AI Act: quali obblighi ha davvero una PMI

La domanda che si fanno tutte le piccole imprese italiane è: «L'AI Act mi obbliga a fare qualcosa?». La risposta onesta è che dipende soprattutto dal ruolo che hai rispetto al sistema, e che nella maggior parte dei casi la risposta è «poco, con date precise».

Il regolamento non gradua gli obblighi sostanziali in base al fatturato o al numero di dipendenti: li gradua in base a cosa fa il sistema e a se lo fornisci o lo usi. La dimensione conta per semplificazioni e sanzioni. Una PMI che sviluppa e vende software di scoring ha molti più obblighi di una media impresa che usa assistenti per scrivere email.

Nel 2026 il quadro si è anche alleggerito. L'Omnibus digitale sull'IA, il Regolamento (UE) 2026/1744, ha riscritto l'obbligo di alfabetizzazione, rinviato l'alto rischio al 2 dicembre 2027 ed esteso alcune semplificazioni alle piccole imprese a media capitalizzazione. La trasparenza verso chi parla con un chatbot vale invece dal 2 agosto 2026 (art. 50 e art. 113 dell'AI Act).

Il ruolo conta più della dimensione

L'AI Act distingue soggetti diversi lungo la catena. I due che interessano quasi tutte le aziende sono il fornitore e l'utilizzatore (nel testo, «deployer»).

La maggior parte delle PMI italiane è utilizzatore. È la posizione più comoda: gli obblighi tecnici pesanti restano a monte, e quello che resta è usare il sistema con criterio.

Gli obblighi, fascia per fascia

Incrociando ruolo e fascia di rischio (spiegata in i quattro livelli di rischio) si ottiene la mappa che serve davvero.

Rischio minimo. Nessun obbligo specifico, salvo le misure di alfabetizzazione dell'art. 4 che valgono per tutti e che trovi più sotto. È il caso di assistenti per scrittura, riassunti, organizzazione dati, automazioni interne che non decidono su persone. Le regole sui modelli per finalità generali, applicabili dal 2 agosto 2025, riguardano chi quei modelli li sviluppa, non l'azienda che usa l'assistente (art. 113, lett. b)). Qui l'attenzione seria riguarda i dati, non l'AI Act.

Rischio limitato. Un obbligo, dal 2 agosto 2026: la trasparenza (art. 50). Le persone devono sapere che stanno interagendo con un sistema automatico, e i contenuti realistici generati con l'AI vanno dichiarati.

• Una riga visibile all'apertura della chat: «assistente automatico»
• Una risposta onesta se l'utente chiede se parla con una persona
• Una dichiarazione quando pubblichi deep fake, cioè immagini, audio o video generati con l'AI che sembrano autentici

Alto rischio. Qui cambia il registro, ma con una data: per i sistemi dell'allegato III gli obblighi partono dal 2 dicembre 2027; per chi produce beni in cui l'AI fa da componente di sicurezza (allegato I: per esempio ascensori, attrezzature a pressione, dispositivi medici) dal 2 agosto 2028 (Reg. (UE) 2026/1744). Se sei utilizzatore devi garantire che il sistema sia usato come previsto, che la sorveglianza umana sia affidata a persone in grado di capirlo e ribaltarlo, che le persone interessate siano informate e che i log siano conservati per almeno sei mesi (art. 26). Se sei fornitore, gli obblighi sono l'intero pacchetto di conformità.

Alfabetizzazione: cosa chiede l'art. 4 dopo l'Omnibus

È l'unico obbligo dell'AI Act che riguarda qualunque azienda usi sistemi AI, a prescindere dalla fascia. Si applica dal 2 febbraio 2025 (art. 113, lett. a)) e il 27 luglio 2026, con l'entrata in vigore dell'Omnibus, il suo testo è stato sostituito.

In pratica, per una PMI: una formazione di base proporzionata a chi usa cosa (chi scrive email con un assistente non ha bisogno del percorso di chi configura un agente), regole chiare nella policy interna e una traccia di quello che hai fatto. La traccia non la chiede la norma alla lettera, ma è quello che ti permette di dimostrarlo. Come impostare la formazione è spiegato in formare il team sull'AI.

