AI Act: la guida per le aziende italiane

L'AI Act è il regolamento europeo che disciplina lo sviluppo e l'uso dei sistemi di intelligenza artificiale nell'Unione. Non vieta l'AI: la classifica per livello di rischio e assegna obblighi proporzionati a quel rischio. Più il sistema può incidere sulla vita delle persone, più aumentano i requisiti di documentazione, controllo e trasparenza.

Per la maggior parte delle PMI italiane la notizia buona è questa: la quasi totalità degli usi quotidiani ricade nelle fasce a rischio basso o minimo, dove non ci sono adempimenti pesanti. Il problema non è quindi «l'AI Act mi travolge», ma capire in quale casella cadono i sistemi che usi davvero, e non ritrovarsi per sbaglio in una casella più severa.

Questa guida spiega come funziona la classificazione, chi ha quali obblighi, con che tempi, e da dove conviene partire concretamente. Senza legalese e senza allarmismo.

Cos'è l'AI Act e perché esiste

L'AI Act è un regolamento europeo: si applica direttamente in tutti gli Stati membri, senza bisogno di una legge nazionale che lo recepisca. La logica è la stessa che l'Europa usa da decenni per la sicurezza dei prodotti: prima di mettere sul mercato qualcosa che può fare danno, devi dimostrare che rispetta certi requisiti.

La novità è l'oggetto. Qui il «prodotto» è un sistema che prende decisioni o produce output in autonomia, e il danno possibile non è solo fisico: è discriminazione, sorveglianza, manipolazione, decisioni sbagliate su persone che non hanno modo di contestarle.

Da qui l'impianto: non si regola la tecnologia in sé, si regola l'uso che se ne fa. Lo stesso modello linguistico è irrilevante se riassume verbali di riunione e diventa altamente regolato se filtra curriculum.

Quali sono i livelli di rischio

La classificazione è a quattro gradini. È la parte che conta di più, perché stabilisce tutto il resto.

Il salto vero è tra «limitato» e «alto». Sotto quella soglia si tratta di essere onesti con le persone; sopra, si entra in un regime di conformità documentale che richiede lavoro strutturato. Ne parlo in dettaglio in livelli di rischio dell'AI Act.

Chi ha gli obblighi: fornitore o utilizzatore?

È la distinzione che le aziende sbagliano più spesso, e quella che determina quanto lavoro ti tocca.

Gli obblighi pesanti — sistema di gestione del rischio, documentazione tecnica, governance dei dati, valutazione di conformità — ricadono sul fornitore. L'utilizzatore ha obblighi più contenuti: usare il sistema secondo le istruzioni, garantire la sorveglianza umana dove prevista, informare le persone coinvolte.

Quando scattano gli obblighi

L'AI Act non è entrato in vigore tutto insieme. La struttura è a scaglioni: prima i divieti, poi i modelli di uso generale, poi i sistemi ad alto rischio, con i tempi più lunghi riservati ai casi più complessi.

1. Prima fascia: i divieti sulle pratiche inaccettabili. Sono la parte già operativa e non ammettono adattamento graduale.
2. Seconda fascia: obblighi per i modelli di uso generale, quelli che stanno dietro agli assistenti che usiamo tutti i giorni. Riguardano soprattutto chi li produce.
3. Terza fascia: obblighi pieni per i sistemi ad alto rischio, con tempi più lunghi perché richiedono strutture di conformità reali.

Le date esatte e il calendario aggiornato sono in quando entra in vigore l'AI Act. Trattandosi di norme con attuazione progressiva e linee guida in evoluzione, verifica sempre le fonti ufficiali europee prima di prendere decisioni con impatto legale: questa guida serve a orientarti, non sostituisce un parere.

Cosa cambia davvero per una PMI italiana

Qui va detta una cosa che nel dibattito si perde: per la stragrande maggioranza delle PMI l'AI Act non impone nuovi adempimenti burocratici.

