La maggior parte delle PMI italiane che usa strumenti AI di terze parti (ChatGPT, Copilot, assistenti AI nel CRM) ha obblighi minimi. Le scadenze critiche sono febbraio 2025 (pratiche vietate) e agosto 2026 (sistemi ad alto rischio). Chi sviluppa o integra sistemi AI propri per HR, scoring creditizio o processi safety-critical ha obblighi significativi già da ora.
Il regolamento in tre righe
Il Regolamento UE 2024/1689, noto come AI Act, è entrato in vigore il 1° agosto 2024. Non disciplina l'AI in astratto — disciplina i rischi. Divide i sistemi AI in quattro livelli: vietati, ad alto rischio, a rischio limitato e a rischio minimo. La maggior parte degli strumenti AI che una PMI usa quotidianamente cade nell'ultima categoria e non richiede alcun adempimento specifico.
Il regolamento distingue tre figure principali: il provider (chi sviluppa il sistema AI e lo mette sul mercato), il deployer (chi integra un sistema AI altrui nei propri processi per uso interno o verso clienti), e l'utente finale. Una PMI può essere tutte e tre contemporaneamente, o solo l'ultima. Il punto di partenza di qualsiasi valutazione è capire in quale ruolo opera.
Le scadenze concrete
L'AI Act non è entrato in vigore tutto in una volta. Le applicazioni sono scaglionate su tre anni — una scelta politica per dare tempo alle imprese di adeguarsi. Ecco le date che una PMI deve tenere a mente.
| Data | Cosa scatta |
|---|---|
| Agosto 2024 | Entrata in vigore del regolamento |
| Febbraio 2025 | Divieto assoluto delle pratiche AI proibite (social scoring, manipolazione subliminale, riconoscimento biometrico in tempo reale in spazi pubblici) |
| Agosto 2025 | Regole per i modelli AI general-purpose (GPAI) come GPT-4, Claude, Gemini — obblighi che ricadono sui provider, non sugli utenti finali |
| Agosto 2026 | Piena applicazione degli obblighi per i sistemi AI ad alto rischio (Allegato III) — la scadenza più rilevante per le PMI che integrano AI propria |
| Agosto 2027 | Sistemi ad alto rischio già disciplinati da normative settoriali (dispositivi medici, veicoli, ecc.) |
I quattro livelli di rischio — e dove cadono le PMI
La classificazione determina gli obblighi. Vale la pena capire dove si colloca concretamente l'AI che usi o che stai valutando di integrare.
Social scoring governativo, manipolazione subliminale, sfruttamento di vulnerabilità psicologiche. Nessuna PMI commerciale li usa. Non è il tuo problema.
Sistemi per HR e assunzioni, scoring creditizio, accesso a servizi essenziali, sicurezza industriale. Se li sviluppi o integri nei tuoi processi, hai obblighi significativi.
Chatbot, deepfake, AI generativa: obbligo di informare l'utente che sta interagendo con un sistema AI. Niente di oneroso.
Filtri antispam, suggerimenti di prodotto, classificatori, assistenti AI interni. La maggior parte degli strumenti AI B2B rientra qui.
Quali sistemi sono ad alto rischio — la lista concreta
L'Allegato III del regolamento elenca le categorie ad alto rischio. Le più rilevanti per il mondo PMI e professionale:
- HR e occupazione: sistemi per screening CV, valutazione delle performance, decisioni di promozione, monitoraggio dell'attività lavorativa
- Accesso a servizi essenziali: scoring creditizio, valutazione del rischio assicurativo, accesso a prestazioni sociali
- Istruzione e formazione: sistemi per valutare studenti o determinare l'accesso a percorsi educativi
- Infrastrutture critiche: AI che gestisce reti energetiche, idriche o di trasporto
- Safety industriale: sistemi AI che controllano macchinari in ambienti a rischio
Il criterio trasversale: un sistema è ad alto rischio quando le sue decisioni o raccomandazioni incidono significativamente su persone fisiche in ambiti sensibili. Un chatbot che risponde a domande sui prodotti: rischio minimo. Un sistema che decide automaticamente quali candidati passano al colloquio: alto rischio.
Il caso più frequente — LLM integrati nei processi aziendali
Lo scenario che sento più spesso: una PMI integra un modello LLM (via API di OpenAI, Anthropic o Azure) in un flusso aziendale interno. Analisi di contratti, classificazione delle richieste clienti, scoring dei lead, sintesi di report. La domanda è sempre la stessa: siamo soggetti all'AI Act?
Dipende da due fattori. Il primo è se il sistema produce decisioni che impattano direttamente su persone fisiche in uno degli ambiti dell'Allegato III. Il secondo è se c'è un essere umano che rivede e approva l'output prima che produca effetti concreti. Un sistema che supporta una decisione umana senza sostituirla è trattato diversamente da un sistema che prende decisioni automatiche con effetti giuridici o significativi.
Il principio "human in the loop" non è solo una buona pratica tecnica — è un criterio di classificazione del rischio esplicito nel regolamento. Se il tuo sistema AI genera una raccomandazione e poi un operatore la valida prima di agire, gli obblighi sono sostanzialmente ridotti rispetto a un sistema completamente automatico.
«La domanda non è 'usiamo AI?' ma 'le nostre decisioni automatizzate impattano su persone in ambiti sensibili?'. Lì comincia l'analisi.
Cosa fare adesso, in ordine di priorità
Non serve un progetto di compliance da sei mesi. Serve una mappatura onesta di quello che si usa davvero.
- Mappa i sistemi AI attivi: distingui tra strumenti generici usati in autonomia (ChatGPT, Copilot) e sistemi integrati nei tuoi processi o prodotti
- Identifica il tuo ruolo: sei provider (sviluppi AI per altri), deployer (integri AI altrui nei tuoi processi) o solo utente finale? I ruoli determinano gli obblighi
- Verifica l'Allegato III: i sistemi che hai integrato rientrano nelle categorie ad alto rischio? HR, scoring, safety — questi tre ambiti sono la priorità
- Aggiungi revisione umana documentata: per qualsiasi sistema che prende decisioni su candidati, clienti o lavoratori, assicurati che ci sia un passaggio umano verificabile e registrato
- Controlla i fornitori: i provider degli strumenti AI che usi (Microsoft, Google, OpenAI) sono obbligati a dichiarare conformità per i loro modelli GPAI da agosto 2025 — è una verifica contrattuale, non uno sviluppo interno
Per le PMI che non sviluppano AI propria e usano strumenti standard di terze parti: gli obblighi principali ricadono sul provider del modello. Il vostro rischio concreto è quasi sempre molto più basso di quello che la narrazione mediatica fa percepire. Vale la pena fare la mappatura — non vale la pena farsi prendere dal panico.
Una nota finale
Questo articolo è orientamento generale, non consulenza legale. L'AI Act è un testo complesso e la sua applicazione pratica dipende da molte variabili specifiche di ogni contesto. Per situazioni concrete — soprattutto se sviluppate o integrate sistemi AI in ambiti HR, creditizi o safety — vale la pena coinvolgere un consulente legale specializzato prima della scadenza di agosto 2026.