--- title: "AI Act e PMI: cosa cambia davvero per una piccola impresa" description: "AI Act e PMI dopo l’omnibus del luglio 2026: cosa vale già, cosa scatta il 2 dicembre 2026 e nel 2027, e i passi concreti per chi usa l’AI." url: "https://hansburtin.com/articoli/ai-act-pmi-cosa-cambia-piccola-impresa" lang: "it" author: "Hans Burtin" date: "2026-10-27" category: "Trasformazione digitale" --- # AI Act e PMI: cosa cambia davvero per una piccola impresa L’**AI Act** è il [regolamento (UE) 2024/1689](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) sull’intelligenza artificiale. Per una PMI che usa strumenti di AI sviluppati da altri, gli obblighi dipendono dal ruolo e dall’uso concreto: alcune regole valgono già, altre scattano il **2 dicembre 2026** e il **2 dicembre 2027**. Il calendario è stato rivisto dal [regolamento (UE) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj), l’omnibus digitale sull’AI pubblicato nella Gazzetta ufficiale dell’Unione europea del 24 luglio 2026. In sintesi: per una piccola impresa che usa l’AI, l’AI Act chiede soprattutto di sapere quali strumenti usa, per fare cosa, e se qualcuno di essi rientra nei casi vietati, negli obblighi di trasparenza o nell’alto rischio. Questo articolo mette in ordine cosa vale e da quando, e cosa conviene fare adesso. ## AI Act e PMI: che ruolo ha la tua impresa? L’AI Act distribuisce gli obblighi per ruolo. I due ruoli che contano per una PMI sono: - **fornitore**: chi sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio; - **deployer**: chi usa un sistema di AI sotto la propria autorità nell’attività professionale. Se la tua impresa usa un assistente di scrittura, un gestionale con funzioni di AI o un software di selezione del personale comprato da altri, nella maggior parte dei casi è un deployer. Attenzione però: l’articolo 25 prevede casi in cui chi interviene su un sistema ad alto rischio, per esempio apponendovi il proprio nome o marchio (salvo accordi contrattuali che ripartiscano diversamente gli obblighi) o modificandolo in modo sostanziale, viene considerato fornitore, con obblighi molto più pesanti. Dal 2026 il regolamento contiene anche una definizione di PMI, quella della [raccomandazione 2003/361/CE](https://eur-lex.europa.eu/eli/reco/2003/361/oj), e una delle **piccole imprese a media capitalizzazione**, quelle appena sopra le soglie delle PMI, a cui l’omnibus estende alcune delle agevolazioni. ## Cosa vale già oggi **Le pratiche vietate.** L’articolo 5 si applica dal 2 febbraio 2025. Fra i divieti, quello che una PMI rischia più facilmente di incrociare è l’uso di sistemi che **deducono le emozioni** di una persona sul luogo di lavoro o negli istituti di istruzione, salvo che l’uso sia previsto per motivi medici o di sicurezza. Il 2 dicembre 2026 si aggiungono due divieti introdotti dall’omnibus: i sistemi che generano o manipolano immagini, video e audio realistici o materiale analogo delle parti intime di una persona riconoscibile, o di una persona riconoscibile che partecipa ad atti sessualmente espliciti, senza il suo consenso liberamente prestato, specifico, informato e inequivocabile; e i sistemi che generano o manipolano materiale o spettacoli pedopornografici ai sensi della direttiva 2011/93/UE, salvo una causa di giustificazione prevista dal diritto nazionale. Entrambi valgono alle condizioni dei nuovi paragrafi 1 bis e 1 ter dell’articolo 5. **L’alfabetizzazione sull’AI.** L’articolo 4 è stato riscritto dall’omnibus. Oggi chiede a fornitori e deployer di **adottare misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di AI** del personale e di chi usa i sistemi per loro conto, tenendo conto delle conoscenze, dell’esperienza e del contesto d’uso. Il testo precisa che questo obbligo non impone di garantire un livello specifico di alfabetizzazione a nessuna persona. Commissione e Stati membri devono sostenere questi sforzi, in particolare quelli delle PMI, e la Commissione pubblica esempi pratici su come adempiere. **La trasparenza.