Il tempo stringe. Il 2 agosto 2026 è una data che ogni imprenditore e responsabile IT italiano dovrebbe avere segnata in rosso sul calendario: entro quella scadenza, le norme operative del Regolamento europeo sull'intelligenza artificiale — meglio conosciuto come AI Act (Regolamento UE 2024/1689) — diventano pienamente applicabili anche alle piccole e medie imprese. In Italia, a questo quadro europeo si affianca la Legge 132/2025, il decreto nazionale di adeguamento che ha istituito l'Autorità italiana per l'intelligenza artificiale e definito le modalità di vigilanza e sanzionatoria sul territorio. Per molte PMI, la domanda non è più "dobbiamo occuparcene?" ma "da dove cominciamo?".

Il contesto è tutt'altro che teorico. Secondo i dati dell'Osservatorio Artificial Intelligence del Politecnico di Milano, nel 2024 oltre il 50% delle grandi imprese italiane ha già avviato progetti strutturati di intelligenza artificiale, e la quota cresce rapidamente anche tra le PMI. Che si tratti di un chatbot per il servizio clienti, di un sistema di scoring del credito, di strumenti di selezione del personale basati su algoritmi o di software di manutenzione predittiva, moltissime aziende italiane utilizzano già sistemi di AI senza necessariamente esserne consapevoli in termini regolatori. Questo è precisamente il rischio maggiore: pensare di non essere coinvolti quando invece si è già soggetti agli obblighi.

Questo articolo è una guida pratica pensata per imprenditori, responsabili amministrativi e professionisti IT delle PMI italiane. Non troverete solo teoria: spiegheremo chi è soggetto agli obblighi, quali sistemi vanno censiti, cosa fare concretamente nei prossimi mesi e quali sanzioni rischiate in caso di inadempimento. L'obiettivo è aiutarvi a trasformare una scadenza normativa in un'opportunità per strutturare meglio l'uso dell'intelligenza artificiale nella vostra organizzazione.

Cos'è l'AI Act e perché la Legge 132/2025 cambia le regole per le imprese italiane

L'AI Act è il primo grande regolamento al mondo che disciplina in modo organico lo sviluppo e l'uso dell'intelligenza artificiale. Pubblicato sulla Gazzetta Ufficiale dell'UE il 12 luglio 2024 ed entrato in vigore il 1° agosto 2024, introduce un sistema di classificazione per livello di rischio che determina gli obblighi applicabili a ciascun sistema di AI. Non è un regolamento che vieta l'intelligenza artificiale: al contrario, vuole creare fiducia, trasparenza e responsabilità, consentendo alle imprese di innovare in modo sostenibile.

Il calendario di applicazione è progressivo: dal 2 febbraio 2025 sono già vietate le pratiche di AI considerate inaccettabili (come i sistemi di social scoring generalizzato o la manipolazione subliminale); dal 2 agosto 2025 entrano in vigore gli obblighi per i fornitori di modelli di AI di uso generale (GPAI); dal 2 agosto 2026 scattano gli obblighi per i sistemi ad alto rischio, ovvero quelli con maggiore impatto su persone e organizzazioni. È questa la scadenza più critica per la maggior parte delle PMI.

La Legge 132/2025 (il cui iter parlamentare si è concluso nella prima metà del 2025) ha completato il quadro nazionale, istituendo l'Agenzia per l'Italia Digitale come punto di coordinamento e identificando le autorità nazionali competenti per la vigilanza settoriale. Ha inoltre definito il regime sanzionatorio applicabile in Italia, che si sovrappone — e in alcuni casi si aggiunge — a quello già previsto dall'AI Act europeo. Per le PMI questo significa avere due livelli di compliance da gestire: quello europeo e quello nazionale.

La classificazione per rischio dell'AI Act: capire in quale categoria rientra la vostra azienda

Il concetto più importante da assimilare è la classificazione per livello di rischio. L'AI Act distingue quattro categorie principali, e capire dove si collocano i vostri sistemi è il primo passo operativo di qualsiasi piano di conformità.

  • Rischio inaccettabile (vietato): sistemi che manipolano il comportamento umano in modo subliminale, sistemi di social scoring da parte di autorità pubbliche, alcune applicazioni di riconoscimento biometrico in spazi pubblici. Questi sistemi non possono essere usati da nessuno, incluse le aziende private.
  • Alto rischio: questa è la categoria più rilevante per molte PMI. Include sistemi usati in settori critici come la gestione del personale (screening automatico dei CV, valutazione delle performance), l'accesso a servizi finanziari (scoring del credito, valutazione del rischio assicurativo), la sicurezza dei prodotti, l'istruzione e la formazione, l'amministrazione della giustizia. I fornitori e gli utilizzatori di questi sistemi hanno obblighi stringenti.
  • Rischio limitato: sistemi come i chatbot devono rispettare obblighi di trasparenza — l'utente deve sapere che sta interagendo con una macchina.
  • Rischio minimo: la grande maggioranza dei sistemi di AI (filtri antispam, strumenti di raccomandazione di contenuti, etc.) rientra qui e non ha obblighi specifici, anche se sono incoraggiate le buone pratiche.