Le semplificazioni per le PMI, dopo l'Omnibus

Il regolamento riconosce che una piccola impresa non ha l'apparato di una multinazionale, e l'Omnibus ha allargato alcune misure alle piccole imprese a media capitalizzazione, cioè le imprese che superano le soglie delle PMI, definite dalla raccomandazione (UE) 2025/1099. Le PMI restano quelle della raccomandazione 2003/361/CE (nuovo art. 3, punti 14 bis e 14 ter).

Quattro PMI, quattro situazioni diverse

Ditta di installazioni con 12 dipendenti. Usa un assistente per preparare preventivi e rispondere alle email. Rischio minimo, ruolo utilizzatore: dall'AI Act arriva solo l'alfabetizzazione di chi usa lo strumento. La cosa sensata da fare in più è una policy interna che dica quali dati non vanno incollati in strumenti esterni, vedi come scrivere una policy aziendale sull'AI.

Studio di consulenza che ha messo un assistente sul sito. Rischio limitato, ruolo utilizzatore. Dal 2 agosto 2026 i visitatori devono sapere che parlano con un assistente automatico (art. 50); se il prodotto è di terzi, verifica che il messaggio sia già previsto e ben visibile. Se nello studio si esercita una professione intellettuale, la legge 132/2025, art. 13 chiede anche di informare i clienti sui sistemi AI usati per la prestazione.

Azienda di 40 persone che ha introdotto uno strumento di screening dei CV. Alto rischio, ruolo utilizzatore, con obblighi applicabili dal 2 dicembre 2027 (Omnibus). Gli obblighi tecnici sono del fornitore del software, ma l'azienda dovrà garantire sorveglianza umana reale, informare le persone interessate e conservare i log. Va anche verificato che il criterio di ordinamento non produca discriminazioni indirette: è la parte che i fornitori non possono garantire al posto tuo, perché dipende da come lo usi. Sul fronte italiano, l'art. 11 della legge 132/2025 richiama già l'obbligo di informare i lavoratori sui sistemi decisionali automatizzati nei casi dell'art. 1-bis del d.lgs. 152/1997.

Agenzia web che rivende un chatbot col proprio marchio ai clienti. Ruolo: fornitore. Questa è la situazione in cui una piccola impresa si ritrova con obblighi che non si aspettava, e la causa è solo il marchio.

Cosa chiedere al fornitore prima di firmare

Se sei utilizzatore, gran parte della tua tranquillità dipende da cosa ti fornisce chi ti vende il sistema. Sono domande da fare prima dell'acquisto, quando hai ancora potere negoziale.

• In quale fascia di rischio classificate il vostro sistema, e con quale motivazione?
• Il sistema informa già l'utente che sta parlando con un'AI, come chiede l'art. 50 dal 2 agosto 2026?
• Fornite istruzioni per l'uso scritte, come previsto per i sistemi ad alto rischio?
• Il sistema produce log consultabili, e per quanto tempo restano disponibili?
• Dove sono ospitati i dati, e sono usati per addestrare modelli?
• Mettete a disposizione l'accordo sul trattamento dei dati personali?
• Cosa succede alla conformità se aggiornate il modello sottostante?

L'ultima è quella che nessuno pone ed è la più insidiosa. Molti servizi AI cambiano il modello sottostante senza preavviso: il comportamento del sistema può variare da un giorno all'altro, e con esso la sua affidabilità sul tuo caso d'uso. Se ci hai costruito sopra un processo che tocca persone, è un tema di conformità oltre che di qualità.

Il punto contrattuale è sviluppato in contratto con un fornitore AI e i criteri di scelta in come scegliere un fornitore AI.

L'obbligo che quasi tutti hanno e quasi nessuno rispetta

Per molte PMI l'adempimento AI Act più visibile è dichiarare che l'assistente sul sito è automatico, obbligatorio dal 2 agosto 2026 (art. 50 dell'AI Act). Ed è anche quello che viene disatteso più spesso, non per resistenza ma per distrazione.

