L’AI Act riguarda la mia piccola impresa? Cosa fare, e da quando

Sì, quasi certamente. Se nella tua impresa qualcuno usa strumenti di intelligenza artificiale per lavoro, per l’AI Act sei un «deployer», cioè un utilizzatore professionale: dal 2 febbraio 2025 devi formare chi usa l’AI e non puoi usarla nei modi vietati, e dal 2 agosto 2026 chi parla con un chatbot o vede un contenuto realistico generato dall’AI deve poterlo sapere. Gli obblighi più pesanti, quelli per i sistemi «ad alto rischio» come la selezione del personale, sono stati rinviati al 2 dicembre 2027 dal regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026.

Chi riguarda l’AI Act, e che ruolo hai tu

L’AI Act, il regolamento (UE) 2024/1689, distingue due ruoli principali. Il fornitore sviluppa un sistema di AI, o lo fa sviluppare, e lo mette in servizio con il proprio nome o marchio. Il deployer lo usa nella propria attività professionale.

Un’impresa di 12 persone che vende ricambi e usa l’AI per scrivere email, trascrivere riunioni e creare immagini per i social è deployer. Può diventare fornitore se si fa costruire un sistema e lo mette in servizio con il proprio marchio, per esempio un assistente sul sito che risponde ai clienti a nome dell’azienda.

Gli obblighi crescono con il rischio: alcuni usi sono vietati, altri sono ad alto rischio, chatbot e contenuti generati hanno obblighi di trasparenza. Per la maggior parte degli usi in una PMI resta soprattutto la formazione.

Le date: cosa vale già e cosa arriva

Il calendario è nell’articolo 113 dell’AI Act, modificato nel 2026 dal regolamento (UE) 2026/1744.

Cosa ha cambiato il «Digital Omnibus», e cosa no

Il 19 novembre 2025 la Commissione europea ha proposto un pacchetto di semplificazione chiamato «Digital Omnibus», in due parti. La parte sull’AI è diventata il regolamento (UE) 2026/1744: approvato dal Parlamento europeo il 16 giugno 2026 e dal Consiglio il 29 giugno, pubblicato nella Gazzetta ufficiale dell’Unione il 24 luglio, in vigore dal 27 luglio 2026. Per una PMI cambia questo:

• Alto rischio rinviato: al 2 dicembre 2027 per gli usi dell’allegato III, al 2 agosto 2028 per i prodotti dell’allegato I.
• Formazione riscritta, non cancellata: il nuovo articolo 4 chiede ancora a fornitori e deployer di adottare misure per sviluppare le competenze sull’AI del personale, ma senza garantire un livello specifico. Commissione e Stati devono aiutare soprattutto le PMI, anche con esempi pratici.
• Nuovi divieti dal 2 dicembre 2026 per i sistemi che generano immagini intime di persone riconoscibili senza consenso o materiale pedopornografico.

Non cambiano la data della trasparenza, il 2 agosto 2026, e i divieti già in vigore. Sulle sanzioni, per le PMI il massimo è il più basso tra la cifra fissa e la percentuale del fatturato (art. 99). La seconda parte del pacchetto, che toccherebbe anche il GDPR, è ancora una proposta: per i dati personali valgono le regole attuali.

Le regole italiane: legge 132/2025 e decreti

La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, affianca l’AI Act con regole nazionali. Per un’impresa contano tre punti.

• Lavoro (art. 11): il datore di lavoro deve informare i lavoratori dell’uso dell’AI, nei casi e nei modi previsti per i sistemi automatizzati dall’art. 1-bis del d.lgs. 152/1997.
• Professioni intellettuali (art. 13): commercialisti, avvocati, ingegneri, consulenti usano l’AI solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale, e devono dire al cliente quali sistemi usano, con linguaggio chiaro, semplice ed esaustivo.
• Deepfake (art. 26): diffondere senza consenso immagini, video o voci falsificati con l’AI che causano un danno ingiusto è reato.

Le autorità nazionali per l’AI sono AgID e l’Agenzia per la cybersicurezza nazionale (ACN).

Dal 30 settembre 2026 è in vigore il d.lgs. 9 settembre 2026, n. 160. Tra l’altro aiuta chi chiede un risarcimento per un danno causato dall’AI: il giudice può ordinare di mostrare registri e documentazione, e se il danno deriva dalla violazione di un obbligo dell’AI Act il nesso di causa si presume. Tenere traccia di come usi l’AI serve anche a difenderti.

Un secondo decreto, su autorità, sanzioni, formazione e lavoro, è stato approvato in via definitiva dal Consiglio dei ministri il 4 agosto 2026, ma al 24 settembre 2026 non era ancora pubblicato in Gazzetta Ufficiale, quindi non era in vigore: prima di decidere controlla lo stato aggiornato. Il comunicato del Governo annuncia che assunzioni, modifiche del rapporto, provvedimenti disciplinari e licenziamenti non potranno essere decisi solo con un trattamento automatizzato.

Cosa fare se usi l’AI: mappa, formazione, regole, trasparenza

Per una PMI che usa l’AI gli adempimenti sono quattro.

