AI Act per le PMI: cosa fare adesso

In breve. L'AI Act, la legge europea sull'intelligenza artificiale (Regolamento (UE) 2024/1689), chiede già oggi tre cose anche alla piccola impresa che usa strumenti AI comprati da altri. Dal 2 febbraio 2025 valgono il dovere di formare chi usa questi strumenti, riscritto nel 2026 come obbligo di adottare misure concrete e proporzionate, e il divieto di alcune pratiche. Dal 2 agosto 2026 vale la trasparenza: chat e assistenti vocali devono dire di essere un'AI, e certi contenuti generati vanno dichiarati. Gli obblighi per i sistemi ad alto rischio dell'allegato III, come quelli che leggono i curriculum, sono rinviati al 2 dicembre 2027. Questa guida non è un parere legale.

Una PMI che usa un assistente in chat, un programma che scrive testi o un'agenda intelligente è, per la legge, un utilizzatore. Il testo europeo usa un termine inglese, ma il senso è questo. Non avete costruito il sistema, ma lo usate sotto la vostra responsabilità.

Per l'utilizzatore, oggi, contano tre articoli. L'articolo 4 sulla formazione. L'articolo 5 sulle pratiche vietate. L'articolo 50 sulla trasparenza, in vigore dal 2 agosto 2026.

Il quadro generale con le categorie di rischio e il calendario completo è nella guida AI Act: cosa cambia davvero. Qui restiamo sul lavoro pratico: chi fa cosa, e cosa tenere in un cassetto per dimostrarlo.

Il Regolamento (UE) 2026/1744, chiamato «omnibus digitale sull'IA», è stato firmato l'8 luglio 2026. È uscito nella Gazzetta ufficiale dell'Unione il 24 luglio ed è in vigore dal 27 luglio 2026. Tra le altre cose, ha sostituito l'articolo 4.

Prima la legge chiedeva di garantire un livello sufficiente di conoscenza. Ora chiede di adottare misure che sostengano quella conoscenza. Le misure vanno calibrate su conoscenze tecniche, esperienza, istruzione e formazione delle persone. Contano anche il contesto d'uso e le persone su cui il sistema viene usato.

Il testo nuovo dice in modo esplicito una cosa importante. L'obbligo non impone di garantire un livello specifico di conoscenza per nessuna persona. In pratica non dovete certificare nessuno. Dovete poter mostrare cosa avete fatto, per chi e perché.

Per una PMI questo è un vantaggio. Bastano misure semplici, ma vere e documentate:

• una breve sessione per tutti su cosa fa e cosa non fa lo strumento;
• istruzioni scritte per chi lo usa ogni giorno;
• un referente che sa quando fermarlo e a chi chiedere.

La legge aggiunge che Commissione e Stati membri devono aiutare in particolare le PMI. La Commissione pubblica esempi pratici su come adempiere. Come costruire il percorso lo spiega la guida Formare le persone all'AI.

L'articolo 5 elenca pratiche vietate dal 2 febbraio 2025. La maggior parte riguarda grandi sistemi o autorità pubbliche. Alcune, però, possono comparire dentro strumenti commerciali venduti anche ai piccoli.

Tre esempi da riconoscere:

• Messaggi di vendita che sfruttano una fragilità. Uno strumento che spinge anziani o persone in difficoltà economica verso acquisti dannosi, sfruttando la loro condizione.
• Lettura delle emozioni dei dipendenti. Un programma che analizza voce o volto del personale per capire l'umore, fuori dai casi medici o di sicurezza.
• Raccolta indiscriminata di volti. Banche dati di riconoscimento facciale costruite prendendo immagini dalla rete o dalle telecamere senza un bersaglio preciso.

L'omnibus del 2026 aggiunge un divieto nuovo, che si applica dal 2 dicembre 2026. Riguarda i sistemi che generano o manipolano immagini, video o audio realistici delle parti intime di una persona riconoscibile senza il suo consenso. Vale anche per il materiale pedopornografico. Per un'impresa normale la regola pratica è semplice: nessuno strumento di generazione di immagini senza limiti chiari su cosa può produrre.

