’AI Act viene spesso presentato come una normativa pensata per le grandi imprese tecnologiche. In realtà riguarda anche le piccole e medie imprese, che usano sempre più strumenti di intelligenza artificiale per marketing, assistenza clienti, contabilità, selezione del personale e gestione della produzione. La buona notizia è che per la maggior parte delle PMI gli obblighi sono limitati e gestibili, e che il regolamento prevede diverse misure di sostegno. Ecco cosa serve sapere.

1. Quasi sempre siete «deployer»

La maggior parte delle PMI non sviluppa sistemi di IA: li usa. Nel linguaggio dell’AI Act è quindi un deployer, con obblighi molto più leggeri di quelli dei fornitori. Un’impresa che usa uno strumento di scrittura, un chatbot fornito da terzi o un software gestionale con funzioni di IA non deve fare valutazioni di conformità né registrare i sistemi.

Le cose cambiano quando la PMI diventa fornitore, con obblighi più ampi, soprattutto se il sistema è ad alto rischio. Succede in tre casi:

• sviluppa un sistema e lo vende o lo mette a disposizione con il proprio marchio, anche se lo costruisce su un modello di terzi;
• modifica in modo sostanziale un sistema ad alto rischio di terzi;
• ne cambia la finalità, facendolo rientrare nell’alto rischio.

Per chi personalizza strumenti acquistati, è un caso meno raro di quanto sembri.

2. Gli obblighi che riguardano quasi tutti

Anche la PMI che usa solo strumenti di terzi ha alcuni obblighi:

• Alfabetizzazione. Dal febbraio 2025 deve adottare misure per assicurare un livello adeguato di competenze del personale che usa sistemi di IA. Dopo l’AI Omnibus, in vigore dal 27 luglio 2026, si tratta di un obbligo di mezzi: non va garantito un livello specifico per ogni persona, ma serve una formazione proporzionata a ruoli e rischi.
• Pratiche vietate. Non deve usare sistemi che rientrano tra quelli vietati, come il riconoscimento delle emozioni dei dipendenti. Dal 2 dicembre 2026 si aggiungono i divieti sulla generazione di immagini intime non consensuali e di materiale pedopornografico.
• Trasparenza. Dal 2 agosto 2026 le persone devono sapere quando interagiscono con un chatbot. L’obbligo è del fornitore del sistema, ma la PMI che usa un chatbot con i clienti deve assicurarsi che l’avviso ci sia. Se configura e offre il chatbot con il proprio marchio, può diventarne fornitore. Se pubblica deepfake nel marketing, deve dichiararlo.
• Obblighi nazionali. La legge 132/2025 richiede di informare i lavoratori sull’uso di sistemi di IA e, per i professionisti, di informare i clienti.

3. Quando gli obblighi diventano più impegnativi

Gli obblighi aumentano se la PMI usa sistemi ad alto rischio, per esempio software per selezionare o valutare il personale, per valutare il merito creditizio dei clienti o per l’istruzione e la formazione. In questi casi il deployer deve:

• usare il sistema secondo le istruzioni del fornitore;
• affidare la supervisione a persone competenti;
• monitorarne il funzionamento;
• conservare i log per almeno sei mesi;
• informare le persone interessate;
• se il sistema è usato sul lavoro, informare prima i rappresentanti dei lavoratori e i lavoratori coinvolti.

Con l’AI Omnibus questi obblighi si applicheranno dal 2 dicembre 2027. Conviene però verificare fin d’ora se gli strumenti in uso rientrano in queste categorie, soprattutto in ambito HR.

4. Le agevolazioni previste per le PMI

L’AI Act contiene misure specifiche per le PMI, comprese le start-up:

• Sanzioni ridotte. Si applica il valore più basso tra importo fisso e percentuale del fatturato. L’AI Omnibus ha esteso massimali ridotti anche alle piccole imprese a media capitalizzazione (small mid-cap, con meno di 750 dipendenti). Importi, criteri e procedure sono spiegati in Le sanzioni dell’AI Act: le domande più frequenti.
• Documentazione semplificata. I fornitori PMI di sistemi ad alto rischio possono presentare la documentazione tecnica in forma semplificata, con un modello predisposto dalla Commissione. L’AI Omnibus ha esteso questa possibilità alle small mid-cap.
• Sistema di gestione della qualità semplificato per le microimprese.
• Accesso prioritario e gratuito alle sandbox regolamentari, ambienti controllati in cui sviluppare e testare sistemi di IA con il supporto delle autorità.
• Costi ridotti per le valutazioni di conformità, in proporzione alle dimensioni dell’impresa.
• Canali di informazione dedicati e iniziative di formazione da parte delle autorità nazionali e dell’AI Office.

5. Un piano in cinque passi, a costo contenuto

Per una PMI la conformità non richiede grandi investimenti, ma ordine e documentazione:

1. Fate l’inventario. Un semplice foglio di calcolo con gli strumenti di IA usati, a cosa servono, chi li usa e chi li fornisce. Includete gli strumenti gratuiti usati dai dipendenti.
2. Classificate. Per ogni strumento verificate se è vietato (quasi mai), ad alto rischio (attenzione a HR e credito), soggetto a obblighi di trasparenza (chatbot, contenuti generati) o senza obblighi specifici.
3. Adottate una policy breve. Una o due pagine che indichino quali strumenti si possono usare, quali dati non vanno inseriti (dati dei clienti, informazioni riservate), come verificare i risultati e a chi rivolgersi in caso di dubbi.
4. Formate il personale. Una sessione di base per tutti e indicazioni specifiche per chi usa strumenti rilevanti. Conservatene traccia.
5. Parlate con i fornitori. Chiedete istruzioni d’uso, informazioni su dati e limiti del sistema e garanzie contrattuali. Per i nuovi acquisti potete prendere come riferimento le clausole contrattuali tipo europee per l’IA nella versione semplificata (MCC-AI Light).

Per un percorso più dettagliato si veda la nostra guida AI Act in azienda: la guida pratica per mettersi in regola.

6. Non dimenticate le altre regole

L’AI Act non è l’unica normativa rilevante:

• se gli strumenti trattano dati personali si applica il GDPR, che può richiedere una valutazione d’impatto;
• se l’IA è usata per il controllo dei lavoratori si applica lo Statuto dei lavoratori;
• se si generano contenuti, entrano in gioco il diritto d’autore e il diritto dei consumatori.

Da dove partire

Il primo passo, inventario e policy, si può fare in una settimana. Il resto si può pianificare nei mesi successivi, dando priorità agli strumenti usati con i clienti e in ambito HR.

La domanda da porsi non è «l’AI Act è troppo complicato per noi?», ma «sappiamo quali strumenti usiamo e abbiamo messo per iscritto come usarli?».

‍