In questa guida
Cos'è l'AI Act e perché riguarda anche la tua PMI
Il Regolamento UE 2024/1689 in sintesi
Il Regolamento UE 2024/1689, comunemente noto come AI Act, è la prima legge al mondo che regola in modo organico l'intelligenza artificiale. Approvato dal Parlamento europeo nella primavera del 2024 ed entrato parzialmente in vigore nell'agosto dello stesso anno, introduce un sistema di classificazione dei sistemi AI basato sul livello di rischio che rappresentano per le persone.
La logica è semplice: più un sistema AI può influire su decisioni che toccano diritti fondamentali, salute, sicurezza o accesso a servizi essenziali, più severi sono gli obblighi di conformità. Non si tratta di vietare l'AI — si tratta di stabilire chi è responsabile di cosa quando qualcosa va storto.
Il regolamento si applica a chiunque sviluppi, importi, distribuisca o utilizzi sistemi AI nell'Unione Europea. Questo significa che una PMI italiana che usa uno strumento AI acquistato da un fornitore estero è comunque soggetta agli obblighi del regolamento nella sua veste di deployer (chi usa il sistema). Non è possibile delegare l'intera responsabilità al fornitore del software.
Perché agosto 2026 è la scadenza che non puoi ignorare
L'AI Act è entrato in vigore il 2 agosto 2024 con un calendario di applicazione progressivo:
- Febbraio 2025: divieto assoluto dei sistemi AI a rischio inaccettabile (es. social scoring, manipolazione subliminale)
- Agosto 2025: obblighi di alfabetizzazione AI per i dipendenti che usano sistemi AI in azienda
- 2 agosto 2026: entrano in vigore gli obblighi per i sistemi AI ad alto rischio — la scadenza più rilevante per la maggior parte delle PMI
- Agosto 2027: estensione degli obblighi ai sistemi AI ad alto rischio già immessi sul mercato prima dell'entrata in vigore del regolamento
Siamo a meno di 60 giorni dalla scadenza di agosto 2026. Se la tua azienda usa sistemi AI che rientrano nella categoria ad alto rischio, gli obblighi scattano tra poche settimane. Non è il momento di aspettare.
Quali PMI sono davvero obbligate dall'AI Act dal 2 agosto 2026?
Una delle domande più frequenti tra gli imprenditori italiani è: «Ma l'AI Act riguarda anche noi o solo le grandi tech company?». La risposta onesta è: dipende da cosa fate con l'AI, non dalle dimensioni della vostra azienda.
Le esenzioni previste per micro e piccole imprese
L'AI Act riconosce le difficoltà delle imprese più piccole e introduce alcune misure di favore:
- Le microimprese (sotto i 10 dipendenti e 2 milioni di fatturato) beneficiano di procedure semplificate per la valutazione della conformità
- Le PMI con sistemi ad alto rischio possono accedere a sandbox regolatori nazionali per testare le soluzioni in un ambiente controllato prima della messa in produzione
- I costi per la documentazione tecnica e il testing possono essere ridotti proporzionalmente rispetto agli oneri previsti per le grandi imprese
Attenzione però: le esenzioni riguardano le procedure, non gli obblighi sostanziali. Una piccola impresa che usa un sistema AI ad alto rischio deve comunque rispettare i requisiti del regolamento in termini di sorveglianza umana, documentazione e informazione agli utenti.
Quando una PMI diventa 'deployer' o 'provider'
L'AI Act distingue tra due ruoli principali che determinano il perimetro degli obblighi:
- Provider (fornitore): chi sviluppa e immette sul mercato un sistema AI. Se la tua azienda ha sviluppato internamente uno strumento AI — anche solo con strumenti no-code — sei un provider e rispondi degli obblighi tecnici più stringenti.
- Deployer (utilizzatore): chi usa un sistema AI sviluppato da altri nel proprio contesto professionale. Quasi tutte le PMI che adottano strumenti AI di terze parti rientrano in questa categoria.