L'articolo 50 divide i compiti tra chi costruisce il sistema e chi lo usa. Conviene sapere quale parte tocca a voi.

Tocca al fornitore progettare gli assistenti in modo che la persona sappia di parlare con un'AI. Tocca sempre al fornitore marcare in modo leggibile dalle macchine i contenuti sintetici: audio, immagini, video, testi. Per i sistemi messi sul mercato prima del 2 agosto 2026, la marcatura ha tempo fino al 2 dicembre 2026.

Tocca a voi, come utilizzatori, dichiarare due cose. Prima: immagini, audio o video che sembrano veri e sono stati generati o manipolati. Seconda: testi generati pubblicati per informare il pubblico su questioni di interesse pubblico. Per questi testi l'obbligo cade se una persona li ha rivisti e qualcuno ne ha la responsabilità editoriale. Se usate sistemi che riconoscono le emozioni, dovete anche informare le persone esposte.

L'informazione va data in modo chiaro e distinguibile, al più tardi alla prima interazione. Anche se il dovere tecnico è del fornitore, siete voi a mettere l'assistente davanti ai clienti. Verificate quindi che la prima frase lo dica davvero. Esempi pronti per chat, voce e posta sono nella pagina Trasparenza verso clienti e dipendenti.

La legge 23 settembre 2025, n. 132 è uscita nella Gazzetta Ufficiale n. 223 del 25 settembre 2025. È in vigore dal 10 ottobre 2025. Non ripete l'AI Act: lo affianca su temi lasciati agli Stati.

Tre articoli interessano da vicino una PMI:

• Articolo 11, comma 2. Il datore di lavoro o il committente deve informare il lavoratore dell'uso dell'intelligenza artificiale, nei casi e nei modi previsti dalle regole sul monitoraggio automatizzato.
• Articolo 13. Nelle professioni intellettuali l'AI serve solo per attività strumentali e di supporto, e il lavoro intellettuale deve restare prevalente. Il professionista comunica al cliente i sistemi usati, con linguaggio chiaro, semplice ed esaustivo.
• Articolo 20. Le autorità nazionali per l'intelligenza artificiale sono l'Agenzia per l'Italia digitale (AgID) e l'Agenzia per la cybersicurezza nazionale (ACN).

Resta poi il GDPR, la legge europea sulla privacy. Se lo strumento tratta dati di clienti o dipendenti, l'informativa e le basi giuridiche valgono come per qualsiasi altro programma.

Questi sono scenari costruiti per spiegare, non clienti. I nomi di persone e aziende sono inventati.

La tabella è pensata per un'azienda fino a qualche decina di persone. Le date sono quelle del testo in vigore a settembre 2026.

Il registro in prima riga è la base di tutto il resto. Come impostarlo senza burocrazia lo mostra la pagina Registro dei sistemi AI.

1. Fate il giro dell'azienda. Chiedete a ciascuno quali strumenti AI usa, anche quelli gratuiti sul telefono. Scriveteli nel registro.
2. Nominate un referente. Non serve un esperto: serve una persona ordinata, con il tempo per tenere il registro e rispondere ai colleghi.
3. Scartate ciò che non va. Confrontate ogni strumento con i divieti dell'articolo 5 e fermate quello che ci somiglia.
4. Sistemate la prima frase. Ogni assistente rivolto ai clienti deve dire di essere un'AI e indicare come parlare con una persona.
5. Organizzate la formazione per ruoli. Una sessione breve per tutti e istruzioni scritte per chi usa gli strumenti ogni giorno. Conservate presenze e materiali.
6. Informate lavoratori e clienti dove la legge italiana lo chiede. Con il consulente del lavoro per il personale, nel mandato per i professionisti.
7. Scrivete ai fornitori. Chiedete le risposte elencate nella sezione successiva e allegatele al registro.

Molte risposte le deve dare chi vi vende lo strumento. Chiedetele per scritto, e conservatele.