** L’articolo 50 si applica dal 2 agosto 2026. Per una PMI deployer il punto più concreto è il paragrafo 4: chi usa un sistema di AI per generare o manipolare immagini, audio o video che costituiscono un **deep fake** deve rendere noto che il contenuto è artificiale; per le opere manifestamente artistiche, creative, satiriche o fittizie resta l’obbligo di rivelare l’esistenza del contenuto, in modo adeguato e senza ostacolare la fruizione dell’opera. Lo stesso paragrafo riguarda il testo generato o manipolato e pubblicato per informare il pubblico su questioni di interesse pubblico, salvo che il testo sia stato sottoposto a revisione umana o a controllo editoriale e qualcuno ne abbia la responsabilità editoriale. Gli obblighi di informare chi parla con un sistema di AI (paragrafo 1) e di marcare i contenuti sintetici (paragrafo 2) sono invece in capo ai **fornitori**; per i sistemi generativi già sul mercato prima del 2 agosto 2026, l’omnibus concede ai fornitori tempo fino al **2 dicembre 2026** per adeguarsi alla marcatura. ## Cosa scatta per l’alto rischio, e quando L’omnibus ha spostato in avanti gli obblighi sui sistemi ad alto rischio. Le sezioni 1, 2 e 3 del capo III si applicano: 1. dal **2 dicembre 2027** ai sistemi ad alto rischio dell’articolo 6, paragrafo 2, e dell’[allegato III](https://eur-lex.europa.eu/eli/reg/2024/1689/oj); 2. dal **2 agosto 2028** a quelli dell’articolo 6, paragrafo 1, e dell’allegato I, cioè l’AI integrata in prodotti già regolati dalle norme europee di sicurezza. Per una PMI deployer l’allegato III è quello da guardare. Fra i casi elencati ci sono i sistemi usati per **selezionare il personale** (annunci mirati, analisi e filtro delle candidature, valutazione dei candidati), per **prendere decisioni sul rapporto di lavoro** (promozioni, cessazioni, assegnazione dei compiti in base al comportamento o alle caratteristiche personali, monitoraggio e valutazione delle prestazioni), per **valutare i risultati dell’apprendimento** nell’istruzione e nella formazione professionale, e per **valutare il merito di credito** delle persone fisiche, salvo i sistemi usati per individuare frodi finanziarie. Rientrare in una di queste aree non basta: l’articolo 6, paragrafo 3, esclude dall’alto rischio i sistemi che non presentano un rischio significativo, per esempio perché svolgono un compito procedurale limitato o preparatorio, ma la deroga non vale se il sistema effettua profilazione di persone fisiche. Da quelle date, chi usa un sistema ad alto rischio dovrà fra l’altro, secondo l’articolo 26: - usarlo secondo le istruzioni del fornitore, con misure tecniche e organizzative adeguate; - affidare la **sorveglianza umana** a persone con la competenza, la formazione e l’autorità necessarie; - monitorarne il funzionamento e conservare i log generati automaticamente, nella misura in cui sono sotto il suo controllo, per un periodo adeguato alla finalità del sistema e di almeno sei mesi; - se è un datore di lavoro, **informare i rappresentanti dei lavoratori e i lavoratori interessati** prima di mettere in servizio il sistema sul luogo di lavoro. Il rinvio al dicembre 2027 è tempo per prepararsi, non un esonero: se un software di selezione è classificato ad alto rischio, il fornitore dovrà adeguarlo e chi lo usa dovrà saperlo governare. ## Le sanzioni per le PMI Le sanzioni le stabiliscono gli Stati membri entro i limiti dell’[articolo 99](https://eur-lex.europa.eu/eli/reg/2024/1689/oj): fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate, fino a 15 milioni o al 3% per la violazione degli obblighi elencati all’articolo 99, paragrafo 4, fra cui quelli dei deployer di sistemi ad alto rischio (articolo 26) e quelli di trasparenza (articolo 50). Per le PMI, comprese le start-up, ciascuna sanzione è pari al massimo alla percentuale o all’importo, **se inferiore**; l’omnibus estende questa regola alle piccole imprese a media capitalizzazione per le sanzioni dei paragrafi 4 e 5, non per quelle sulle pratiche vietate, e chiede agli Stati di tenere conto degli interessi delle PMI e della loro sostenibilità economica. Sul fronte italiano, la parte penale e civile è stata trattata nel nostro articolo sul [D.Lgs. 160/2026](https://hansburtin.com/articoli/decreto-160-2026-intelligenza-artificiale-pmi), e