Essere un deployer non elimina gli obblighi: significa che alcuni oneri tecnici (come la valutazione di conformità e la documentazione del sistema) ricadono principalmente sul fornitore, mentre alla PMI spettano obblighi di utilizzo corretto, sorveglianza umana, conservazione dei log e informazione a dipendenti e utenti.
Sistemi AI ad alto rischio: come capire se la tua azienda ne usa uno
Questa è la domanda cruciale per determinare se gli obblighi di agosto 2026 ti riguardano davvero. Non tutti i sistemi AI sono ad alto rischio: la maggior parte degli strumenti di produttività, generazione di testo, traduzione automatica o analisi dati generici non rientrano in questa categoria.
Gli allegati che definiscono l'alto rischio
L'AI Act classifica come ad alto rischio i sistemi che rientrano nelle categorie dell'Allegato III del regolamento. Le aree più rilevanti per le PMI italiane includono:
- Gestione delle risorse umane: sistemi che filtrano CV, valutano candidati, monitorano le performance dei dipendenti o influenzano decisioni su promozioni e terminazioni del rapporto di lavoro
- Accesso a servizi essenziali: sistemi che valutano l'accesso al credito (scoring creditizio), determinano premi assicurativi o influenzano l'accesso a servizi pubblici
- Sicurezza di infrastrutture critiche: sistemi AI nella gestione di reti elettriche, idriche, nei trasporti o nella distribuzione del gas
- Istruzione e formazione professionale: sistemi che determinano l'accesso a percorsi educativi o valutano le competenze dei candidati
- Sicurezza dei prodotti: AI integrata in componenti di sicurezza di prodotti soggetti a normativa CE (macchinari, dispositivi medici)
Esempi concreti di sistemi AI ad alto rischio nelle PMI
Tradotto in termini pratici, una PMI potrebbe usare sistemi ad alto rischio senza averli mai etichettati come tali. Alcuni esempi:
- Un software HR che usa AI per filtrare automaticamente le candidature in base a parametri predefiniti (molto diffuso anche in versioni SaaS economiche)
- Un sistema di credito al consumo o valutazione affidabilità commerciale con scoring automatizzato
- Strumenti di monitoraggio delle performance dei dipendenti con analisi comportamentale automatizzata
- Sistemi di prevenzione delle frodi che prendono decisioni automatizzate sull'accesso dei clienti a servizi
- AI integrata nei componenti di sicurezza di macchinari o linee di produzione
Se invece la tua PMI usa ChatGPT per scrivere email, un chatbot per rispondere alle domande dei clienti, o strumenti di analisi predittiva delle vendite, quasi certamente non stai operando in un contesto ad alto rischio — ma vale la pena una verifica formale prima della scadenza.
Per le aziende che vogliono integrare l'AI riducendo l'esposizione regolatoria, la scelta dell'architettura conta. Soluzioni AI on-premise e private riducono anche l'esposizione ai rischi di data governance collegati all'AI Act e al GDPR (Regolamento UE 2016/679).
Cosa devono fare concretamente le PMI entro agosto 2026: la checklist
Indipendentemente dal ruolo (provider o deployer) e dal livello di rischio dei sistemi usati, ci sono passi che ogni PMI dovrebbe compiere adesso. La sequenza operativa che segue è calibrata per una PMI che parte dalla situazione tipica: usa diversi strumenti AI, non li ha mai censiti formalmente, e deve capire dove si trova rispetto agli obblighi.
1. Censimento dei sistemi AI in uso
Il primo passo è sapere cosa hai. Molte PMI usano decine di strumenti con componenti AI senza averli mai catalogati. Crea un inventario che include:
- Nome e fornitore dello strumento
- Funzione principale all'interno dei processi aziendali
- Chi lo usa (quali dipartimenti o ruoli)
- Che tipo di dati elabora (dati personali? dati sensibili? dati relativi a dipendenti?)
- Se prende decisioni automatizzate che impattano persone fisiche (selezione, valutazione, accesso a servizi)
Non limitare il censimento ai software esplicitamente «AI»: molti strumenti gestionali, ERP o piattaforme di e-commerce includono moduli con componenti AI che potrebbero rientrare nell'ambito del regolamento.
