Il Regolamento Europeo sull'Intelligenza Artificiale, comunemente noto come AI Act (Regolamento UE 2024/1689), è entrato in vigore il 1° agosto 2024 e sta già disegnando il nuovo perimetro normativo entro cui le imprese europee dovranno operare nei prossimi anni. Per le piccole e medie imprese italiane, il 2026 rappresenta una data cruciale: entro agosto di quell'anno, infatti, diventeranno pienamente applicabili le disposizioni relative ai sistemi di intelligenza artificiale ad alto rischio, una categoria che riguarda un numero molto più ampio di realtà aziendali di quanto si possa inizialmente pensare.

L'Italia è uno dei paesi europei con la più alta densità di PMI: secondo i dati ISTAT, le piccole e medie imprese rappresentano oltre il 99% del tessuto imprenditoriale nazionale e danno lavoro a circa il 75% degli addetti del settore privato. Questo significa che la stragrande maggioranza delle imprese italiane non può permettersi di ignorare l'AI Act, soprattutto in un momento in cui l'adozione di strumenti basati sull'intelligenza artificiale sta crescendo rapidamente anche nelle realtà più piccole. Dall'automazione dei processi HR alla gestione del credito, dai sistemi di selezione del personale agli strumenti di scoring finanziario: l'AI è già entrata nelle PMI, spesso senza che i responsabili aziendali ne fossero pienamente consapevoli.

Questo articolo nasce con l'obiettivo di offrire una guida pratica e concreta per gli imprenditori e i responsabili IT delle PMI italiane che devono iniziare — o accelerare — il proprio percorso di conformità. Analizzeremo cosa si intende per sistemi ad alto rischio, quali obblighi concreti derivano dall'AI Act, come organizzarsi internamente e quali sono le domande più frequenti che riceviamo da chi si trova ad affrontare questa sfida per la prima volta.

Cosa sono i sistemi di AI ad alto rischio secondo l'AI Act: definizione e categorie rilevanti per le PMI

L'AI Act adotta un approccio basato sul rischio, classificando i sistemi di intelligenza artificiale in quattro livelli: rischio inaccettabile (vietati), alto rischio, rischio limitato e rischio minimo. La categoria che più impatta sulle PMI italiane è quella dei sistemi ad alto rischio, disciplinata dall'Allegato III del Regolamento.

Un sistema di AI è considerato ad alto rischio quando viene impiegato in settori o applicazioni che possono avere un impatto significativo sulla salute, la sicurezza o i diritti fondamentali delle persone. Questo non riguarda solo le grandi multinazionali della tecnologia: molte PMI utilizzano o stanno valutando di adottare strumenti che rientrano esattamente in questa categoria.

Le categorie più rilevanti per le PMI italiane includono:

  • Gestione e selezione del personale: software di screening dei curriculum, strumenti di valutazione delle prestazioni o sistemi di monitoraggio dei dipendenti basati su AI.
  • Accesso a servizi finanziari privati e pubblici: algoritmi per la valutazione del merito creditizio o la concessione di prestiti (scoring automatico).
  • Istruzione e formazione professionale: sistemi che determinano l'accesso a percorsi educativi o valutano le competenze.
  • Sicurezza dei prodotti: componenti AI integrate in macchinari, dispositivi medici o veicoli soggetti a normative di sicurezza esistenti.
  • Infrastrutture critiche: sistemi di gestione della rete idrica, elettrica o del traffico (meno frequente nelle PMI, ma possibile per aziende di servizi).

Un esempio pratico: una PMI manifatturiera che utilizza un software di HR tech per filtrare automaticamente le candidature potrebbe già possedere un sistema ad alto rischio. Lo stesso vale per una società di leasing che usa un algoritmo per approvare o rifiutare le richieste di finanziamento.

Obblighi concreti entro agosto 2026: cosa deve fare una PMI italiana per essere conforme

Le scadenze dell'AI Act sono scaglionate nel tempo. Le norme sui sistemi ad alto rischio di cui all'Allegato III diventano pienamente applicabili il 2 agosto 2026, mentre alcune disposizioni relative ai sistemi ad alto rischio già soggetti a normative di sicurezza di prodotto (Allegato I) entreranno in vigore solo nel 2027. Questo significa che le PMI hanno ancora un finestra operativa, ma è necessario agire ora per evitare di arrivare impreparate.

