L'intelligenza artificiale è entrata prepotentemente nelle attività quotidiane di migliaia di piccole e medie imprese italiane: dai chatbot per il customer service agli strumenti di analisi predittiva, passando per i software di gestione delle risorse umane che filtrano i curriculum. Tuttavia, con l'adozione crescente di questi strumenti arriva anche una responsabilità normativa che molti imprenditori ancora non conoscono appieno. Il Regolamento Europeo sull'Intelligenza Artificiale, comunemente noto come AI Act (Regolamento UE 2024/1689), è entrato ufficialmente in vigore il 1° agosto 2024 e sta dispiegando i suoi effetti in modo graduale, con scadenze diverse a seconda della tipologia di sistema AI utilizzato.

In questo contesto si inserisce il Digital Omnibus VII, un pacchetto di misure che la Commissione Europea ha introdotto per modulare e in parte alleggerire gli obblighi per le realtà più piccole, riconoscendo che le PMI non possono essere trattate alla stregua delle grandi multinazionali tecnologiche. Si tratta di un insieme di modifiche e chiarimenti che toccano direttamente le tempistiche di adeguamento, la definizione degli obblighi documentali e le soglie di applicabilità. Per un imprenditore italiano che usa strumenti AI nel proprio business, capire queste nuove regole non è un'opzione: è una necessità concreta per evitare sanzioni e per costruire un rapporto di fiducia con clienti e partner.

L'Italia, con il suo tessuto produttivo composto per oltre il 99% da PMI secondo i dati ISTAT, si trova in una posizione particolarmente delicata. Da un lato, le nostre imprese hanno tutto l'interesse ad adottare soluzioni AI per rimanere competitive nel mercato europeo e globale. Dall'altro, la complessità normativa rischia di trasformarsi in un ostacolo se non viene affrontata con la giusta preparazione. Questo articolo vuole essere una guida pratica e concreta: spiegheremo cosa cambia con il Digital Omnibus VII, quali sono le scadenze da rispettare, cosa devono fare concretamente le PMI e come prepararsi senza farsi cogliere impreparati.

Cos'è il Digital Omnibus VII e perché cambia le regole dell'AI Act per le piccole imprese

Il termine Digital Omnibus indica una serie di provvedimenti legislativi europei che raccolgono in un unico pacchetto modifiche e aggiustamenti a più regolamenti digitali contemporaneamente. Il Digital Omnibus VII interviene, tra le altre cose, proprio sull'AI Act per introdurre misure di semplificazione destinate principalmente alle PMI e alle startup. L'obiettivo dichiarato della Commissione Europea è quello di ridurre gli oneri burocratici eccessivi che rischiavano di penalizzare le realtà più piccole rispetto ai grandi operatori tecnologici, che dispongono di uffici legali strutturati e risorse dedicate alla compliance.

In pratica, il Digital Omnibus VII interviene su alcuni aspetti chiave dell'AI Act: rivede le soglie che determinano quando una PMI è considerata deployer (utilizzatore) o provider (fornitore) di sistemi AI ad alto rischio, introduce modelli semplificati di documentazione tecnica per le imprese sotto determinate dimensioni e chiarisce i casi in cui l'uso di strumenti AI di terze parti trasferisce la responsabilità principale al fornitore originario. Questi chiarimenti sono fondamentali per le PMI italiane che, nella maggior parte dei casi, non sviluppano AI in proprio ma acquistano o utilizzano soluzioni già pronte sul mercato.

È importante sottolineare che il Digital Omnibus VII non elimina gli obblighi dell'AI Act: li rimodula e li rende più proporzionati. Le PMI che utilizzano sistemi AI classificati come ad alto rischio restano soggette a obblighi precisi, ma con modalità di adempimento semplificate e con più tempo per adeguarsi in alcuni casi specifici. Ignorare queste norme non è quindi una strategia praticabile.

