Il 2026 si avvicina con una sfida normativa senza precedenti per le imprese italiane: la convergenza tra il Regolamento UE sull'Intelligenza Artificiale — meglio noto come AI Act — e la Legge italiana 132/2025 crea un sistema di obblighi a doppio livello che coinvolge direttamente anche le piccole e medie imprese. Non si tratta di normative pensate solo per i grandi gruppi tecnologici: chiunque utilizzi, distribuisca o sviluppi sistemi di intelligenza artificiale nel proprio business è chiamato a rispettare regole precise, con scadenze che in molti casi sono già operative o lo diventeranno entro i prossimi mesi.

Per le PMI italiane — che secondo i dati ISTAT rappresentano oltre il 99% del tessuto produttivo nazionale e impiegano circa il 75% dei lavoratori del settore privato — questo scenario normativo rappresenta al tempo stesso una sfida e un'opportunità. Una sfida perché richiede investimenti in governance, documentazione e formazione che spesso non rientrano nelle priorità di un'azienda di piccole dimensioni. Un'opportunità perché le imprese che si adeguano per prime acquisiranno un vantaggio competitivo reale, soprattutto nei confronti di clienti e partner che richiedono garanzie sull'uso responsabile dell'AI.

In questo articolo analizziamo in modo pratico e accessibile cosa prevede concretamente questa doppia compliance, quali sono le scadenze operative da segnare in agenda, e come un'impresa italiana — dalla manifattura al retail, dai servizi professionali alla sanità privata — può organizzarsi senza disperdere risorse preziose. L'obiettivo non è spaventare, ma fornire una mappa chiara per navigare un terreno normativo complesso con consapevolezza e metodo.

Cos'è l'AI Act europeo e quali obblighi introduce per le imprese italiane

L'AI Act (Regolamento UE 2024/1689) è entrato in vigore il 1° agosto 2024 ed è il primo quadro normativo al mondo a regolare l'intelligenza artificiale in modo organico. Il regolamento adotta un approccio basato sul rischio: i sistemi AI vengono classificati in quattro categorie — rischio inaccettabile, alto rischio, rischio limitato e rischio minimo — e gli obblighi variano sensibilmente in base a questa classificazione.

Le prime scadenze sono già scattate: dal 2 febbraio 2025 sono vietati i sistemi AI classificati a rischio inaccettabile, come i sistemi di social scoring o la manipolazione subliminale. Dal 2 agosto 2025 entreranno in vigore gli obblighi per i fornitori di modelli di AI di uso generale (i cosiddetti GPAI models). Per i sistemi ad alto rischio — che includono strumenti usati in ambito HR, credito, istruzione, sicurezza dei prodotti e infrastrutture critiche — la piena conformità è richiesta entro il 2 agosto 2026.

Per una PMI italiana, questo si traduce in obblighi molto concreti. Ad esempio, un'azienda che utilizza un software di selezione del personale basato su AI deve verificare se questo rientra nella categoria ad alto rischio, documentare la logica di funzionamento del sistema, garantire la supervisione umana delle decisioni e informare i candidati dell'uso dell'intelligenza artificiale nel processo di selezione. Le sanzioni per la non conformità possono arrivare fino a 35 milioni di euro o al 7% del fatturato annuo globale, a seconda della violazione.

  • Rischio inaccettabile: sistemi vietati dal 2 febbraio 2025 (es. manipolazione cognitiva, social scoring pubblico)
  • Alto rischio: obblighi di conformità completa entro agosto 2026 (es. HR, credito, sicurezza prodotti)
  • Rischio limitato: principalmente obblighi di trasparenza verso gli utenti (es. chatbot)
  • Rischio minimo: nessun obbligo specifico, ma buone pratiche raccomandate

La Legge italiana 132/2025: il livello nazionale di governance dell'AI

Accanto al quadro europeo, l'Italia ha adottato la Legge 9 agosto 2025, n. 132 — comunemente indicata come Legge italiana sull'AI — che recepisce e integra il Regolamento europeo aggiungendo disposizioni specifiche per il contesto nazionale. Questa norma istituisce l'Agenzia per l'Intelligenza Artificiale (AgIA), il nuovo ente che affiancherà le autorità di settore già esistenti nella supervisione dell'AI in Italia.