l’uso dell’AI nelle decisioni sul personale in quello sul [D.Lgs. 179/2026](https://hansburtin.com/articoli/decreto-179-2026-intelligenza-artificiale-lavoro). ## Cosa fare adesso: cinque passi per una piccola impresa 1. **Fare l’inventario degli strumenti di AI in uso**, compresi quelli dentro software che l’impresa già paga: chi li usa, per cosa, con quali dati. 2. **Controllare i casi vietati e quelli ad alto rischio**: verificare che eventuali sistemi che deducono le emozioni sul luogo di lavoro non ricadano nel divieto, tenendo conto dell’eccezione per motivi medici o di sicurezza, e fare un elenco dei sistemi che toccano selezione, valutazione del personale, formazione o credito, da classificare con il fornitore. 3. **Decidere le regole sui contenuti generati**: chi pubblica, con quale revisione, e come si segnala un deep fake quando l’obbligo di trasparenza si applica. 4. **Organizzare l’alfabetizzazione**: poche ore mirate per chi usa davvero gli strumenti, legate ai rischi del proprio lavoro, e una traccia scritta di cosa si è fatto. 5. **Chiedere ai fornitori** se il loro prodotto rientra nell’alto rischio e come intendono adeguarlo entro la data applicabile (2 dicembre 2027 per i sistemi ad alto rischio dell’allegato III, 2 agosto 2028 per quelli ad alto rischio ai sensi dell’articolo 6, paragrafo 1, e dell’allegato I), e conservare la documentazione che consegnano. A mio giudizio il passo che conta di più è il primo: senza un inventario degli usi reali, ogni discussione sull’AI Act resta astratta. È lo stesso punto di partenza che ho descritto in [intelligenza artificiale in azienda: da dove partire](https://hansburtin.com/articoli/intelligenza-artificiale-in-azienda-da-dove-partire). Questo articolo è un’informazione generale e non sostituisce un parere legale sul singolo caso. ## Domande frequenti ### L’AI Act si applica anche alle piccole imprese? Sì. Non esiste un’esenzione per dimensione: gli obblighi dipendono dal ruolo (fornitore o deployer) e dal tipo di sistema. Le PMI hanno però agevolazioni, come la documentazione tecnica semplificata per i fornitori, l’accesso prioritario agli spazi di sperimentazione normativa per chi soddisfa le condizioni di ammissibilità e i criteri di selezione, e tetti alle sanzioni. ### Se uso solo un assistente di AI per scrivere testi devo fare qualcosa? Di regola quell’uso non è ad alto rischio. Restano l’alfabetizzazione del personale e, se pubblichi testi generati per informare il pubblico su questioni di interesse pubblico, l’obbligo di dichiararli. L’obbligo non si applica se il testo è passato da una revisione umana o da un controllo editoriale e una persona fisica o giuridica ne ha la responsabilità editoriale. ### Quando scattano gli obblighi sui sistemi ad alto rischio? Dal 2 dicembre 2027 per i sistemi classificati ad alto rischio in base all’allegato III, che comprende aree come selezione del personale, valutazione delle prestazioni e merito di credito; dal 2 agosto 2028 per i sistemi classificati ad alto rischio ai sensi dell’articolo 6, paragrafo 1, e dell’allegato I. ### La formazione sull’AI per i dipendenti è obbligatoria? L’articolo 4 chiede di adottare misure per sostenere l’alfabetizzazione sull’AI di chi usa i sistemi, senza imporre un livello specifico. Non prescrive un corso o un attestato: la forma la sceglie l’impresa, in proporzione all’uso. Se vuoi capire quali strumenti di AI usa davvero la tua impresa, quali ricadono negli obblighi dell’AI Act e cosa conviene sistemare prima del dicembre 2027, scrivimi a [info@hansburtin.com](mailto:info@hansburtin.com): partiamo da una [diagnosi dei processi](https://hansburtin.com/servizi#diagnosi) e da un inventario degli usi reali. Qui trovi come lavoro sulla [trasformazione digitale](https://hansburtin.com/servizi#trasformazione-digitale). --- Hans Burtin, innovazione gestionale per PMI ed enti del terzo settore. Brindisi, in tutta Italia e da remoto. Contatti: [info@hansburtin.com](mailto:info@hansburtin.com) · [https://hansburtin.com/contatti](https://hansburtin.com/contatti) · Guida per agenti: [https://hansburtin.com/llms.txt](https://hansburtin.com/llms.txt)