Il Regolamento Europeo sull'Intelligenza Artificiale, noto come AI Act (Regolamento UE 2024/1689), è entrato ufficialmente in vigore il 1° agosto 2024 e si applica secondo un calendario di scadenze progressive. Agosto 2026 rappresenta una delle date più critiche dell'intero percorso normativo: da quel momento, una larga parte degli obblighi relativi ai sistemi di IA ad alto rischio diventerà pienamente applicabile. Per le PMI italiane — che secondo i dati ISTAT rappresentano oltre il 99% del tessuto imprenditoriale nazionale — questo non è un tema astratto riservato alle grandi corporation tecnologiche. È una realtà che riguarda chiunque utilizzi strumenti di intelligenza artificiale nei propri processi aziendali, anche se acquistati come software commerciali di terze parti.

Negli ultimi anni l'adozione di strumenti basati su IA nelle piccole e medie imprese italiane è cresciuta in modo significativo. Chatbot per il supporto clienti, sistemi di analisi predittiva delle vendite, software per la gestione delle risorse umane con algoritmi di selezione, strumenti di riconoscimento automatico dei documenti: queste tecnologie sono ormai entrate nella routine operativa di moltissime realtà aziendali. Il problema è che molti imprenditori e responsabili IT non hanno ancora chiaro quale sia il proprio ruolo normativo rispetto all'AI Act: sono semplici utenti, oppure ricadono sotto la definizione di «deployer» o addirittura di «provider»? La risposta cambia radicalmente gli obblighi da rispettare.

Questo articolo vuole offrire una guida pratica, chiara e aggiornata per aiutare le PMI italiane a capire cosa devono fare prima di agosto 2026, quali sistemi sono effettivamente a rischio, e come strutturare un percorso di conformità sostenibile anche con risorse limitate. Non si tratta di spaventare, ma di informare: chi si prepara per tempo trasforma un obbligo normativo in un vantaggio competitivo, dimostrando ai propri clienti e partner una gestione matura e responsabile della tecnologia.

Come funziona l'AI Act: struttura, categorie di rischio e scadenze chiave per le aziende italiane

L'AI Act adotta un approccio basato sul livello di rischio dei sistemi di intelligenza artificiale. Non tutti gli strumenti AI sono trattati allo stesso modo: il regolamento distingue quattro categorie principali, e solo alcune di esse comportano obblighi pesanti. Capire in quale categoria rientra il proprio strumento è il primo passo fondamentale per qualsiasi PMI.

  • Rischio inaccettabile: sistemi vietati del tutto, come quelli che manipolano il comportamento umano in modo subliminale o consentono la sorveglianza biometrica di massa. Il divieto è scattato già il 2 febbraio 2025.
  • Alto rischio: sistemi che impattano su aree sensibili come l'occupazione, l'accesso ai servizi pubblici, l'istruzione, la gestione delle infrastrutture critiche. Per questi si applicano obblighi stringenti di documentazione, trasparenza e supervisione umana. La scadenza principale è agosto 2026.
  • Rischio limitato: sistemi come i chatbot, soggetti principalmente a obblighi di trasparenza verso l'utente finale.
  • Rischio minimo: la grande maggioranza degli strumenti AI commerciali, praticamente privi di obblighi aggiuntivi specifici.

Il calendario di applicazione è articolato. Dopo l'entrata in vigore ad agosto 2024, i primi divieti sono diventati operativi a febbraio 2025. Le regole per i sistemi di IA per uso generale (GPAI, come i grandi modelli linguistici) si applicano da agosto 2025. Il 2 agosto 2026 è la scadenza che interessa più direttamente le PMI: da quella data, tutti i soggetti che sviluppano o utilizzano sistemi di IA ad alto rischio devono essere pienamente conformi. Restano esclusi da questa finestra solo i sistemi già in uso prima dell'entrata in vigore, che avranno tempo fino al 2027 o 2030 a seconda dei casi.