Le categorie di rischio dell'AI Act e come classificare i sistemi usati dalla tua azienda

Prima di capire cosa fare, è necessario capire quale categoria di rischio si applica ai sistemi AI che la tua azienda utilizza. L'AI Act suddivide i sistemi di intelligenza artificiale in quattro categorie principali, e gli obblighi variano enormemente da una categoria all'altra.

  • Rischio inaccettabile: sistemi vietati tout court nell'UE, come quelli di social scoring generalizzato o la manipolazione subliminale delle persone. Nessuna PMI dovrebbe utilizzare questi strumenti.
  • Alto rischio: sistemi usati in ambiti sensibili come la selezione del personale, la concessione di credito, la gestione di infrastrutture critiche, la valutazione degli studenti, i sistemi biometrici. Questi sistemi richiedono documentazione tecnica, registrazione, supervisione umana e valutazione della conformità.
  • Rischio limitato: sistemi come chatbot e deepfake che richiedono principalmente obblighi di trasparenza verso gli utenti (ad esempio, informare che stanno interagendo con un'AI).
  • Rischio minimo: la grande maggioranza dei sistemi AI, come filtri antispam o strumenti di raccomandazione prodotti. Non soggetti a obblighi specifici dell'AI Act.

Per una PMI italiana tipica, il primo passo concreto è fare un inventario dei sistemi AI utilizzati e classificarli. Questo esercizio, apparentemente semplice, richiede attenzione: uno strumento di selezione automatica dei CV, ad esempio, rientra nella categoria ad alto rischio anche se acquistato da un fornitore esterno. Lo stesso vale per un software che determina automaticamente il merito creditizio dei clienti o che gestisce turni e valutazioni dei dipendenti.

Un esempio pratico: un'azienda manifatturiera lombarda con 45 dipendenti che usa un software HR con funzionalità di AI per valutare le performance dei lavoratori sta usando un sistema ad alto rischio ai sensi dell'AI Act. In quanto deployer, ha obblighi precisi: verificare che il fornitore abbia rispettato i requisiti del Regolamento, tenere i log delle operazioni per almeno sei mesi, garantire la supervisione umana sulle decisioni e informare i lavoratori dell'uso del sistema.

Scadenze concrete dell'AI Act post Digital Omnibus VII: il calendario che ogni PMI deve conoscere

Il calendario di applicazione dell'AI Act è strutturato a fasi, e il Digital Omnibus VII ha contribuito a precisare alcune tempistiche. È fondamentale che le PMI abbiano chiaro questo calendario per pianificare le proprie azioni senza trovarsi in ritardo.

  • Febbraio 2025 (già in vigore): divieto assoluto dei sistemi AI a rischio inaccettabile. Chi usava strumenti di questo tipo avrebbe dovuto dismettere o modificare radicalmente i sistemi entro questa data.
  • Agosto 2025: entrano in vigore gli obblighi di alfabetizzazione AI (AI literacy) per tutti i soggetti che deploiano sistemi AI. Le PMI devono garantire che il personale che interagisce con sistemi AI abbia una formazione adeguata.
  • Agosto 2026: piena applicazione degli obblighi per i sistemi AI ad alto rischio (Allegato III del Regolamento). Questa è la scadenza più critica per molte PMI italiane.
  • Agosto 2027: entrata in vigore degli obblighi per i sistemi AI ad alto rischio che rientrano nell'Allegato I (prodotti già coperti da normative di sicurezza europee preesistenti).

Il Digital Omnibus VII ha introdotto alcune precisazioni su come computare questi termini per le PMI e ha chiarito che le piccole imprese che utilizzano sistemi AI sviluppati da fornitori terzi hanno un percorso di adeguamento parzialmente dipendente dalla compliance del fornitore stesso. Questo però non significa che la PMI possa lavarsene le mani: deve verificare attivamente che il fornitore rispetti i requisiti e acquisire la documentazione di conformità.