Se usi assistenti generici per scrivere email, riassumere documenti, preparare bozze, organizzare dati interni, sei a rischio minimo. Nessun registro, nessuna certificazione, nessuna valutazione di conformità.

Gli obblighi arrivano in tre situazioni concrete:

• Usi l'AI per decidere su persone: filtrare candidati, valutare dipendenti, assegnare turni con criteri automatici, valutare merito creditizio.
• L'AI parla con i tuoi clienti: chatbot, agenti, assistenti vocali. Qui scatta la trasparenza — le persone devono sapere che stanno parlando con un sistema.
• Sviluppi e vendi soluzioni AI ad altri. In quel caso sei fornitore, e il discorso cambia completamente.

Il secondo punto è quello che tocca più aziende. Se hai un chatbot AI o un agente AI sul sito, la regola pratica è semplice: dichiaralo. Una riga chiara all'inizio della conversazione risolve l'obbligo.

Esempi pratici

Studio commercialista con 6 collaboratori. Usa un assistente AI per riassumere circolari e preparare bozze di risposta ai clienti. Nessun obbligo AI Act: rischio minimo. Il tema vero per lo studio non è l'AI Act ma il GDPR, perché nei documenti ci sono dati dei clienti. La domanda giusta è dove finiscono quei dati, non quale casella di rischio occupano — approfondito in GDPR e AI in azienda.

E-commerce con assistente sul sito. L'assistente risponde a domande su prodotti, spedizioni, resi. Rischio limitato: obbligo di trasparenza. Si risolve dichiarando che è un sistema automatico e prevedendo un passaggio a operatore umano quando la richiesta esce dal seminato.

Azienda manifatturiera che filtra i CV. Qui cambia tutto. Un sistema che seleziona candidati incide sull'accesso al lavoro: è alto rischio. Servono sorveglianza umana reale (non un timbro finale su una lista già decisa), documentazione del funzionamento, verifica che il sistema non discrimini, informazione ai candidati. Se il sistema è di un fornitore esterno, gran parte degli obblighi tecnici è sua — ma l'obbligo di usarlo correttamente resta dell'azienda.

Agenzia che rivende un chatbot col proprio marchio. L'agenzia è diventata fornitore. Non può limitarsi a girare la responsabilità al vendor a monte: rispondendo col proprio nome, si assume gli obblighi corrispondenti.

AI Act e GDPR: come si incastrano

La confusione più diffusa è pensare che le due norme si sovrappongano o che una assorba l'altra. Non è così: guardano oggetti diversi dello stesso progetto.

Il GDPR guarda ai dati: chi sono le persone coinvolte, su quale base giuridica tratti le loro informazioni, dove finiscono, per quanto tempo restano. L'AI Act guarda al sistema: cosa fa, quanto è autonomo, che conseguenze può produrre, come è documentato.

Un progetto può ricadere in uno solo dei due perimetri. Un assistente che riassume manuali tecnici senza nomi di persone è fuori dal GDPR ma dentro l'AI Act come rischio minimo. Un foglio di calcolo che elabora dati dei dipendenti con formule tradizionali è dentro il GDPR e completamente fuori dall'AI Act, perché non c'è nessun sistema di intelligenza artificiale.

Nella pratica delle PMI italiane l'ordine di priorità è chiaro: il GDPR si applica prima, più spesso e con controlli già rodati. L'AI Act diventa rilevante quando il sistema inizia a incidere su decisioni che riguardano persone. Il percorso completo sul primo fronte è in GDPR e AI in azienda, quello sui dati inseriti negli strumenti in dati aziendali e AI.

Il caso più frequente: l'AI entrata senza permesso

C'è una situazione che nelle PMI italiane precede qualunque ragionamento normativo, e che nessuna guida menziona: l'azienda usa già l'AI senza saperlo.

Non per malizia. Un collaboratore ha trovato uno strumento comodo e lo usa per preparare le risposte ai clienti. Il commerciale incolla la lista contatti per farsi fare una segmentazione. Qualcuno in amministrazione carica fatture in un servizio di estrazione dati. Nessuno l'ha autorizzato, nessuno l'ha vietato, e nessuno lo ha censito.

