Cluster · obblighi AI Act PMI
AI Act: quali obblighi ha davvero una PMI
Quali obblighi dell'AI Act toccano una piccola impresa italiana, quali no, e come si distingue il ruolo di fornitore da quello di utilizzatore.
Tempo di lettura: 9 min
Guida operativa · AI Act e conformità
La domanda che si fanno tutte le piccole imprese italiane è: «L'AI Act mi obbliga a fare qualcosa?». La risposta onesta è che dipende da una cosa sola — il ruolo che hai rispetto al sistema — e che nella maggior parte dei casi la risposta è «pochissimo».
Il regolamento non gradua gli obblighi in base al fatturato o al numero di dipendenti. Li gradua in base a cosa fa il sistema e a se lo fornisci o lo usi. Una PMI che sviluppa e vende software di scoring ha molti più obblighi di una media impresa che usa assistenti per scrivere email.
In sintesi
- Gli obblighi dipendono dal ruolo (fornitore o utilizzatore) e dalla fascia di rischio, non dalla dimensione aziendale.
- Chi usa strumenti AI generici per lavoro interno è a rischio minimo: nessun obbligo specifico.
- Chi ha un chatbot o un agente che parla con i clienti ha un obbligo solo: dichiararlo.
- Chi usa l'AI per decidere su persone entra nell'alto rischio, e lì gli obblighi sono reali.
- Rivendere una soluzione di terzi col proprio marchio trasforma l'azienda in fornitore.
- Per le PMI sono previste semplificazioni documentali, non esenzioni sostanziali.
Il ruolo conta più della dimensione
L'AI Act distingue soggetti diversi lungo la catena. I due che interessano quasi tutte le aziende sono il fornitore e l'utilizzatore (nel testo, «deployer»).
| Fornitore | Utilizzatore | |
|---|---|---|
| Chi è | Sviluppa il sistema o lo immette sul mercato col proprio nome | Lo impiega nella propria attività |
| Obblighi su alto rischio | Gestione del rischio, documentazione tecnica, qualità dei dati, valutazione di conformità, marcatura | Uso secondo istruzioni, sorveglianza umana, informazione agli interessati, conservazione log |
| Peso | Alto, strutturato, continuativo | Contenuto ma sostanziale |
| Caso tipico PMI | Software house che vende un modulo AI | Azienda che compra e usa quel modulo |
La maggior parte delle PMI italiane è utilizzatore. È la posizione più comoda: gli obblighi tecnici pesanti restano a monte, e quello che resta è usare il sistema con criterio.
Gli obblighi, fascia per fascia
Incrociando ruolo e fascia di rischio (spiegata in i quattro livelli di rischio) si ottiene la mappa che serve davvero.
Rischio minimo. Nessun obbligo dall'AI Act. È il caso di assistenti per scrittura, riassunti, organizzazione dati, automazioni interne che non decidono su persone. Qui l'unica attenzione seria riguarda i dati, non l'AI Act.
Rischio limitato. Un obbligo: la trasparenza. Le persone devono sapere che stanno interagendo con un sistema automatico o guardando contenuti generati.
- Una riga visibile all'apertura della chat: «assistente automatico»
- Un percorso chiaro per parlare con una persona
- Indicazione dei contenuti generati dove non è evidente
Alto rischio. Qui cambia il registro. Se sei utilizzatore devi garantire che il sistema sia usato come previsto, che la sorveglianza umana sia esercitata da persone in grado di capirlo e ribaltarlo, che le persone interessate siano informate, e che i log siano conservati. Se sei fornitore, gli obblighi sono l'intero pacchetto di conformità.
Le semplificazioni per le PMI
Il regolamento riconosce che una piccola impresa non ha l'apparato di una multinazionale e prevede misure di sostegno: canali di accesso agevolato agli spazi di sperimentazione, forme semplificate di documentazione tecnica, attenzione alla proporzionalità degli oneri.