La legge introduce obblighi aggiuntivi che riguardano in particolare tre ambiti chiave: la trasparenza nell'uso dell'AI nei confronti dei cittadini e consumatori italiani, la tutela dei lavoratori nelle organizzazioni che impiegano sistemi automatizzati per decisioni che li riguardano, e la promozione dell'uso responsabile dell'AI nella Pubblica Amministrazione. Per le PMI che operano in settori regolati — come la sanità, i servizi finanziari o l'edilizia — la legge introduce anche obblighi di notifica all'autorità competente in caso di utilizzo di sistemi AI ad alto rischio.

Un aspetto particolarmente rilevante per le imprese italiane è la disposizione relativa ai contratti di lavoro e all'uso dell'AI in ambito HR: le aziende che adottano sistemi automatizzati per monitorare le prestazioni, assegnare compiti o prendere decisioni sui lavoratori devono informare preventivamente i dipendenti e garantire che esistano meccanismi di contestazione delle decisioni automatizzate. Questo si allinea con quanto già previsto dal GDPR in materia di decisioni automatizzate, creando un sistema coerente ma articolato di tutele.

  • Istituzione dell'Agenzia per l'Intelligenza Artificiale (AgIA) come autorità nazionale di vigilanza
  • Obblighi di trasparenza rafforzati verso consumatori e lavoratori
  • Notifica obbligatoria per sistemi ad alto rischio in settori regolati
  • Meccanismi di ricorso per decisioni automatizzate che incidono sui lavoratori
  • Incentivi fiscali per PMI che investono in AI etica e conforme

Come gestire concretamente la doppia compliance: un piano operativo per le PMI

Affrontare la doppia compliance AI Act + Legge 132/2025 può sembrare un compito titanico per una piccola impresa con risorse limitate. In realtà, con un approccio metodico e prioritizzato, è possibile costruire un framework di conformità sostenibile. Il primo passo — e il più importante — è condurre un inventario dei sistemi AI in uso in azienda. Molte PMI utilizzano strumenti AI senza esserne pienamente consapevoli: dai software CRM con funzioni predittive, ai tool di marketing automation, fino ai sistemi di riconoscimento ottico dei caratteri (OCR) per la gestione documentale.

Una volta mappati i sistemi, occorre classificarli secondo la tassonomia dell'AI Act. Per ciascun sistema ad alto rischio, è necessario predisporre una documentazione tecnica che descriva il funzionamento del modello, i dati usati per l'addestramento, le misure di sicurezza adottate e le procedure di supervisione umana. Questo non richiede necessariamente competenze di data science interne: molti fornitori di software stanno già aggiornando la propria documentazione per supportare i clienti in questo processo.

Il terzo pilastro del piano operativo riguarda la formazione del personale. L'AI Act richiede che le persone che operano con sistemi AI ad alto rischio abbiano un livello adeguato di AI literacy — ovvero la capacità di comprendere il funzionamento di base del sistema, i suoi limiti e le procedure da seguire in caso di anomalie. La Commissione Europea e AgIA stanno sviluppando risorse formative accessibili, ma le PMI farebbero bene a non aspettare e investire da subito in percorsi di aggiornamento per il proprio team.