Con agosto 2025 alle porte, l'obbligo di AI literacy è quello più urgente. Le aziende devono avviare subito programmi di formazione interni, anche brevi, per il personale che usa strumenti AI. Non si tratta di formare ingegneri: basta che i dipendenti capiscano cosa fa lo strumento che usano, quali sono i suoi limiti e quando è necessario coinvolgere un giudizio umano.

Gli obblighi pratici per le PMI italiane: documentazione, trasparenza e supervisione umana

Per le PMI che utilizzano sistemi AI ad alto rischio in qualità di deployer, gli obblighi concreti previsti dall'AI Act — confermati e in parte semplificati dal Digital Omnibus VII — si articolano in alcune aree fondamentali. Conoscerle permette di pianificare un adeguamento sostenibile senza stravolgere la propria operatività.

1. Documentazione e registrazione: le PMI devono conservare la documentazione tecnica fornita dal produttore del sistema AI, tenere i log di funzionamento del sistema per il periodo stabilito (generalmente almeno sei mesi per i sistemi ad alto rischio), e registrare le decisioni significative prese sulla base dell'output del sistema AI. Non è necessario che la PMI produca documentazione tecnica da zero: questa è responsabilità del provider. Ma deve ottenerla e conservarla.

2. Trasparenza verso le persone interessate: se il sistema AI prende decisioni che riguardano individui (dipendenti, clienti, candidati), questi devono essere informati. Ad esempio, se un negozio online usa un sistema di raccomandazione personalizzata che influenza prezzi o offerte, i clienti devono poterne essere a conoscenza secondo i principi di trasparenza.

  • Informare i dipendenti per iscritto se si usano strumenti AI per valutarne le performance o gestire turni e presenze.
  • Inserire informative chiare nei confronti di clienti e candidati quando si usano sistemi automatizzati per decisioni che li riguardano.
  • Aggiornare i documenti sulla privacy (registro trattamenti GDPR) includendo i trattamenti effettuati tramite sistemi AI.

3. Supervisione umana: per i sistemi ad alto rischio, l'AI Act richiede che ci sia sempre un essere umano in grado di comprendere, monitorare e, se necessario, interrompere il sistema. In una PMI, questo significa designare formalmente una figura (anche interna, non necessariamente un tecnico) responsabile della supervisione dei sistemi AI critici, con procedure chiare su quando e come intervenire.

4. Valutazione dell'impatto sui diritti fondamentali: questa è una novità rilevante per i deployer pubblici e per alcuni deployer privati che usano sistemi ad alto rischio. Anche se le PMI private non sono sempre soggette all'obbligo completo, è buona pratica documentare una valutazione semplificata del potenziale impatto del sistema sui diritti delle persone interessate, in particolare in ambito HR e gestione clienti.

Domande frequenti

Siamo una piccola impresa con meno di 10 dipendenti: l'AI Act si applica anche a noi?

Sì, l'AI Act si applica a qualsiasi organizzazione che utilizza o mette a disposizione sistemi AI nel mercato europeo, indipendentemente dalle dimensioni. Tuttavia, il Digital Omnibus VII ha introdotto alcune semplificazioni procedurali per le microimprese e le PMI, soprattutto in materia di documentazione tecnica (che rimane in capo al fornitore del sistema) e di modalità di adempimento degli obblighi di registrazione. Se usate solo strumenti AI a rischio minimo o limitato — come chatbot informativi o strumenti di traduzione automatica — gli obblighi sono molto ridotti e si limitano principalmente alla trasparenza verso gli utenti. Se invece usate sistemi che rientrano nell'alto rischio, come software HR con valutazione automatica dei dipendenti, gli obblighi si applicano pienamente anche a voi.

Come faccio a sapere se il software AI che uso è classificato ad alto rischio?