Quando poi l'azienda decide di «occuparsi di AI Act», parte dai sistemi ufficiali — che spesso non esistono ancora — e ignora completamente quelli reali. Il risultato è una valutazione che descrive un'azienda immaginaria.

• Chiedi senza tono investigativo quali strumenti usano davvero le persone
• Includi le estensioni del browser e le funzioni AI già presenti nei software che avete
• Segna anche gli usi occasionali: contano quanto quelli sistematici
• Non punire chi risponde onestamente, o la prossima volta non risponderà

Questo censimento vale più di qualunque consulenza normativa fatta a tavolino, ed è anche il punto di partenza per capire dove l'AI sta già producendo valore. Molte aziende scoprono qui i propri casi d'uso migliori, quelli descritti in esempi di automazione AI in azienda e in AI per PMI: guida pratica.

Errori da evitare

• Trattare l'AI Act come un adempimento da comprare. Prima di firmare pacchetti di conformità, verifica in quale fascia sei davvero. Molte aziende pagano per obblighi che non hanno.
• Confonderlo con il GDPR. Sono due cose diverse e coesistono. Nella pratica italiana il GDPR morde prima e più spesso.
• Dimenticare il rimarchio. Rivendere una soluzione di terzi col proprio logo cambia il ruolo giuridico, e con esso gli obblighi.
• Considerare la sorveglianza umana una formalità. Un umano che approva senza poter capire né ribaltare la decisione non è sorveglianza: è una firma.
• Aspettare la scadenza per fare l'inventario. L'inventario è utile a prescindere: nella maggior parte dei casi dimostra che sei tranquillo, e costa poche ore.

Come applicarlo in azienda

Il percorso pratico è più corto di quanto sembri.

1. Inventario. Elenca i sistemi AI realmente in uso: chi li usa, per cosa, su quali dati. Include le cose «informali», tipo il collaboratore che incolla documenti in un assistente pubblico.
2. Classificazione. Per ciascuno, in quale fascia cade. Nella maggior parte dei casi finiscono tutti in «minimo».
3. Ruolo. Per ciascuno: sei fornitore o utilizzatore? Se rivendi qualcosa col tuo marchio, segnalalo subito.
4. Trasparenza. Dove l'AI parla con clienti o dipendenti, dichiaralo. È l'adempimento più frequente e il più facile.
5. Policy interna. Poche pagine che dicano cosa si può e non si può fare, e soprattutto quali dati non vanno mai incollati in strumenti esterni. Vedi come scrivere una policy aziendale sull'AI.
6. Rivalutazione. Quando cambia l'uso, cambia la classificazione. Un sistema nato per riassumere che inizia a filtrare candidati ha cambiato fascia.

Il punto 1 è quello che conta. Nove volte su dieci l'inventario chiude la questione: risulta che l'azienda usa tre strumenti a rischio minimo, e tutto il lavoro si riduce a una policy e a una riga di trasparenza sul chatbot.

Conclusione

L'AI Act è meno spaventoso e più concreto di come viene raccontato. Regola per rischio, carica gli obblighi seri su chi fornisce sistemi che incidono sulle persone, e lascia sostanzialmente liberi gli usi quotidiani di produttività.

Per un'azienda italiana la sequenza utile è: fare l'inventario, classificare, sistemare la trasparenza dove l'AI parla con qualcuno, scrivere una policy interna. Il resto arriva solo se stai davvero costruendo o vendendo sistemi ad alto rischio — e in quel caso lo sai già.

Se stai valutando dove l'AI ha senso nei tuoi processi e vuoi farlo restando dalla parte giusta della norma, Giallo Studio può aiutarti a trasformare il problema in un workflow reale. Puoi anche vedere alcuni sistemi funzionanti in The Lab, o partire dalla panoramica su AI per aziende.

Schema consigliato: Article + FAQPage + BreadcrumbList