  1. Fase 1 — Inventario (entro fine 2025): mappare tutti i sistemi AI in uso, inclusi quelli forniti da terze parti
  2. Fase 2 — Classificazione del rischio (Q1 2026): categorizzare ogni sistema secondo l'AI Act
  3. Fase 3 — Gap analysis (Q1 2026): identificare i requisiti mancanti per i sistemi ad alto rischio
  4. Fase 4 — Remediation (Q1-Q2 2026): aggiornare documentazione, processi e contratti con i fornitori
  5. Fase 5 — Formazione (continua): sviluppare l'AI literacy interna a tutti i livelli aziendali
  6. Fase 6 — Monitoraggio (continuo): istituire processi di revisione periodica della conformità

Settori più esposti e casi d'uso pratici per le PMI italiane

Non tutte le PMI italiane sono esposte allo stesso modo agli obblighi dell'AI Act e della Legge 132/2025. Esistono alcuni settori dove la probabilità di utilizzare sistemi AI ad alto rischio è significativamente più elevata. La manifattura avanzata, ad esempio, fa sempre più affidamento su sistemi di visione artificiale per il controllo qualità: se questi sistemi influenzano la sicurezza dei prodotti immessi sul mercato, rientrano nella categoria ad alto rischio e richiedono documentazione tecnica certificata.

Nel settore dei servizi finanziari e del credito, le PMI che utilizzano strumenti di scoring per la valutazione del merito creditizio — anche attraverso software di terze parti come fintech o banche partner — devono verificare la conformità di questi strumenti e assicurarsi di ricevere dai fornitori la documentazione necessaria. Analogamente, gli studi professionali — commercialisti, avvocati, consulenti del lavoro — che adottano strumenti AI per l'analisi documentale o la redazione automatica di atti devono prestare attenzione agli obblighi di trasparenza verso i propri clienti.

Un caso pratico molto diffuso è quello dei chatbot aziendali. Un e-commerce italiano che utilizza un assistente virtuale per gestire richieste di assistenza deve, secondo l'AI Act, informare gli utenti che stanno interagendo con un sistema automatizzato — a meno che non sia già evidente dal contesto. Questo è un obbligo relativamente semplice da soddisfare, ma richiede una revisione delle interfacce e dei testi legali del sito. Ignorarlo espone l'azienda a sanzioni che, sebbene di entità inferiore rispetto ai sistemi ad alto rischio, restano significative per una piccola impresa.

  • Manifattura: sistemi di visione artificiale per controllo qualità e sicurezza prodotti
  • Retail e e-commerce: motori di raccomandazione, chatbot, sistemi di pricing dinamico
  • HR e selezione del personale: software di screening CV, analisi video dei colloqui
  • Servizi finanziari: credit scoring, rilevazione frodi, consulenza automatizzata
  • Sanità privata: sistemi di supporto alla diagnosi, gestione liste d'attesa AI-driven
  • Logistica e trasporti: ottimizzazione percorsi, gestione automatizzata dei magazzini

Domande frequenti

Le PMI con meno di 50 dipendenti sono esonerate dagli obblighi dell'AI Act?

No, l'AI Act non prevede esenzioni totali basate sulle dimensioni aziendali. Tuttavia, il regolamento riconosce esplicitamente le esigenze delle piccole e medie imprese e delle startup, prevedendo alcune misure di supporto: accesso prioritario agli regulatory sandbox (ambienti di test regolamentati), documentazione tecnica semplificata per i sistemi a basso rischio e procedure di conformità proporzionate. Le PMI rimangono però pienamente responsabili per i sistemi AI ad alto rischio che utilizzano, anche se acquistati da fornitori terzi. In questo caso, è fondamentale richiedere ai fornitori la documentazione di conformità necessaria e inserire clausole specifiche nei contratti di licenza software.

Cosa rischia concretamente una PMI italiana che non si adegua entro agosto 2026?

