AI Act e PMI: cosa cambia davvero per una piccola impresa

L’AI Act è il regolamento (UE) 2024/1689 sull’intelligenza artificiale. Per una PMI che usa strumenti di AI sviluppati da altri, gli obblighi dipendono dal ruolo e dall’uso concreto: alcune regole valgono già, altre scattano il 2 dicembre 2026 e il 2 dicembre 2027. Il calendario è stato rivisto dal regolamento (UE) 2026/1744, l’omnibus digitale sull’AI pubblicato nella Gazzetta ufficiale dell’Unione europea del 24 luglio 2026.

In sintesi: per una piccola impresa che usa l’AI, l’AI Act chiede soprattutto di sapere quali strumenti usa, per fare cosa, e se qualcuno di essi rientra nei casi vietati, negli obblighi di trasparenza o nell’alto rischio. Questo articolo mette in ordine cosa vale e da quando, e cosa conviene fare adesso.

AI Act e PMI: che ruolo ha la tua impresa?

L’AI Act distribuisce gli obblighi per ruolo. I due ruoli che contano per una PMI sono:

• fornitore: chi sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio;
• deployer: chi usa un sistema di AI sotto la propria autorità nell’attività professionale.

Se la tua impresa usa un assistente di scrittura, un gestionale con funzioni di AI o un software di selezione del personale comprato da altri, nella maggior parte dei casi è un deployer. Attenzione però: l’articolo 25 prevede casi in cui chi interviene su un sistema ad alto rischio, per esempio apponendovi il proprio nome o marchio (salvo accordi contrattuali che ripartiscano diversamente gli obblighi) o modificandolo in modo sostanziale, viene considerato fornitore, con obblighi molto più pesanti.

Dal 2026 il regolamento contiene anche una definizione di PMI, quella della raccomandazione 2003/361/CE, e una delle piccole imprese a media capitalizzazione, quelle appena sopra le soglie delle PMI, a cui l’omnibus estende alcune delle agevolazioni.

Cosa vale già oggi

Le pratiche vietate. L’articolo 5 si applica dal 2 febbraio 2025. Fra i divieti, quello che una PMI rischia più facilmente di incrociare è l’uso di sistemi che deducono le emozioni di una persona sul luogo di lavoro o negli istituti di istruzione, salvo che l’uso sia previsto per motivi medici o di sicurezza. Il 2 dicembre 2026 si aggiungono due divieti introdotti dall’omnibus: i sistemi che generano o manipolano immagini, video e audio realistici o materiale analogo delle parti intime di una persona riconoscibile, o di una persona riconoscibile che partecipa ad atti sessualmente espliciti, senza il suo consenso liberamente prestato, specifico, informato e inequivocabile; e i sistemi che generano o manipolano materiale o spettacoli pedopornografici ai sensi della direttiva 2011/93/UE, salvo una causa di giustificazione prevista dal diritto nazionale. Entrambi valgono alle condizioni dei nuovi paragrafi 1 bis e 1 ter dell’articolo 5.

L’alfabetizzazione sull’AI. L’articolo 4 è stato riscritto dall’omnibus. Oggi chiede a fornitori e deployer di adottare misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di AI del personale e di chi usa i sistemi per loro conto, tenendo conto delle conoscenze, dell’esperienza e del contesto d’uso. Il testo precisa che questo obbligo non impone di garantire un livello specifico di alfabetizzazione a nessuna persona. Commissione e Stati membri devono sostenere questi sforzi, in particolare quelli delle PMI, e la Commissione pubblica esempi pratici su come adempiere.

La trasparenza. L’articolo 50 si applica dal 2 agosto 2026. Per una PMI deployer il punto più concreto è il paragrafo 4: chi usa un sistema di AI per generare o manipolare immagini, audio o video che costituiscono un deep fake deve rendere noto che il contenuto è artificiale; per le opere manifestamente artistiche, creative, satiriche o fittizie resta l’obbligo di rivelare l’esistenza del contenuto, in modo adeguato e senza ostacolare la fruizione dell’opera. Lo stesso paragrafo riguarda il testo generato o manipolato e pubblicato per informare il pubblico su questioni di interesse pubblico, salvo che il testo sia stato sottoposto a revisione umana o a controllo editoriale e qualcuno ne abbia la responsabilità editoriale. Gli obblighi di informare chi parla con un sistema di AI (paragrafo 1) e di marcare i contenuti sintetici (paragrafo 2) sono invece in capo ai fornitori; per i sistemi generativi già sul mercato prima del 2 agosto 2026, l’omnibus concede ai fornitori tempo fino al 2 dicembre 2026 per adeguarsi alla marcatura.

Cosa scatta per l’alto rischio, e quando

L’omnibus ha spostato in avanti gli obblighi sui sistemi ad alto rischio. Le sezioni 1, 2 e 3 del capo III si applicano:

1. dal 2 dicembre 2027 ai sistemi ad alto rischio dell’articolo 6, paragrafo 2, e dell’allegato III;
2. dal 2 agosto 2028 a quelli dell’articolo 6, paragrafo 1, e dell’allegato I, cioè l’AI integrata in prodotti già regolati dalle norme europee di sicurezza.

Per una PMI deployer l’allegato III è quello da guardare. Fra i casi elencati ci sono i sistemi usati per selezionare il personale (annunci mirati, analisi e filtro delle candidature, valutazione dei candidati), per prendere decisioni sul rapporto di lavoro (promozioni, cessazioni, assegnazione dei compiti in base al comportamento o alle caratteristiche personali, monitoraggio e valutazione delle prestazioni), per valutare i risultati dell’apprendimento nell’istruzione e nella formazione professionale, e per valutare il merito di credito delle persone fisiche, salvo i sistemi usati per individuare frodi finanziarie. Rientrare in una di queste aree non basta: l’articolo 6, paragrafo 3, esclude dall’alto rischio i sistemi che non presentano un rischio significativo, per esempio perché svolgono un compito procedurale limitato o preparatorio, ma la deroga non vale se il sistema effettua profilazione di persone fisiche.