Gli obblighi principali per le PMI che utilizzano o sviluppano sistemi AI ad alto rischio sono i seguenti:

  • Sistema di gestione del rischio: è obbligatorio implementare un processo continuo di identificazione, analisi e mitigazione dei rischi associati al sistema AI, documentato e aggiornato nel ciclo di vita del prodotto.
  • Governance dei dati: i dataset utilizzati per addestrare, validare e testare il sistema devono rispettare criteri di qualità, pertinenza e rappresentatività, con attenzione particolare alla prevenzione dei bias.
  • Documentazione tecnica: è necessario produrre e mantenere una documentazione tecnica dettagliata che descriva il sistema, le sue finalità, le prestazioni attese e i limiti.
  • Trasparenza e informazione agli utenti: chi utilizza il sistema (il cosiddetto deployer, cioè il soggetto che mette in uso il sistema AI) deve fornire agli utenti finali informazioni chiare sul funzionamento e sui limiti del sistema.
  • Supervisione umana: devono essere previste misure che consentano alle persone di monitorare, intervenire o disattivare il sistema AI in uso.
  • Accuratezza, robustezza e cybersicurezza: il sistema deve essere progettato per resistere a errori, manipolazioni e attacchi informatici, con metriche di accuratezza documentate.
  • Registrazione nel database EU: i sistemi ad alto rischio devono essere registrati nella banca dati europea gestita dalla Commissione UE, ad eccezione di alcuni casi specifici.
  • Dichiarazione di conformità UE e marcatura CE: prima di immettere sul mercato o mettere in servizio un sistema ad alto rischio, è necessaria una procedura di valutazione della conformità.

Per le PMI che non sviluppano sistemi AI in proprio ma li acquistano da fornitori terzi (il che è il caso più comune), è fondamentale comprendere il proprio ruolo nella catena di responsabilità. Il deployer, cioè l'azienda che usa il sistema, ha obblighi specifici anche se non è il produttore: deve verificare che il fornitore abbia rispettato le proprie obbligazioni, implementare la supervisione umana e segnalare eventuali incidenti gravi all'autorità competente.

Come organizzarsi internamente: governance AI e ruoli chiave nelle PMI italiane

Una delle sfide più concrete per le PMI italiane è quella organizzativa: come strutturare internamente la conformità all'AI Act senza disporre di un dipartimento legale dedicato o di risorse IT illimitate? La risposta sta nell'adottare un approccio pragmatico e proporzionato, che parta da un'analisi chiara del proprio portafoglio di strumenti AI.

Il primo passo consiste nel condurre un inventario dei sistemi AI in uso. Molte PMI si sorprendono nello scoprire quanti strumenti basati su AI stiano già utilizzando: dai CRM con funzioni predittive, ai software di contabilità con automazione intelligente, fino ai chatbot per il customer service. Non tutti questi strumenti rientrano nella categoria ad alto rischio, ma è necessario valutarli uno per uno.

Successivamente, è opportuno designare un referente interno per la conformità AI, che può coincidere con il responsabile IT, il DPO (Data Protection Officer) già presente per il GDPR, o un consulente esterno. Questo referente avrà il compito di coordinare le attività di conformità, interfacciarsi con i fornitori di tecnologia e tenere aggiornata la documentazione richiesta.

Gli step operativi consigliati per una PMI sono:

  1. Mappatura di tutti i sistemi AI in uso o in valutazione.
  2. Classificazione del livello di rischio per ciascun sistema.
  3. Per i sistemi ad alto rischio: avvio della procedura di valutazione della conformità.
  4. Revisione dei contratti con i fornitori di AI per verificare le responsabilità.
  5. Formazione del personale che utilizza i sistemi AI.
  6. Implementazione di procedure di supervisione umana e di gestione degli incidenti.

È importante ricordare che l'AI Act prevede misure di supporto specifiche per le PMI: le regulatory sandbox nazionali, ambienti controllati in cui sperimentare sistemi AI sotto la supervisione delle autorità, sono accessibili anche alle piccole imprese e possono rappresentare un'opportunità concreta per sviluppare soluzioni conformi senza il pieno peso regolatorio fin dall'inizio.

Sanzioni, autorità competente in Italia e rischi per chi non si adegua

L'AI Act prevede un sistema sanzionatorio significativo, che le PMI non possono sottovalutare. Le sanzioni amministrative per le violazioni più gravi — come l'immissione sul mercato di sistemi ad alto rischio non conformi — possono arrivare fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, se superiore. Per le PMI il calcolo è generalmente basato sul fatturato, ma anche una percentuale ridotta può rappresentare un impatto economico considerevole.

In Italia, l'autorità nazionale competente per la vigilanza e l'applicazione dell'AI Act non è ancora stata definitivamente designata al momento della stesura di questo articolo, ma il processo è in corso a livello governativo. È probabile che il ruolo venga attribuito ad AgID (Agenzia per l'Italia Digitale) in coordinamento con altre autorità settoriali come il Garante Privacy, la Banca d'Italia o l'IVASS, a seconda del settore di applicazione. Monitorare gli sviluppi istituzionali italiani è quindi fondamentale nei prossimi mesi.