Il riferimento principale è l'Allegato III del Regolamento AI Act, che elenca le categorie di sistemi ad alto rischio. In sintesi, rientrano in questa categoria i sistemi usati per: selezione e valutazione dei candidati al lavoro, gestione delle performance dei dipendenti, concessione di prestiti e valutazione del merito creditizio, determinazione dei prezzi in assicurazioni sanitarie e vita, accesso a servizi pubblici essenziali, sistemi biometrici. Se non siete sicuri della classificazione, il vostro fornitore di software è tenuto a fornirvi questa informazione nella documentazione tecnica del prodotto. In caso di dubbio, è consigliabile consultare un consulente legale specializzato in diritto digitale o un esperto IT con competenze normative.

Cosa rischia concretamente una PMI che non si adegua all'AI Act?

Le sanzioni previste dall'AI Act sono significative e proporzionate alla gravità della violazione. Per le violazioni degli obblighi applicabili ai deployer (utilizzatori) di sistemi ad alto rischio, le multe possono arrivare fino a 15 milioni di euro o al 3% del fatturato annuo mondiale, se superiore. Per le microimprese e le PMI, le autorità nazionali di vigilanza sono chiamate a tenere conto delle dimensioni e delle risorse dell'impresa nel determinare le sanzioni, ma questo non equivale a un'esenzione. Oltre alle sanzioni pecuniarie, il mancato adeguamento espone le PMI a rischi reputazionali, potenziali contestazioni da parte dei dipendenti o dei clienti, e difficoltà nei rapporti con partner commerciali e istituti finanziari che richiedono sempre più spesso attestazioni di compliance digitale.

Dobbiamo aggiornare anche la nostra informativa privacy GDPR in relazione all'uso dell'AI?

Nella maggior parte dei casi, sì. L'uso di sistemi AI che trattano dati personali — e quasi tutti i sistemi AI in ambito aziendale lo fanno — deve essere riflesso nel Registro dei Trattamenti previsto dal GDPR e, se i trattamenti presentano rischi elevati per i diritti degli interessati, potrebbe essere necessaria una Valutazione d'Impatto sulla Protezione dei Dati (DPIA). L'AI Act e il GDPR sono regolamenti distinti ma complementari: l'adeguamento all'AI Act non sostituisce gli obblighi privacy, ma si sovrappone ad essi. È quindi opportuno fare una revisione coordinata di entrambi gli aspetti, aggiornando le informative verso dipendenti e clienti per includere l'uso di sistemi automatizzati e le logiche di decisione automatizzata che li riguardano.

Conclusione

L'AI Act con le modifiche introdotte dal Digital Omnibus VII rappresenta una sfida concreta ma affrontabile per le PMI italiane. Non si tratta di una normativa punitiva: al contrario, il legislatore europeo ha cercato di bilanciare l'innovazione con la protezione dei diritti fondamentali, riconoscendo le specificità delle realtà più piccole. Le scadenze sono reali, gli obblighi sono chiari, e il tempo per adeguarsi — pur non essendo infinito — è ancora sufficiente per chi inizia a muoversi adesso.

Il punto di partenza è sempre lo stesso: fare un inventario dei sistemi AI in uso, classificarli correttamente, verificare la documentazione dei fornitori e avviare la formazione del personale. Questi passi non richiedono investimenti enormi, ma richiedono competenza e metodo. Affidarsi a professionisti IT con esperienza in compliance normativa digitale non è un costo: è un investimento che protegge l'azienda da sanzioni, da rischi reputazionali e da potenziali contenziosi.

Se vuoi capire concretamente come la tua azienda è posizionata rispetto all'AI Act e cosa devi fare per adeguarti prima delle prossime scadenze, contatta oggi stesso un esperto IT specializzato in compliance AI. Un'analisi iniziale della tua situazione ti permetterà di avere un quadro chiaro, un piano d'azione realistico e la tranquillità di operare nel rispetto della normativa europea. Non aspettare l'ultima ora: l'adeguamento richiede tempo, e le aziende che si muovono per prime avranno anche un vantaggio competitivo nella percezione di affidabilità da parte di clienti e partner.