Esempi pratici
Ditta di installazioni con 12 dipendenti. Usa un assistente per preparare preventivi e rispondere alle email. Nessun obbligo AI Act: rischio minimo, ruolo utilizzatore. L'unica cosa sensata da fare è una policy interna che dica quali dati non vanno incollati in strumenti esterni — vedi come scrivere una policy aziendale sull'AI.
Studio di consulenza che ha messo un assistente sul sito. Rischio limitato, ruolo utilizzatore. Obbligo: dichiarare la natura automatica dell'assistente. Tempo necessario: un quarto d'ora. Costo: zero.
Azienda di 40 persone che ha introdotto uno strumento di screening dei CV. Alto rischio, ruolo utilizzatore. Gli obblighi tecnici sono del fornitore del software, ma l'azienda deve garantire sorveglianza umana reale, informare i candidati e conservare i log. Va anche verificato che il criterio di ordinamento non produca discriminazioni indirette: è la parte che i fornitori non possono garantire al posto tuo, perché dipende da come lo usi.
Agenzia web che rivende un chatbot col proprio marchio ai clienti. Ruolo: fornitore. Questa è la situazione in cui una piccola impresa si ritrova con obblighi che non si aspettava, e la causa è solo il marchio.
Cosa chiedere al fornitore prima di firmare
Se sei utilizzatore, gran parte della tua tranquillità dipende da cosa ti fornisce chi ti vende il sistema. Sono domande da fare prima dell'acquisto, quando hai ancora potere negoziale.
- In quale fascia di rischio classificate il vostro sistema, e con quale motivazione?
- Fornite istruzioni per l'uso scritte, come previsto per i sistemi ad alto rischio?
- Il sistema produce log consultabili, e per quanto tempo restano disponibili?
- Dove sono ospitati i dati, e sono usati per addestrare modelli?
- Mettete a disposizione l'accordo sul trattamento dei dati personali?
- Cosa succede alla conformità se aggiornate il modello sottostante?
L'ultima è quella che nessuno pone ed è la più insidiosa. Molti servizi AI cambiano il modello sottostante senza preavviso: il comportamento del sistema può variare da un giorno all'altro, e con esso la sua affidabilità sul tuo caso d'uso. Se ci hai costruito sopra un processo che tocca persone, è un tema di conformità oltre che di qualità.
Il punto contrattuale è sviluppato in contratto con un fornitore AI e i criteri di scelta in come scegliere un fornitore AI.
L'obbligo che quasi tutti hanno e quasi nessuno rispetta
Su cento PMI italiane, la stragrande maggioranza ha un solo adempimento AI Act concreto: dichiarare che l'assistente sul sito è automatico. Ed è anche quello che viene disatteso più spesso, non per resistenza ma per distrazione.
Il motivo è che la trasparenza viene trattata come una questione legale e finisce nelle condizioni d'uso, dove nessuno la legge. L'obbligo però riguarda la comprensione dell'utente, non la presenza di una clausola.
Cosa basta davvero:
- Una riga visibile all'apertura della conversazione, con parole normali.
- Un modo evidente per chiedere di parlare con una persona.
- Coerenza nel comportamento: se l'utente chiede «sei un umano?», la risposta deve essere onesta.
Il terzo punto è quello che distingue una configurazione fatta bene da una fatta per finta, e dipende da come è impostato l'assistente — tema trattato in chatbot AI: cosa sono e in assistente, chatbot e agente: le differenze.
Errori da evitare
- Pensare che «piccola impresa» significhi «esente». Il regolamento gradua per rischio e ruolo, non per dimensione.
- Non accorgersi di essere fornitore. Il rimarchio è il passaggio più sottovalutato.
- Trattare la sorveglianza umana come una firma. Se chi approva non può capire né ribaltare, l'obbligo non è soddisfatto.
- Mettere la trasparenza nelle condizioni d'uso. Va dove l'utente la legge, non dove non guarda nessuno.
- Comprare conformità prima di classificare. Nove volte su dieci si scopre che non serviva.