Oltre alle sanzioni dirette, le PMI devono considerare i rischi reputazionali e contrattuali. Sempre più spesso, i grandi committenti pubblici e privati inseriscono clausole di conformità normativa nei capitolati di gara e nei contratti di fornitura. Non essere conformi all'AI Act potrebbe tradursi in esclusione da appalti pubblici o in rescissione di contratti con clienti enterprise. In un mercato in cui la fiducia digitale diventa un fattore competitivo, la conformità non è solo un obbligo: è un vantaggio strategico.

Domande frequenti

La mia PMI usa un chatbot sul sito web: è soggetta all'AI Act come sistema ad alto rischio?

In generale, no. I chatbot di customer service standard, che forniscono informazioni generali o supporto base, rientrano nella categoria a rischio limitato, non ad alto rischio. Per questi sistemi, l'AI Act prevede principalmente obblighi di trasparenza: l'utente deve essere informato che sta interagendo con un sistema AI e non con un essere umano. Se però il chatbot viene utilizzato per prendere decisioni che incidono sui diritti dell'utente — ad esempio per valutare l'ammissibilità a un servizio finanziario o assicurativo — la classificazione potrebbe cambiare. È sempre consigliabile effettuare una valutazione specifica del caso d'uso concreto.

Chi è responsabile della conformità: il fornitore del software AI o la nostra azienda che lo usa?

L'AI Act distingue chiaramente tra provider (il fornitore/sviluppatore del sistema AI) e deployer (chi mette in uso il sistema). Entrambi hanno responsabilità distinte. Il provider è responsabile della conformità tecnica, della documentazione e della marcatura CE del sistema. Il deployer — cioè la vostra PMI — è responsabile dell'utilizzo conforme alle istruzioni del provider, dell'implementazione della supervisione umana, della formazione del personale e della segnalazione degli incidenti. In pratica, acquistare un sistema AI certificato non esonera la vostra azienda da tutti gli obblighi: è indispensabile rivedere i contratti con i fornitori e assicurarsi che le responsabilità siano chiaramente ripartite per iscritto.

Come si svolge la procedura di valutazione della conformità per un sistema ad alto rischio?

Per la maggior parte dei sistemi ad alto rischio elencati nell'Allegato III, la valutazione della conformità può essere condotta internamente dal provider (autovalutazione), senza necessità di coinvolgere un organismo notificato di terze parti. Il provider deve dimostrare — attraverso documentazione tecnica, test e procedure di gestione del rischio — che il sistema rispetta tutti i requisiti dell'AI Act. Solo per alcune categorie specifiche, come i sistemi biometrici di identificazione remota, è richiesta la valutazione da parte di un organismo esterno accreditato. Al termine del processo, viene redatta la Dichiarazione di Conformità UE e apposta la marcatura CE.

Le PMI hanno agevolazioni o percorsi semplificati per adeguarsi all'AI Act?

Sì. L'AI Act riconosce esplicitamente la specificità delle PMI e delle startup. Il Regolamento prevede che gli Stati Membri istituiscano regulatory sandbox nazionali, ambienti controllati in cui le imprese — con priorità alle PMI — possono sviluppare e testare sistemi AI innovativi con un regime normativo alleggerito e sotto la supervisione delle autorità. Inoltre, le sanzioni tengono conto delle dimensioni e della capacità economica dell'impresa: per le PMI, le multe sono calcolate in modo proporzionato. A livello europeo, la Commissione ha previsto linee guida specifiche e strumenti di supporto per aiutare le piccole imprese nel percorso di conformità. In Italia, seguire i canali di AgID e Confartigianato/Confindustria può essere utile per accedere a supporto e formazione dedicata.

Conclusione

L'AI Act non è un ostacolo burocratico da subire, ma un'opportunità per le PMI italiane di costruire un utilizzo dell'intelligenza artificiale che sia solido, affidabile e competitivo sul mercato europeo. Agosto 2026 potrebbe sembrare lontano, ma i processi di mappatura, valutazione e documentazione richiesti richiedono tempo e una pianificazione attenta: chi inizia adesso avrà un vantaggio significativo rispetto a chi aspetta.

La complessità della materia — che incrocia diritto europeo, tecnologia, gestione del rischio e contrattualistica — rende spesso necessario il supporto di professionisti specializzati. Un consulente IT o un advisor legale esperto di AI governance può aiutare la vostra PMI a identificare i sistemi critici, impostare la documentazione corretta e formare il personale, evitando sia sanzioni che inefficienze operative.

Non aspettare l'ultimo momento: contatta oggi stesso un esperto IT specializzato in conformità AI per un assessment gratuito del tuo portafoglio tecnologico e scopri quali passi concreti devi compiere per essere pronto ad agosto 2026. Investire nella conformità oggi significa proteggere il business di domani.