Per le PMI italiane, il punto critico è comprendere la distinzione tra provider (chi sviluppa o immette sul mercato un sistema di IA) e deployer (chi utilizza un sistema di IA sviluppato da altri nel proprio contesto professionale). Anche chi si limita a utilizzare un software AI già pronto può avere obblighi specifici, specialmente se quel sistema rientra nella categoria ad alto rischio e viene impiegato per prendere decisioni che impattano sulle persone.

Quali strumenti AI usati dalle PMI rientrano nella categoria ad alto rischio secondo l'AI Act

Una delle domande più frequenti tra gli imprenditori italiani è: «Ma io uso solo un software commerciale, non sviluppo niente — sono davvero coinvolto?». La risposta, in molti casi, è sì. L'AI Act si applica non solo a chi costruisce sistemi di IA, ma anche a chi li utilizza in contesto professionale per funzioni specifiche. Ecco perché è fondamentale fare un inventario degli strumenti in uso in azienda e verificarne la natura.

L'Allegato III del Regolamento elenca le categorie di sistemi considerati ad alto rischio. Tra quelle più rilevanti per le PMI italiane troviamo:

  • Sistemi di selezione e gestione del personale: software che filtrano automaticamente i curriculum, valutano le prestazioni dei dipendenti o supportano decisioni su promozioni e licenziamenti.
  • Sistemi di valutazione del merito creditizio: strumenti che analizzano automaticamente la solvibilità di clienti o fornitori, usati in ambito fintech o nei processi di concessione del credito commerciale.
  • Sistemi di accesso a servizi privati essenziali: ad esempio, piattaforme che determinano automaticamente le condizioni di un contratto assicurativo o di un servizio sanitario.
  • Sistemi di biometria: strumenti di riconoscimento facciale o vocale utilizzati per autenticazione o controllo degli accessi in ambienti lavorativi.
  • Sistemi di gestione di infrastrutture critiche: software AI applicati alla gestione di reti energetiche, idriche o di trasporto.

Un esempio concreto: una PMI manifatturiera che utilizza un software HR con funzionalità di people analytics per valutare le performance dei propri operai, oppure un'agenzia per il lavoro che usa un algoritmo per il matching tra candidati e offerte di impiego, ricade quasi certamente nella categoria dei deployer di sistemi ad alto rischio. In questi casi, gli obblighi di agosto 2026 sono pienamente applicabili.

Al contrario, una piccola impresa che usa ChatGPT o uno strumento simile per redigere bozze di email commerciali o generare contenuti per il sito web si trova in una zona di rischio molto più bassa, con obblighi limitati principalmente alla trasparenza verso i propri utenti finali, se applicabile.

Obblighi concreti per le PMI deployer di sistemi AI ad alto rischio: cosa fare entro agosto 2026

Se la tua azienda utilizza uno o più sistemi di IA che rientrano nella categoria ad alto rischio, l'AI Act prevede una serie di obblighi specifici per i deployer. Non si tratta di obblighi impossibili da soddisfare, ma richiedono pianificazione, risorse e una governance interna adeguata. Vediamo nel concreto cosa prevede il Regolamento.

  • Verificare la conformità del fornitore: prima di tutto, il deployer deve accertarsi che il provider del sistema (es. il software house o il vendor) abbia rispettato i propri obblighi: documentazione tecnica, dichiarazione di conformità UE, marcatura CE per i sistemi ad alto rischio.
  • Garantire la supervisione umana: i sistemi ad alto rischio devono essere utilizzati con misure organizzative che assicurino il controllo umano sulle decisioni automatizzate. Questo significa definire chi in azienda è responsabile della revisione delle output del sistema e come interviene in caso di anomalie.
  • Tenere un registro degli utilizzi: i deployer devono mantenere i log generati automaticamente dal sistema per un periodo adeguato (almeno 6 mesi, secondo il Regolamento), a meno che leggi specifiche non prevedano diversamente.
  • Formare il personale: le persone che usano o supervisionano i sistemi di IA ad alto rischio devono avere competenze adeguate. L'AI Act richiede esplicitamente che i deployer garantiscano la formazione necessaria.
  • Informare i soggetti coinvolti: quando un sistema di IA ad alto rischio viene usato per prendere decisioni che riguardano individui (dipendenti, clienti, candidati), questi devono essere informati del fatto che una decisione automatizzata li riguarda.
  • Segnalare incidenti gravi: se un sistema di IA causa un danno grave o un malfunzionamento significativo, il deployer ha l'obbligo di segnalarlo all'autorità nazionale competente.