• Il sistema si presenta come AI da solo, e si può verificare il testo? Vi serve per l'articolo 50.
• I contenuti generati sono marcati in modo leggibile dalle macchine? Se il sistema era sul mercato prima del 2 agosto 2026, chiedete come si adeguerà entro il 2 dicembre 2026.
• Il sistema valuta persone, le ordina o ne legge le emozioni? Se la risposta è sì, chiedete in quale categoria il fornitore lo ha inquadrato e perché.
• Dove sono trattati i dati, e chi può vederli? Serve per il GDPR e per l'informativa.
• Che istruzioni d'uso e che materiale formativo fornite? Sono la base delle vostre misure dell'articolo 4.
• Cosa succede se un aggiornamento cambia il comportamento del sistema? Chiedete di essere avvisati prima.
• Come si esce, e come riavete i dati? Un contratto chiaro all'uscita vi protegge anche da cambi di regole futuri.

Un fornitore serio risponde a queste domande in pochi giorni. Una risposta vaga su trasparenza o dati è già un'informazione utile.

• Registro degli strumenti AI aggiornato, con referente
• Misure di formazione per ruolo, con prove conservate
• Nessuno strumento tra le pratiche vietate
• Assistenti che si dichiarano AI alla prima interazione, con schermata datata
• Contenuti realistici generati dichiarati come tali
• Lavoratori informati sull'uso dell'AI, dove previsto
• Clausola sugli strumenti AI nel mandato, per gli studi professionali
• Risposte scritte dei fornitori allegate al registro
• Data segnata per la selezione del personale: 2 dicembre 2027

Siamo in cinque: l'AI Act vale anche per noi? Sì, se usate strumenti AI nel lavoro. La legge non ha una soglia di dimensione per gli utilizzatori. Per una PMI gli obblighi pratici, però, sono pochi e si gestiscono con un registro e qualche documento.

Dobbiamo far fare un corso certificato a tutti? No. Dopo la modifica del 2026 l'articolo 4 chiede misure adeguate, non un livello certificato. Contano la proporzione rispetto ai ruoli e la possibilità di dimostrare cosa avete fatto.

Usiamo un assistente solo per scrivere mail interne: dobbiamo fare qualcosa? Poco. Va nel registro e chi lo usa deve sapere cosa non affidargli, per esempio dati personali dei clienti. La trasparenza dell'articolo 50 non scatta per testi interni.

Pubblichiamo articoli sul blog scritti con l'AI: vanno segnalati? L'obbligo riguarda i testi pubblicati per informare il pubblico su questioni di interesse pubblico. Cade se una persona li rivede e se ne assume la responsabilità editoriale. Rileggere e firmare ogni articolo resta comunque la scelta più prudente.

Chi controlla in Italia? La legge n. 132 del 2025 ha designato AgID e ACN come autorità nazionali per l'intelligenza artificiale. Per i dati personali resta il GDPR, con le sue regole e i suoi controlli.

Il fornitore dice che è tutto a posto: basta? No. Alcuni doveri sono del fornitore, altri vostri: formazione, dichiarazione di certi contenuti, informazione ai lavoratori. Chiedete le risposte per scritto e tenete le vostre prove.

Le date possono cambiare ancora? È successo nel 2026 e può succedere di nuovo. Prima di decisioni importanti, verificate il testo consolidato su EUR-Lex. Questa guida non è un parere legale: per i casi dubbi sentite il vostro consulente o DPO.

• Regolamento (UE) 2024/1689, AI Act, testo ufficiale su EUR-Lex: articoli 4, 5, 50, allegato III
• Regolamento (UE) 2026/1744, omnibus digitale sull'IA, testo ufficiale su EUR-Lex: nuovo articolo 4, nuovi divieti dell'articolo 5, date dell'articolo 113, termine del 2 dicembre 2026 per la marcatura
• Legge 23 settembre 2025, n. 132, nella Gazzetta Ufficiale: articoli 11, 13 e 20
• AI Act: cosa cambia davvero per la vostra azienda
• Formare le persone all'AI
• Registro dei sistemi AI
• Trasparenza verso clienti e dipendenti