Il regolamento europeo sull’intelligenza artificiale, l’AI Act (Regolamento UE 2024/1689), è in vigore dal 1° agosto 2024 e si applica per gradi. Molte PMI pensano che riguardi solo chi sviluppa algoritmi; in realtà alcune regole valgono anche per chi l’intelligenza artificiale la usa, per scrivere testi, analizzare dati o rispondere ai clienti. Vediamo cosa chiede l’AI Act a una piccola o media impresa, quali obblighi sono già attivi e come prepararsi senza burocrazia inutile.
In breve
- l’AI Act classifica i sistemi di AI in base al rischio: inaccettabile, alto, limitato, minimo;
- dal 2 febbraio 2025 valgono i divieti e l’obbligo di alfabetizzazione del personale (articolo 4);
- dal 2 agosto 2026 il regolamento prevede gli obblighi di trasparenza (articolo 50), per esempio sui chatbot e sui contenuti generati;
- la maggior parte delle PMI che usa chatbot e assistenti per il marketing ricade nel rischio limitato o minimo.
Fornitore o deployer: in quale ruolo sei?
L’AI Act distingue tra fornitori, che sviluppano un sistema di AI e lo immettono sul mercato, e deployer, cioè chi lo usa nella propria attività professionale. Una PMI che usa Claude, ChatGPT o un software con funzioni di AI per il marketing è un deployer. Gli obblighi più pesanti ricadono sui fornitori; ai deployer si chiede soprattutto di usare i sistemi in modo consapevole e trasparente.
I livelli di rischio, in pratica
- rischio inaccettabile: pratiche vietate, come la manipolazione che sfrutta le vulnerabilità delle persone o il «punteggio sociale». Una PMI normale non ci entra;
- alto rischio: sistemi usati in ambiti delicati, come la selezione del personale, la valutazione del credito, l’istruzione, le infrastrutture critiche. Qui gli obblighi sono rilevanti anche per chi li usa;
- rischio limitato: chatbot, contenuti generati, deepfake. L’obbligo principale è la trasparenza verso le persone;
- rischio minimo: la gran parte degli usi quotidiani, come bozze di testi, riassunti, analisi di dati interni. Nessun obbligo specifico oltre a quelli generali.
Attenzione a un caso frequente: usare l’AI per selezionare candidati o valutare i dipendenti rientra nell’alto rischio. Se lo fai, serve un approfondimento specifico.
Cosa vale già: l’alfabetizzazione del personale
Dal 2 febbraio 2025 l’articolo 4 chiede a fornitori e deployer di adottare misure per sostenere l’alfabetizzazione in materia di AI del personale che usa questi sistemi, tenendo conto delle conoscenze tecniche, del contesto e delle persone coinvolte. Il testo riscritto nel 2026 dal Digital Omnibus precisa che non va garantito un livello specifico per ogni persona. Non è previsto un corso obbligatorio standard, ma l’azienda deve poter dimostrare di aver fatto qualcosa di adeguato: formazione, istruzioni scritte, regole d’uso. È uno dei motivi per cui consigliamo di affiancare all’adozione degli strumenti una formazione finanziata con i fondi interprofessionali; trovi un metodo nella guida alla formazione sull’intelligenza artificiale per i dipendenti.
Cosa arriva: la trasparenza
L’articolo 50 introduce obblighi di trasparenza: le persone devono sapere quando interagiscono con un sistema di AI, ad esempio un chatbot sul sito, e i contenuti generati o manipolati in modo da sembrare reali, come i deepfake, vanno segnalati. Per una PMI questo significa, per esempio, indicare chiaramente che l’assistente in chat del sito è automatico.
Il «Digital Omnibus»: cosa potrebbe cambiare
A novembre 2025 la Commissione europea ha proposto un pacchetto di semplificazione, il Digital Omnibus, che prevede tra l’altro di rinviare gli obblighi per i sistemi ad alto rischio. Fino all’approvazione definitiva, però, le scadenze in vigore restano quelle del regolamento: pianificare sul presupposto del rinvio è una scommessa, non una strategia. E in ogni caso i divieti e l’alfabetizzazione restano già applicabili.
Cosa fare subito: una lista di controllo per PMI
- fai l’inventario degli strumenti di AI usati in azienda, anche quelli «personali» usati dai collaboratori;
- classifica gli usi: quali sono a rischio minimo, quali toccano persone, dati sensibili o decisioni sul personale;
- scrivi una policy breve sull’uso dell’AI: strumenti ammessi, dati che non si caricano, revisione umana obbligatoria. Trovi un modello nella guida alla policy aziendale sull’intelligenza artificiale;
- forma le persone, documentando contenuti e partecipanti;
- rendi trasparenti chatbot e contenuti generati verso clienti e utenti;
- scegli fornitori con condizioni chiare sull’uso dei dati, preferendo i piani aziendali.
AI Act e GDPR
L’AI Act non sostituisce il GDPR: se carichi dati personali di clienti o dipendenti in uno strumento di AI, valgono le regole sulla protezione dei dati, a partire dalla base giuridica e dalle informazioni da dare agli interessati. Per molte PMI la regola più semplice ed efficace è non caricare dati personali negli strumenti generalisti, salvo con piani aziendali e valutazioni specifiche.
Domande frequenti
Se uso ChatGPT o Claude per scrivere post, devo dichiararlo?
L’obbligo di trasparenza riguarda soprattutto chatbot e contenuti che possono essere scambiati per reali, come immagini o video realistici. Per testi rivisti da una persona e pubblicati sotto la responsabilità dell’azienda le regole sono più sfumate; la trasparenza resta comunque una buona pratica.
Quali sono le sanzioni?
Il regolamento prevede sanzioni proporzionate, più alte per le pratiche vietate, con attenuazioni per le PMI. Il rischio maggiore, però, è quello reputazionale: un errore dell’AI pubblicato senza controllo.
Da dove partire?
Dall’inventario e dalla formazione. Puoi misurare la preparazione della tua azienda con il nostro questionario AI per PMI.
Vuoi impostare l’uso dell’AI in azienda in modo semplice e conforme? Parliamo dei tuoi obiettivi.