In Italia, l'autorità di vigilanza designata è l'Agenzia per la Cybersicurezza Nazionale (ACN), che ha anche funzioni di coordinamento nell'applicazione dell'AI Act a livello nazionale, in raccordo con le altre autorità di settore (Garante Privacy, Banca d'Italia, AGCOM, ecc.).

Per le PMI con meno di 10 dipendenti, l'AI Act prevede alcune semplificazioni procedurali, in particolare riguardo alla documentazione tecnica semplificata. Tuttavia, gli obblighi sostanziali — supervisione umana, formazione, informativa — rimangono applicabili. È importante non confondere le semplificazioni burocratiche con un'esenzione dagli obblighi di sicurezza e trasparenza.

Come prepararsi concretamente: un piano d'azione per le PMI italiane prima di agosto 2026

La buona notizia è che agosto 2026, pur essendo vicino, lascia ancora tempo sufficiente per strutturare un percorso di conformità efficace, a patto di iniziare subito. Aspettare significa ridursi a dover fare tutto in fretta, con rischi di errori e costi più elevati. Ecco un approccio pratico in fasi che ogni PMI italiana può adottare.

Fase 1 — Inventario degli strumenti AI (entro fine 2025): il primo passo è mappare tutti gli strumenti software che usano componenti di intelligenza artificiale, anche in modo non ovvio. Molti software gestionali (ERP, CRM, HRM) integrano oggi funzionalità AI senza che l'utente ne sia consapevole. Chiedere esplicitamente ai propri fornitori se il prodotto contiene componenti AI e in quale categoria di rischio rientra secondo l'AI Act.

Fase 2 — Valutazione del rischio e classificazione (primo trimestre 2026): per ogni strumento identificato, determinare se si tratta di un sistema ad alto rischio secondo l'Allegato III del Regolamento. In caso di dubbio, è consigliabile consultare un professionista legale o un consulente IT specializzato in conformità normativa.

Fase 3 — Verifica dei fornitori (primo semestre 2026): per i sistemi ad alto rischio, richiedere ai propri vendor tutta la documentazione prevista dall'AI Act: dichiarazione di conformità UE, documentazione tecnica, istruzioni per l'uso aggiornate. Un fornitore serio e conforme non avrà difficoltà a fornirla.

  • Richiedere copia della dichiarazione di conformità UE del sistema.
  • Verificare che il sistema abbia la marcatura CE (per le categorie che la richiedono).
  • Ottenere le istruzioni aggiornate per l'uso in conformità all'AI Act.
  • Chiedere informazioni sulle politiche di aggiornamento e manutenzione del sistema.

Fase 4 — Implementazione delle misure organizzative (entro luglio 2026): definire le procedure interne per la supervisione umana, nominare i responsabili, avviare i programmi di formazione del personale coinvolto e attivare la conservazione dei log. Aggiornare le informative privacy (in coordinamento con il proprio DPO, se presente) per includere riferimenti all'uso di sistemi di IA.

Un approccio integrato con il GDPR è consigliabile: molti degli obblighi di AI Act si sovrappongono con quelli già previsti dalla normativa sulla protezione dei dati, e una governance unica è più efficiente e sostenibile per le PMI con risorse limitate.

Domande frequenti

Cosa rischia una PMI italiana che non si adegua all'AI Act entro agosto 2026?

Le sanzioni previste dall'AI Act sono significative e progressive in base alla gravità della violazione. Per le violazioni più gravi (uso di sistemi vietati o mancato rispetto degli obblighi per i sistemi ad alto rischio), le sanzioni possono arrivare fino a 30 milioni di euro o al 6% del fatturato mondiale annuo dell'azienda, se superiore. Per le PMI, le autorità nazionali sono chiamate ad applicare le sanzioni in modo proporzionato, tenendo conto delle dimensioni e delle capacità economiche dell'azienda. Tuttavia, la non conformità espone anche a rischi reputazionali, blocchi operativi e responsabilità civili nei confronti delle persone danneggiate da decisioni automatizzate non conformi.