Il motivo è che la trasparenza viene trattata come una questione legale e finisce nelle condizioni d'uso, dove nessuno la legge. La norma invece chiede che l'informazione arrivi in modo chiaro e distinguibile, al più tardi alla prima interazione (art. 50, par. 5). Formalmente l'obbligo di progettare il sistema così è del fornitore (par. 1): se l'assistente l'hai fatto sviluppare e lo metti in servizio col tuo marchio, il fornitore sei tu; se usi un prodotto di terzi, controlla che lo faccia.

Cosa basta davvero:

1. Una riga visibile all'apertura della conversazione, con parole normali.
2. Coerenza nel comportamento: se l'utente chiede «sei un umano?», la risposta deve essere onesta.
3. Un modo evidente per chiedere di parlare con una persona. L'AI Act non lo impone, ma è la differenza tra un cliente servito e un reclamo.

Il secondo punto è quello che distingue una configurazione fatta bene da una fatta per finta, e dipende da come è impostato l'assistente: tema trattato in chatbot AI: cosa sono e in assistente, chatbot e agente: le differenze.

Gli errori tipici delle PMI con l'AI Act

• Pensare che «piccola impresa» significhi «esente». Il regolamento gradua per rischio e ruolo, non per dimensione.
• Dimenticare l'alfabetizzazione. È l'unico obbligo che vale per chiunque usi l'AI, anche nella versione più leggera introdotta dall'Omnibus.
• Non accorgersi di essere fornitore. Il rimarchio è il passaggio più sottovalutato.
• Trattare la sorveglianza umana come una firma. Se chi approva non può capire né ribaltare, l'obbligo non è soddisfatto.
• Mettere la trasparenza nelle condizioni d'uso. Va dove l'utente la legge, non dove non guarda nessuno.
• Comprare conformità prima di classificare. Nella maggior parte dei casi si scopre che non serviva.

Il percorso per una PMI, in un pomeriggio

Il percorso per una PMI è corto e si fa internamente:

1. Elenca i sistemi AI in uso, comprese le abitudini informali dei collaboratori.
2. Per ognuno segna il ruolo: lo usi o lo rivendi col tuo nome?
3. Per ognuno segna la fascia: decide su persone, parla con persone, o nessuna delle due?
4. Sistema la trasparenza dove serve. È l'adempimento più frequente e il più rapido.
5. Organizza una formazione di base per chi usa l'AI e scrivi una policy interna di poche pagine.
6. Rivedi la tabella quando introduci un sistema nuovo o cambi l'uso di uno esistente.

Il risultato tipico per una PMI italiana: tutti i sistemi a rischio minimo tranne il chatbot del sito, una riga di trasparenza da aggiungere, una formazione di base e una policy interna da scrivere. Un pomeriggio di lavoro, non un progetto di conformità. Le date di riferimento, per ogni obbligo, sono nel calendario dell'AI Act.

Trattandosi di norme con atti attuativi in evoluzione, verifica le fonti ufficiali quando la classificazione ha conseguenze contrattuali o legali.

Pochi obblighi, ma con date precise

Per una PMI l'AI Act è molto più leggero di quanto la comunicazione commerciale intorno al tema lasci intendere. Gli obblighi seri stanno dove l'AI decide su persone o dove l'azienda vende sistemi ad altri, e per l'allegato III partono dal 2 dicembre 2027 (Regolamento (UE) 2026/1744). Tutto il resto si risolve con formazione di base, chiarezza interna e una riga onesta sul sito.

La cosa che conviene fare davvero non è comprare adempimenti: è sapere cosa si usa. Da lì in poi la risposta viene da sé.

Se l'assistente sul tuo sito va rivisto per la trasparenza, o vuoi un agente che nasca già con il messaggio giusto e il passaggio a un operatore previsto, lo progettiamo così: vedi agenti AI per aziende. Il quadro completo è in AI Act: la guida per le aziende.