2. Classificazione del livello di rischio
Per ogni sistema censito, determina la categoria di rischio secondo l'AI Act:
- Rischio inaccettabile: già vietati da febbraio 2025 — se li usi, l'obbligo di cessazione è già scattato
- Alto rischio: obblighi completi in vigore dal 2 agosto 2026 (sorveglianza umana, documentazione, log, informazione utenti)
- Rischio limitato: obblighi di trasparenza — informare l'utente che sta interagendo con un sistema AI
- Rischio minimo: nessun obbligo specifico, solo buone pratiche raccomandate
Per i sistemi che usano modelli AI di uso generale (come i modelli LLM su cui si basano molti strumenti SaaS), gli obblighi più pesanti ricadono sui provider di quei modelli. Come PMI deployer devi verificare che il tuo fornitore sia conforme — e conservare la documentazione di questa verifica.
3. Adempimenti per i sistemi ad alto rischio
Se hai identificato sistemi ad alto rischio, gli obblighi principali come deployer sono:
- Sorveglianza umana: garantire che ci sia sempre una persona in grado di supervisionare, interrompere o correggere il sistema — documentato in una procedura formale
- Verifiche sul fornitore: richiedere e conservare la documentazione di conformità del sistema AI acquistato (dichiarazione di conformità, registrazione nella banca dati EU AI Act)
- Log di utilizzo: tenere traccia di come e quando il sistema viene usato, per il periodo previsto dalla legge o dalle istruzioni del fornitore
- Informazione ai dipendenti: le persone soggette a decisioni automatizzate devono essere informate in modo chiaro
- Segnalazione degli incidenti: obbligo di notifica all'autorità competente (in Italia, l'Agenzia Nazionale per l'Intelligenza Artificiale — ANIAI) in caso di incidenti gravi o malfunzionamenti
4. Obblighi di trasparenza per i sistemi a rischio limitato
Se la tua azienda usa chatbot, assistenti virtuali o sistemi di raccomandazione, rientri tipicamente nella categoria «rischio limitato». Gli obblighi sono più leggeri ma esistono:
- Informare gli utenti che stanno interagendo con un sistema AI e non con un operatore umano
- Etichettare i contenuti generati da AI quando c'è rischio di confusione (immagini, video, testi che potrebbero essere scambiati per produzione umana)
La violazione degli obblighi di trasparenza, pur non comportando sanzioni severe quanto i sistemi ad alto rischio, può esporre l'azienda a contestazioni anche nell'ambito del GDPR — specialmente se i dati personali sono coinvolti nel processo automatizzato.
Sanzioni AI Act per le PMI: quanto si rischia e in quali casi
Le sanzioni dell'AI Act sono strutturate su tre livelli, con importi calibrati sul fatturato globale annuo:
- Fino a 35 milioni di euro o 7% del fatturato globale annuo (il maggiore tra i due): per utilizzo di sistemi AI a rischio inaccettabile, già vietati dal febbraio 2025
- Fino a 15 milioni di euro o 3% del fatturato globale annuo: per violazioni degli obblighi relativi ai sistemi ad alto rischio o ai modelli AI di uso generale
- Fino a 7,5 milioni di euro o 1,5% del fatturato globale annuo: per la fornitura di informazioni false alle autorità di vigilanza
Per le PMI, le autorità di vigilanza nazionali — in Italia l'ANIAI — sono tenute a considerare le dimensioni dell'impresa nella determinazione concreta delle sanzioni. Questo introduce un margine di proporzionalità, ma non azzeramento del rischio. Il regolamento non prevede soglie minime sotto le quali le PMI siano automaticamente esonerate.
Il rischio reputazionale è spesso quello più immediato per una PMI B2B: un'azienda che viene segnalata per non conformità AI Act può perdere contratti con clienti — grandi aziende o enti pubblici — che richiedono ai propri fornitori standard di compliance documentati. Questo vale già oggi, in fase pre-enforcement, con le prime richieste di attestazione AI che iniziano ad apparire nei capitolati di gara.