Le sanzioni previste dall'AI Act sono strutturate su tre livelli. Per l'utilizzo di sistemi AI vietati (rischio inaccettabile), la sanzione può arrivare fino a 35 milioni di euro o al 7% del fatturato annuo mondiale. Per violazioni degli obblighi previsti per i sistemi ad alto rischio, la sanzione massima è di 15 milioni di euro o il 3% del fatturato. Per la fornitura di informazioni errate alle autorità, si arriva fino a 7,5 milioni di euro o all'1,5% del fatturato. Per le PMI, il regolamento prevede che le autorità nazionali applichino sanzioni proporzionate, tenendo conto delle dimensioni dell'impresa e dell'impatto economico. Tuttavia, la Legge 132/2025 può prevedere sanzioni amministrative aggiuntive a livello nazionale. Oltre alle sanzioni pecuniarie, il rischio reputazionale e le possibili responsabilità civili verso clienti o lavoratori rappresentano un pericolo altrettanto concreto.

Come si coordina l'AI Act con il GDPR già in vigore nelle nostre aziende?

L'AI Act e il GDPR (Regolamento Generale sulla Protezione dei Dati) si sovrappongono in molti punti, soprattutto quando i sistemi AI trattano dati personali. La buona notizia è che molte delle misure già adottate per la conformità al GDPR — come le valutazioni d'impatto sulla protezione dei dati (DPIA), i registri delle attività di trattamento e le nomine dei responsabili esterni — forniscono una base solida su cui costruire la compliance AI. Le aziende che hanno già investito in un sistema di gestione della privacy ben strutturato partiranno da una posizione di vantaggio. È però importante non confondere i due regolamenti: l'AI Act introduce obblighi aggiuntivi che non sono coperti dal GDPR, come la documentazione tecnica del sistema AI, i test di robustezza e le procedure di supervisione umana. Il consiglio pratico è di coinvolgere il proprio Data Protection Officer (DPO) — se presente — nel processo di compliance AI, trattando i due adempimenti in modo integrato.

Esistono fondi o incentivi per aiutare le PMI italiane ad adeguarsi?

Sì, esistono diverse opportunità di finanziamento che le PMI italiane possono sfruttare per sostenere i costi della compliance AI. A livello europeo, il programma Digital Europe Programme include linee di finanziamento specifiche per l'adozione responsabile dell'AI nelle PMI. Il Piano Nazionale di Ripresa e Resilienza (PNRR) italiano prevede misure di supporto alla digitalizzazione delle imprese, alcune delle quali possono essere orientate verso progetti di AI etica e conforme. La Legge 132/2025 introduce inoltre crediti d'imposta per le PMI che investono in sistemi di governance dell'AI certificati. A livello regionale, molte Camere di Commercio e agenzie regionali per l'innovazione stanno attivando sportelli di consulenza dedicati. Il consiglio è di monitorare i bandi di Invitalia, del MIMIT (Ministero delle Imprese e del Made in Italy) e dei propri enti regionali di riferimento per non perdere le opportunità disponibili.

Conclusione

La doppia compliance AI Act + Legge 132/2025 non è una minaccia da ignorare né un ostacolo insormontabile: è una realtà normativa con cui le PMI italiane devono fare i conti in modo proattivo. Le scadenze sono ravvicinate, i requisiti sono concreti e le sanzioni sono significative. Ma le imprese che affrontano questo percorso con metodo — partendo dall'inventario dei sistemi AI in uso, classificando i rischi, documentando i processi e formando il personale — non solo eviteranno problemi legali, ma costruiranno una reputazione di affidabilità che diventerà un asset competitivo sempre più prezioso.

Il mercato sta già premiando le aziende che possono dimostrare un uso responsabile e trasparente dell'intelligenza artificiale. Clienti, partner commerciali e investitori chiedono garanzie crescenti sulla governance dei sistemi AI. Adeguarsi oggi significa essere pronti per il mercato di domani, non solo per le autorità di vigilanza di oggi.

Non aspettare che le scadenze ti colgano impreparato. Contatta un esperto IT specializzato in compliance normativa per l'intelligenza artificiale: insieme potrete condurre un audit rapido dei sistemi AI in uso nella tua azienda, identificare le priorità di intervento e costruire un piano di adeguamento sostenibile per le dimensioni e il budget della tua impresa. Il primo passo è sempre il più importante — e spesso il più semplice da fare con la guida giusta.