Un esempio pratico: una PMI manifatturiera che usa un software di manutenzione predittiva acquistato da un fornitore terzo si trova nella posizione di utilizzatore (deployer) di un sistema di AI. Se quel sistema influenza decisioni che impattano sulla sicurezza dei lavoratori, potrebbe ricadere nella categoria ad alto rischio. In quel caso, l'azienda ha obblighi precisi: verificare la documentazione tecnica del fornitore, garantire la supervisione umana, tenere registri d'uso e informare il proprio personale.

Un'azienda di servizi che usa un tool automatizzato per lo screening iniziale dei curriculum dei candidati è quasi certamente soggetta agli obblighi per i sistemi ad alto rischio. In questo caso, tra gli obblighi vi è quello di informare i candidati che una parte del processo selettivo è automatizzato e garantire loro il diritto di revisione umana della decisione.

Gli obblighi concreti per le PMI italiane: cosa fare prima del 2 agosto 2026

Tradurre la normativa in un piano d'azione è la sfida principale per le PMI. Ecco i passi operativi che ogni azienda dovrebbe intraprendere nei prossimi mesi, organizzati in ordine di priorità.

  1. Censimento dei sistemi di AI in uso: mappate tutti i software e gli strumenti che usate che potrebbero contenere componenti di intelligenza artificiale. Includete i SaaS, i gestionali, i CRM, gli strumenti HR, i sistemi di sicurezza fisica con riconoscimento facciale, i chatbot sul sito web. Molti fornitori di software includono funzionalità di AI senza comunicarlo esplicitamente.
  2. Classificazione del rischio: per ogni sistema censito, determinate il livello di rischio in base alle categorie dell'AI Act. Il sito ufficiale dell'Unione Europea e le linee guida dell'ENISA (Agenzia dell'UE per la Cybersicurezza) offrono strumenti di auto-valutazione.
  3. Verifica dei fornitori: per i sistemi ad alto rischio, richiedete ai vostri fornitori la documentazione tecnica richiesta dall'AI Act (dichiarazione di conformità, documentazione sul training data, informazioni sulla supervisione umana). I fornitori affidabili dovranno essere in grado di fornirla.
  4. Aggiornamento dei contratti: inserite clausole specifiche nei contratti con i fornitori di AI che definiscano responsabilità, obblighi di trasparenza e diritti di audit.
  5. Formazione del personale: il personale che interagisce con sistemi di AI ad alto rischio deve ricevere una formazione adeguata. Questo non è solo un obbligo normativo: è anche una tutela per l'azienda in caso di contestazioni.
  6. Designazione di un responsabile AI: anche in assenza di un obbligo formale equivalente al DPO del GDPR, è buona prassi — e in molti casi necessità — avere una figura interna o esterna di riferimento per la governance dell'AI.

Le sanzioni previste dall'AI Act sono significative: fino a 35 milioni di euro o il 7% del fatturato annuo globale per le violazioni più gravi (uso di sistemi vietati), fino a 15 milioni o il 3% del fatturato per la violazione degli obblighi sui sistemi ad alto rischio. Per le PMI, anche le sogue percentuali più basse possono rappresentare importi significativi. La Legge 132/2025 ha inoltre previsto sanzioni accessorie applicabili a livello nazionale.

GDPR e AI Act: come gestire la sinergia normativa senza duplicare gli sforzi

Una buona notizia per le PMI italiane è che chi ha già strutturato la propria conformità al GDPR (Regolamento UE 2016/679) ha già costruito buona parte delle fondamenta necessarie per l'AI Act. I due regolamenti condividono molti principi: trasparenza, minimizzazione dei dati, diritti degli interessati, responsabilizzazione (accountability). Ma ci sono differenze importanti che è necessario capire per evitare di pensare di essere già conformi quando invece mancano elementi cruciali.

Il GDPR si concentra sulla protezione dei dati personali: chi li tratta, come, per quanto tempo e con quali garanzie. L'AI Act aggiunge uno strato ulteriore: si occupa dei sistemi che prendono decisioni automatizzate o che assistono le decisioni umane, indipendentemente dal fatto che utilizzino dati personali. Un sistema di AI che ottimizza i percorsi logistici usando solo dati geografici anonimi potrebbe non rientrare nel GDPR ma essere comunque soggetto all'AI Act se classificato ad alto rischio per altri motivi.

La strategia più efficiente per le PMI è integrare la governance dell'AI nella struttura di compliance già esistente, ampliando i ruoli e le procedure già in essere piuttosto che crearne di nuovi da zero. Il Registro dei trattamenti previsto dal GDPR può essere esteso a un registro più ampio che includa anche i sistemi di AI. Le Data Protection Impact Assessment (DPIA) possono evolvere in valutazioni di impatto più ampie che considerino anche i rischi specifici dell'AI. Il DPO, se presente, può essere coinvolto nella governance dell'AI anche se il suo ruolo formale rimane distinto.