1. Fai la mappa degli usi. Quali strumenti di AI, chi li usa, per cosa, con quali dati. Includi l’AI già dentro gestionale, CRM, centralino, software delle paghe.

2. Forma le persone (art. 4). Non serve un attestato: lo chiarisce la Commissione europea. Serve una formazione adatta al ruolo: chi scrive testi con l’AI deve sapere che può inventare fatti, chi la usa con dati di clienti deve sapere cosa non inserire. Tieni un registro interno di chi ha fatto cosa e quando.

3. Scrivi le regole interne d’uso. Bastano una o due pagine: strumenti ammessi, dati da non inserire (per esempio dati sanitari o documenti riservati dei clienti), controllo di una persona prima di mandare qualcosa all’esterno. Politica d’uso e formazione fanno parte anche del nostro servizio AI e automazioni.

4. Sii trasparente con i clienti (art. 50, dal 2 agosto 2026). Chi scrive al chatbot del tuo sito deve sapere che parla con un’AI, a meno che sia evidente. Immagini, audio e video generati o modificati con l’AI che sembrano veri, i «deep fake», vanno dichiarati: può rientrarci anche la foto di un appartamento arredato con l’AI. Lo stesso vale per i testi pubblicati per informare su questioni di interesse pubblico, salvo che una persona li abbia rivisti e ne risponda.

Alto rischio: attenzione alla selezione del personale

Per una PMI il caso ad alto rischio più probabile riguarda il personale. L’allegato III elenca i sistemi usati per pubblicare annunci mirati, filtrare le candidature e valutare i candidati, e quelli che decidono promozioni, cessazioni, assegnazione dei compiti o valutano le prestazioni. Nella stessa lista c’è il merito di credito delle persone.

Dal 2 dicembre 2027 chi li usa dovrà seguire le istruzioni del fornitore, affidare la sorveglianza a persone formate e con l’autorità per intervenire, conservare i registri per almeno sei mesi, informare lavoratori e loro rappresentanti prima di usarli, e dire alle persone che una decisione che le riguarda passa dal sistema (art. 26).

Alcune regole valgono già: dedurre le emozioni delle persone sul lavoro con l’AI è vietato, salvo motivi medici o di sicurezza, e la legge 132/2025 chiede di informare i lavoratori. Se valuti un software che «legge» i curriculum, fai le domande adesso, non nel 2027.

Dati personali e fornitori: cosa controllare

L’AI Act lascia intatto il GDPR: se scrivi nel prompt, cioè nella richiesta all’AI, nomi, email, dati di salute o buste paga, stai trattando dati personali e valgono tutte le regole sulla privacy. Aggiorna le informative a clienti e dipendenti se l’AI entra nei processi che li riguardano, e valuta la DPIA, la valutazione d’impatto sulla protezione dei dati. Per il Garante privacy serve quando usi tecnologie innovative, AI compresa, insieme ad almeno un altro criterio di rischio: valutazioni o punteggi sulle persone, monitoraggio sistematico, dati di lavoratori o di persone vulnerabili. Filtrare i curriculum con l’AI, per esempio, è un caso da DPIA.

Molti obblighi li rispetti solo se il fornitore ti dà le informazioni giuste. Prima di adottare uno strumento, o al rinnovo, chiedi per iscritto:

• dove sono trattati e conservati i dati, e se restano nell’Unione europea;
• se i tuoi dati servono ad addestrare i modelli e come escluderlo;
• il contratto sul trattamento dei dati e l’elenco dei sub-fornitori;
• se il sistema, per come lo userai, è ad alto rischio e come sarà conforme entro il 2 dicembre 2027;
• come il chatbot dichiara di essere un’AI e come vengono marcati i contenuti generati;
• quali registri delle attività puoi consultare, e chi chiamare se qualcosa va storto.

Per scegliere a chi affidarti trovi una traccia nella guida su come scegliere a chi affidare la digitalizzazione.

Cosa fare questo mese

1. Fai la mappa: strumenti di AI in uso, persone, scopi, dati.
2. Controlla che nessun uso rientri tra quelli vietati.
3. Organizza una formazione breve per ruolo e annota chi l’ha seguita.
4. Scrivi le regole interne d’uso e condividile.
5. Controlla chatbot, immagini e video pubblicati: dove serve, dichiara che sono fatti con l’AI.
6. Se usi strumenti per selezionare o valutare il personale, trattali come possibile alto rischio e valuta la DPIA.
7. Informa i lavoratori sugli strumenti di AI che li riguardano.
8. Se sei un professionista, prepara la frase con cui informi i clienti.
9. Manda ai fornitori le domande qui sopra.

Questa guida spiega le regole generali e non sostituisce un parere sul tuo caso: ruolo, strumenti e dati cambiano la risposta, quindi verifica la tua situazione con un consulente. Se vuoi partire dalla mappa, nell'analisi iniziale facciamo proprio questo. E se pensi a sistemi che agiscono da soli nei tuoi programmi, leggi cosa fanno davvero gli agenti AI.