenti, basi giuridiche, minimizzazione dei dati, valutazioni d’impatto: l’AI Act si innesta su questa struttura, non la sostituisce. Ho approfondito il rapporto tra intelligenza artificiale e GDPR in azienda in un articolo dedicato: i due regolamenti condividono la stessa logica di responsabilizzazione, e conviene trattarli come un unico progetto di governance invece che come due adempimenti separati.
C’è anche un risvolto tecnico: dove i dati sono sensibili, l’architettura conta più delle policy. Soluzioni come gli LLM open source self-hosted permettono di usare l’AI mantenendo i dati dentro il perimetro aziendale, semplificando parecchio il discorso conformità.
La conformità come vantaggio competitivo
C’è un modo sbagliato di leggere l’AI Act — come un freno — e uno utile: come un filtro che premia chi lavora bene. Le aziende che sapranno dire ai propri clienti “usiamo l’AI, e la usiamo in modo conforme e documentato” avranno un argomento commerciale che i concorrenti improvvisati non hanno. Vale soprattutto nel B2B, dove i clienti più grandi iniziano già a chiedere garanzie sulla filiera AI dei fornitori.
La stessa logica vale per la sicurezza tecnica: un sistema AI conforme è anche un sistema controllato, con limiti e supervisione. Ne ho scritto parlando di guardrail e sicurezza degli agenti AI: le pratiche che il regolamento chiede sui casi ad alto rischio sono le stesse che un ingegnere prudente applicherebbe comunque.
Da dove iniziare: un percorso pratico in quattro passi
Il mio consiglio operativo per una PMI è questo:
- 1. Censimento (una settimana): elenca tutti gli strumenti AI in uso, ufficiali e non. Includi le funzioni AI dentro software che già usi (CRM, gestionale, suite ufficio).
- 2. Classificazione (pochi giorni): per ogni strumento, chiediti se tocca decisioni su persone. Se sì, approfondisci; se no, probabilmente sei nel rischio minimo.
- 3. Trasparenza e policy: sistema le informative dei chatbot, definisci una policy AI interna di una pagina, forma il personale e documentalo.
- 4. Fornitori: raccogli le dichiarazioni di conformità dei vendor per i casi d’uso sensibili.
Fatto questo, hai coperto la parte essenziale — e l’hai fatto senza consulenze infinite né blocchi all’operatività. Il resto è manutenzione: ogni nuovo strumento AI passa dal censimento prima di entrare in produzione. Se vuoi anche misurare cosa rende davvero l’AI in azienda, ho scritto una guida sul ROI dell’intelligenza artificiale che completa il quadro: conformità e ritorno economico si valutano insieme.
Vuoi usare l’AI in azienda senza rischi normativi?
Aiuto le aziende a integrare intelligenza artificiale e automazione in modo solido: architetture che tengono i dati sotto controllo, sistemi con supervisione umana dove serve, documentazione che regge un controllo. Se vuoi capire dove si colloca la tua azienda rispetto all’AI Act e come adottare l’AI in modo conforme e redditizio, contattami: analizziamo insieme i tuoi casi d’uso e definiamo un percorso concreto. Trovi tutti i miei servizi su cornelcaba.com.
Approfondisci anche: Cybersecurity con l’AI per le PMI: rileva le minacce, per vedere come i requisiti di trasparenza e supervisione umana dell’AI Act si applicano concretamente ai sistemi di rilevamento delle minacce informatiche.
Approfondisci anche: AI per l’Audit e la Compliance nelle PMI, per capire come trasformare gli obblighi normativi in controlli automatizzati e continui.
Approfondisci anche: NIS2 per le PMI: cybersecurity diventa obbligo di legge.
Approfondisci anche: ISO 42001, la norma internazionale per gestire l’AI in azienda in modo responsabile.