Gli errori più comuni che le PMI fanno con l'AI Act
Basandoci sulle conversazioni con imprenditori e responsabili operativi, questi sono gli equivoci più frequenti — e più costosi:
- «Non ci riguarda perché siamo piccoli»: le dimensioni aziendali non determinano l'applicabilità. Ciò che conta è il tipo di sistemi AI usati e il contesto in cui operano. Una startup con 5 dipendenti che usa un sistema di scoring automatizzato per il credito è soggetta agli stessi obblighi di una grande impresa.
- «Il fornitore del software ci pensa lui»: il fornitore risponde come provider degli obblighi tecnici, ma il deployer (tu) risponde di come usa il sistema, di chi lo supervisiona e di come informa i soggetti interessati. Non puoi delegare l'intera responsabilità al SaaS che acquisti.
- «L'AI Act è solo per l'AI generativa»: falso. Il regolamento riguarda qualsiasi sistema decisionale automatizzato che rientra nelle categorie previste — inclusi sistemi di scoring, filtri automatici nelle HR, sistemi predittivi applicati a persone fisiche.
- «Aspettiamo le circolari dell'ANIAI prima di muoverci»: le scadenze sono fisse e derivano direttamente dal regolamento europeo. L'ANIAI coordina l'enforcement italiano, ma non ha il potere di posticipare le scadenze previste dal Regolamento UE.
- «Basta il corso di alfabetizzazione AI per i dipendenti»: l'obbligo di alfabetizzazione (scadenza agosto 2025) è uno dei requisiti, non l'unico. Non sostituisce la documentazione dei sistemi ad alto rischio, la sorveglianza umana documentata e la gestione degli incidenti.
Come iniziare: i prossimi passi concreti per la tua azienda
Con meno di 60 giorni alla scadenza del 2 agosto 2026, il tempo per un approccio graduale è sostanzialmente esaurito. L'azione più utile adesso è partire dal censimento: sapere esattamente cosa usi è il prerequisito di tutto il resto.
Un percorso realistico per una PMI che parte da zero:
- Settimana 1-2: censimento completo di tutti gli strumenti AI in uso, inclusi quelli integrati in software gestionali o ERP. Coinvolgi i responsabili di ogni dipartimento — IT, HR, vendite, operations.
- Settimana 3: classificazione del rischio per ciascun sistema. Per i sistemi potenzialmente ad alto rischio, richiedi ai fornitori la documentazione di conformità prevista dall'AI Act.
- Settimana 4-6: per i sistemi ad alto rischio identificati, implementazione degli obblighi prioritari: procedure di sorveglianza umana documentate, log di utilizzo, informazione formale ai dipendenti interessati.
- Agosto 2026 e oltre: mantenimento della conformità come processo continuativo. L'AI Act non è un adempimento una-tantum — i sistemi AI evolvono e gli obblighi si adattano.
La conformità all'AI Act non deve essere vissuta solo come esercizio burocratico. Per molte PMI è l'occasione per fare un inventario serio dei sistemi AI adottati spesso in modo non coordinato — e costruire una governance interna che protegge l'azienda, i dipendenti e i clienti.
Il Metodo AGNTS (Audit → Decisione → Integrazione) parte esattamente da questa analisi: mappare i processi e i sistemi esistenti prima di introdurre o consolidare qualsiasi tecnologia, valutando rischi, benefici e contesto normativo. È lo stesso approccio che si applica alla valutazione del livello di rischio AI Act.
Per le PMI che vogliono costruire o integrare AI nel rispetto della normativa vigente, il percorso di consulenza e formazione AI include una fase di assessment dei sistemi in uso — utile anche come primo passo verso la compliance AI Act.
Vuoi capire dove si posizionano i sistemi AI della tua azienda?
AGNTS offre una AI Integration Review gratuita: un'analisi mirata sui sistemi AI in uso nella tua azienda e su come integrarli nei processi nel rispetto della normativa vigente. Senza impegno, con risposta entro 24 ore.
Richiedi una AI Integration Review gratuita