Come applicarlo in azienda
Il percorso per una PMI è corto e si fa internamente:
- Elenca i sistemi AI in uso, comprese le abitudini informali dei collaboratori.
- Per ognuno segna il ruolo: lo usi o lo rivendi col tuo nome?
- Per ognuno segna la fascia: decide su persone, parla con persone, o nessuna delle due?
- Sistema la trasparenza dove serve. È l'adempimento più frequente e il più rapido.
- Scrivi una policy interna di poche pagine.
- Rivedi la tabella quando introduci un sistema nuovo o cambi l'uso di uno esistente.
Il risultato tipico per una PMI italiana: tutti i sistemi a rischio minimo tranne il chatbot del sito, una riga di trasparenza da aggiungere, e una policy interna da scrivere. Un pomeriggio di lavoro, non un progetto di conformità.
Trattandosi di norme con atti attuativi in evoluzione, verifica le fonti ufficiali quando la classificazione ha conseguenze contrattuali o legali.
Conclusione
Per una PMI l'AI Act è molto più leggero di quanto la comunicazione commerciale intorno al tema lasci intendere. Gli obblighi seri stanno dove l'AI decide su persone o dove l'azienda vende sistemi ad altri. Tutto il resto si risolve con chiarezza interna e una riga onesta sul sito.
La cosa che conviene fare davvero non è comprare adempimenti: è sapere cosa si usa. Da lì in poi la risposta viene da sé.
Se vuoi capire quali processi della tua azienda possono essere automatizzati con l'AI, Giallo Studio può aiutarti a trasformare il problema in un workflow reale. Il quadro completo è in AI Act: la guida per le aziende.
Schema consigliato: Article + FAQPage + BreadcrumbList
Risorse correlate
FAQ
Una PMI che usa solo ChatGPT ha obblighi AI Act?
Nella grande maggioranza dei casi no. L'uso di un assistente generico per attività interne — scrivere, riassumere, organizzare — ricade nel rischio minimo, che non prevede obblighi specifici. Restano validi gli obblighi di altre norme, in primis il GDPR se nei contenuti ci sono dati personali.
Quali sono gli obblighi dell'utilizzatore di un sistema ad alto rischio?
Usare il sistema secondo le istruzioni del fornitore, garantire una sorveglianza umana effettiva da parte di persone competenti, informare le persone interessate dalla decisione, conservare i log generati dal sistema e sospenderne l'uso se emergono rischi. Sono meno onerosi di quelli del fornitore ma non sono formalità.
Se personalizzo un sistema di terzi divento fornitore?
Dipende dall'entità della modifica. Configurare un sistema per il proprio caso d'uso non cambia il ruolo. Modificarlo in modo sostanziale cambiandone la finalità, oppure immetterlo sul mercato con il proprio nome o marchio, sì: in quel caso si assumono gli obblighi del fornitore.
Devo nominare un responsabile dell'AI in azienda?
Il regolamento non impone una figura equivalente al DPO del GDPR per tutte le imprese. Detto questo, avere una persona che sa quali sistemi AI sono in uso e chi li ha autorizzati è utile a prescindere dalla norma, ed è il modo più economico per evitare che strumenti non censiti entrino in azienda dalla porta di servizio.
Le microimprese hanno un regime più leggero?
Il regolamento prevede alcune semplificazioni e misure di sostegno pensate per PMI e start-up, in particolare sulla documentazione. Non sono però un'esenzione generale: se un sistema è ad alto rischio, resta ad alto rischio anche in una piccola impresa. Cambia il modo di documentare, non la sostanza degli obblighi.
Cosa devo scrivere sul sito se ho un chatbot?
Basta una comunicazione chiara e visibile all'inizio dell'interazione: che si tratta di un assistente automatico e come raggiungere una persona. Non serve un documento legale: serve che l'utente lo capisca senza cercarlo. Nasconderlo nelle condizioni d'uso non soddisfa l'obbligo di trasparenza.