Da quelle date, chi usa un sistema ad alto rischio dovrà fra l’altro, secondo l’articolo 26:

• usarlo secondo le istruzioni del fornitore, con misure tecniche e organizzative adeguate;
• affidare la sorveglianza umana a persone con la competenza, la formazione e l’autorità necessarie;
• monitorarne il funzionamento e conservare i log generati automaticamente, nella misura in cui sono sotto il suo controllo, per un periodo adeguato alla finalità del sistema e di almeno sei mesi;
• se è un datore di lavoro, informare i rappresentanti dei lavoratori e i lavoratori interessati prima di mettere in servizio il sistema sul luogo di lavoro.

Il rinvio al dicembre 2027 è tempo per prepararsi, non un esonero: se un software di selezione è classificato ad alto rischio, il fornitore dovrà adeguarlo e chi lo usa dovrà saperlo governare.

Le sanzioni per le PMI

Le sanzioni le stabiliscono gli Stati membri entro i limiti dell’articolo 99: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate, fino a 15 milioni o al 3% per la violazione degli obblighi elencati all’articolo 99, paragrafo 4, fra cui quelli dei deployer di sistemi ad alto rischio (articolo 26) e quelli di trasparenza (articolo 50). Per le PMI, comprese le start-up, ciascuna sanzione è pari al massimo alla percentuale o all’importo, se inferiore; l’omnibus estende questa regola alle piccole imprese a media capitalizzazione per le sanzioni dei paragrafi 4 e 5, non per quelle sulle pratiche vietate, e chiede agli Stati di tenere conto degli interessi delle PMI e della loro sostenibilità economica.

Sul fronte italiano, la parte penale e civile è stata trattata nel nostro articolo sul D.Lgs. 160/2026, e l’uso dell’AI nelle decisioni sul personale in quello sul D.Lgs. 179/2026.

Cosa fare adesso: cinque passi per una piccola impresa

1. Fare l’inventario degli strumenti di AI in uso, compresi quelli dentro software che l’impresa già paga: chi li usa, per cosa, con quali dati.
2. Controllare i casi vietati e quelli ad alto rischio: verificare che eventuali sistemi che deducono le emozioni sul luogo di lavoro non ricadano nel divieto, tenendo conto dell’eccezione per motivi medici o di sicurezza, e fare un elenco dei sistemi che toccano selezione, valutazione del personale, formazione o credito, da classificare con il fornitore.
3. Decidere le regole sui contenuti generati: chi pubblica, con quale revisione, e come si segnala un deep fake quando l’obbligo di trasparenza si applica.
4. Organizzare l’alfabetizzazione: poche ore mirate per chi usa davvero gli strumenti, legate ai rischi del proprio lavoro, e una traccia scritta di cosa si è fatto.
5. Chiedere ai fornitori se il loro prodotto rientra nell’alto rischio e come intendono adeguarlo entro la data applicabile (2 dicembre 2027 per i sistemi ad alto rischio dell’allegato III, 2 agosto 2028 per quelli ad alto rischio ai sensi dell’articolo 6, paragrafo 1, e dell’allegato I), e conservare la documentazione che consegnano.

A mio giudizio il passo che conta di più è il primo: senza un inventario degli usi reali, ogni discussione sull’AI Act resta astratta. È lo stesso punto di partenza che ho descritto in intelligenza artificiale in azienda: da dove partire. Questo articolo è un’informazione generale e non sostituisce un parere legale sul singolo caso.

Domande frequenti

L’AI Act si applica anche alle piccole imprese?

Sì. Non esiste un’esenzione per dimensione: gli obblighi dipendono dal ruolo (fornitore o deployer) e dal tipo di sistema. Le PMI hanno però agevolazioni, come la documentazione tecnica semplificata per i fornitori, l’accesso prioritario agli spazi di sperimentazione normativa per chi soddisfa le condizioni di ammissibilità e i criteri di selezione, e tetti alle sanzioni.

Se uso solo un assistente di AI per scrivere testi devo fare qualcosa?

Di regola quell’uso non è ad alto rischio. Restano l’alfabetizzazione del personale e, se pubblichi testi generati per informare il pubblico su questioni di interesse pubblico, l’obbligo di dichiararli. L’obbligo non si applica se il testo è passato da una revisione umana o da un controllo editoriale e una persona fisica o giuridica ne ha la responsabilità editoriale.

Quando scattano gli obblighi sui sistemi ad alto rischio?

Dal 2 dicembre 2027 per i sistemi classificati ad alto rischio in base all’allegato III, che comprende aree come selezione del personale, valutazione delle prestazioni e merito di credito; dal 2 agosto 2028 per i sistemi classificati ad alto rischio ai sensi dell’articolo 6, paragrafo 1, e dell’allegato I.

La formazione sull’AI per i dipendenti è obbligatoria?

L’articolo 4 chiede di adottare misure per sostenere l’alfabetizzazione sull’AI di chi usa i sistemi, senza imporre un livello specifico. Non prescrive un corso o un attestato: la forma la sceglie l’impresa, in proporzione all’uso.

Se vuoi capire quali strumenti di AI usa davvero la tua impresa, quali ricadono negli obblighi dell’AI Act e cosa conviene sistemare prima del dicembre 2027, scrivimi a [email protected]: partiamo da una diagnosi dei processi e da un inventario degli usi reali. Qui trovi come lavoro sulla trasformazione digitale.