  • Estendete il vostro Registro dei Trattamenti per includere i sistemi di AI
  • Aggiornate le informative privacy per menzionare l'uso di sistemi automatizzati
  • Verificate che le DPIA già condotte coprano anche i rischi specifici dell'AI
  • Coordinate DPO e responsabile AI (se distinti) per evitare sovrapposizioni e lacune

Domande frequenti

La mia PMI usa solo strumenti SaaS di terzi come ChatGPT o Copilot: siamo comunque soggetti all'AI Act?

Sì, in parte. Come utilizzatori (deployer) di sistemi di AI, anche le PMI che non sviluppano AI internamente hanno obblighi. In particolare, siete responsabili di verificare che i sistemi che usate siano conformi all'AI Act (richiedendo documentazione ai fornitori), di garantire la supervisione umana dove richiesta, di formare il personale e di non usare i sistemi in modi che violino il regolamento. Se usate strumenti come Microsoft 365 Copilot in contesti che influenzano decisioni significative sui dipendenti o sui clienti, è necessario valutare il livello di rischio dell'uso specifico che ne fate.

Qual è la differenza tra fornitore e utilizzatore nell'AI Act e perché è importante?

Il fornitore (provider) è chi sviluppa o mette sul mercato un sistema di AI. L'utilizzatore (deployer) è chi usa quel sistema nel contesto di un'attività professionale. La distinzione è fondamentale perché gli obblighi sono diversi: i fornitori hanno obblighi più pesanti (documentazione tecnica, registrazione in banche dati europee, dichiarazione di conformità CE), mentre gli utilizzatori hanno obblighi operativi (supervisione umana, formazione del personale, conservazione dei log). Molte PMI sono esclusivamente utilizzatori, ma alcune — ad esempio chi sviluppa software gestionale con funzionalità di AI per rivenderlo — sono anche fornitori e soggiaciono agli obblighi più stringenti.

Cosa rischia concretamente una PMI che non si adegua entro il 2 agosto 2026?

Le conseguenze sono molteplici. Sul piano sanzionatorio, le autorità nazionali (in Italia coordinate dalla struttura prevista dalla Legge 132/2025) possono applicare sanzioni amministrative pecuniarie, che per le PMI vengono calcolate tenendo conto delle dimensioni aziendali ma possono comunque essere significative. Sul piano commerciale, la mancata conformità può diventare un ostacolo nelle relazioni con grandi clienti o nel partecipare a gare d'appalto pubbliche, dove la conformità normativa è spesso verificata. Sul piano reputazionale, episodi di uso non conforme di AI — specie in ambiti sensibili come la gestione del personale — possono generare danni di immagine difficili da recuperare. Infine, in caso di contenzioso legale connesso a decisioni assistite da AI, la mancata conformità all'AI Act potrebbe aggravare la posizione dell'azienda.

Esistono agevolazioni o supporti pubblici per aiutare le PMI nell'adeguamento all'AI Act?

Sì. A livello europeo, la Commissione Europea ha previsto misure di supporto specifiche per le PMI, inclusa la creazione di AI regulatory sandboxes — ambienti controllati dove le PMI possono sperimentare sistemi di AI con un alleggerimento temporaneo degli obblighi normativi. In Italia, il PNRR include finanziamenti per la digitalizzazione e l'innovazione delle PMI che possono essere utilizzati anche per progetti di AI conformi. I Punti Impresa Digitale delle Camere di Commercio offrono servizi di orientamento gratuiti. È consigliabile monitorare anche i bandi regionali e le iniziative di Confindustria e delle associazioni di categoria, che stanno attivando programmi di supporto specifici per la conformità all'AI Act.

Conclusione

Il 2 agosto 2026 non è lontano come potrebbe sembrare. Tra la valutazione dei sistemi in uso, la verifica dei fornitori, l'aggiornamento dei contratti, la formazione del personale e l'eventuale adeguamento dei processi, un piano di conformità all'AI Act richiede mesi di lavoro, specialmente per una PMI con risorse limitate. La buona notizia è che chi inizia oggi ha il tempo di farlo in modo ordinato e senza correre ai ripari all'ultimo momento.

La conformità all'AI Act non va vissuta come un peso burocratico aggiuntivo, ma come un'opportunità per strutturare l'uso dell'intelligenza artificiale in modo responsabile, costruire fiducia con clienti e partner, e posizionarsi meglio in un mercato dove la reputazione digitale è sempre più un fattore competitivo. Le PMI italiane che sapranno cogliere questo momento come un'occasione di maturità digitale usciranno rafforzate, non indebolite, dalla stagione normativa che stiamo attraversando.

Non aspettare che la scadenza si avvicini troppo. Contatta oggi un esperto IT o un consulente specializzato in normativa digitale per ricevere una valutazione iniziale dei tuoi sistemi di AI e un piano d'azione personalizzato per la tua PMI. Un audit preliminare, anche di poche ore, può fare la differenza tra una transizione serena e una corsa contro il tempo costosa e rischiosa. Il momento giusto per iniziare è adesso.