Un'azienda che usa solo software come ChatGPT o Microsoft Copilot è soggetta all'AI Act?

L'utilizzo di strumenti di IA generativa come ChatGPT o Microsoft Copilot per attività di supporto interno (redazione testi, riassunti, analisi dati) generalmente non comporta obblighi pesanti, poiché questi strumenti non rientrano tipicamente nella categoria ad alto rischio. Tuttavia, se tali strumenti vengono integrati in processi decisionali che impattano su persone fisiche — ad esempio nella selezione del personale o nella valutazione dei clienti — la situazione cambia. Inoltre, per i modelli di IA generativa classificati come GPAI, i fornitori hanno obblighi specifici (applicabili da agosto 2025) che influenzano indirettamente anche gli utilizzatori aziendali in termini di trasparenza e utilizzo consentito.

Le PMI con meno di 10 dipendenti hanno esenzioni dall'AI Act?

L'AI Act prevede alcune semplificazioni procedurali per le microimprese (meno di 10 dipendenti e fatturato o totale di bilancio annuo non superiore a 2 milioni di euro), in particolare riguardo alla documentazione tecnica richiesta ai provider. Tuttavia, queste semplificazioni riguardano prevalentemente chi sviluppa sistemi di IA, non necessariamente chi li utilizza. Gli obblighi sostanziali per i deployer — come la supervisione umana, la formazione e l'informativa — si applicano indipendentemente dalle dimensioni aziendali quando si tratta di sistemi ad alto rischio. In ogni caso, l'approccio proporzionale raccomandato dalle autorità europee suggerisce che i controlli si concentreranno prioritariamente sulle realtà più grandi e sui casi di danno concreto.

Come faccio a sapere se il software che uso è considerato un sistema di IA ad alto rischio?

Il primo passo è leggere la documentazione del proprio software e chiedere esplicitamente al fornitore se il prodotto rientra nella definizione di sistema di IA ai sensi dell'AI Act e, in caso affermativo, in quale categoria di rischio è classificato. I fornitori seri e conformi stanno già producendo questa documentazione. In alternativa, è possibile consultare le linee guida che la Commissione Europea sta pubblicando progressivamente per supportare le aziende nella classificazione. Se il software viene usato per prendere decisioni automatiche o semi-automatiche in aree come risorse umane, credito, sicurezza o infrastrutture, è altamente probabile che rientri nella categoria ad alto rischio e vale la pena approfondire con un consulente specializzato.

Conclusione

L'AI Act non è una minaccia per le PMI italiane: è un'opportunità per strutturare in modo responsabile e sostenibile l'uso delle tecnologie di intelligenza artificiale che già oggi fanno parte della nostra operatività quotidiana. Agosto 2026 si avvicina, ma chi inizia adesso ha il tempo necessario per fare le cose bene, senza fretta e senza costi eccessivi. Il punto di partenza è semplice: capire quali strumenti si usano, classificarli correttamente e parlare con i propri fornitori e consulenti.

La conformità normativa, in questo caso, va di pari passo con una migliore governance aziendale della tecnologia. Un'azienda che sa quali sistemi AI utilizza, chi ne è responsabile e come vengono supervisionati è un'azienda più solida, più affidabile e più competitiva sul mercato. Non lasciare che la complessità apparente del Regolamento diventi un alibi per l'inazione: ogni giorno che passa senza una valutazione interna è un giorno perso in termini di preparazione.

Hai bisogno di capire se la tua azienda è conforme all'AI Act o vuoi strutturare un piano d'azione concreto? Contatta oggi stesso un esperto IT specializzato in conformità normativa e sicurezza digitale. Un'analisi iniziale del tuo parco applicativo e dei tuoi processi può essere il primo passo verso una gestione serena e consapevole dell'intelligenza artificiale nella tua impresa. Non aspettare l'ultimo momento: prenota una consulenza e inizia il tuo percorso verso la conformità all'AI Act con il supporto di professionisti esperti.