«L'AI Act riguarda chi sviluppa l'intelligenza artificiale, non noi». È una frase che sentiamo spesso nelle PMI. È vera solo in parte: il regolamento europeo distingue chi sviluppa o mette sul mercato un sistema di AI da chi lo usa per lavoro. Gran parte degli obblighi pesa sui primi, ma anche chi usa ChatGPT, un chatbot sul sito o un software che filtra i curriculum ha qualcosa da verificare.
Niente panico: per la maggior parte delle imprese gli obblighi sono pochi e gestibili. Questa guida serve a capire quali ti riguardano.
Prima domanda: che ruolo hai?
Il Regolamento (UE) 2024/1689 chiama fornitore chi sviluppa un sistema di AI, o lo fa sviluppare, e lo mette sul mercato con il proprio nome. Chiama deployer (utilizzatore) chi usa un sistema di AI sotto la propria autorità per un'attività professionale.
Un'azienda che usa un assistente AI per scrivere testi, un chatbot comprato da un fornitore o un software di selezione del personale è, di norma, un utilizzatore. Le cose cambiano se rivendi un sistema di AI con il tuo marchio o lo modifichi in modo sostanziale: in quel caso conviene un parere specifico.
Seconda domanda: quali strumenti usate davvero?
Non si può verificare quello che non si conosce. Fai un elenco semplice: strumento, chi lo usa, per cosa, quali dati ci finiscono dentro. Spesso salta fuori che l'AI è già in più posti di quanto si pensasse: il CRM che suggerisce le risposte, il tool di grafica, l'assistente nella posta.
Gli obblighi che contano per una PMI
1. Formazione del personale
L'articolo 4 chiede a chi usa l'AI di adottare misure per sviluppare l'alfabetizzazione del proprio personale: sapere cosa fa lo strumento, dove sbaglia, cosa non inserirci. Con le modifiche entrate in vigore a luglio 2026 l'obbligo è stato formulato in modo più leggero, ma resta in capo all'impresa. Non serve un corso universitario: servono regole chiare e qualcuno che le spieghi. Abbiamo proposto un percorso in Formazione AI per il team: da dove iniziare.
2. Trasparenza verso clienti e pubblico
Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell'articolo 50:
- chatbot: chi parla con un sistema di AI deve saperlo, a meno che non sia evidente. L'obbligo di progettarlo così è del fornitore, ma se lo metti sul tuo sito verifica che lo dica davvero;
- deepfake: immagini, audio o video generati o manipolati con l'AI che sembrano reali vanno dichiarati;
- testi generati con l'AI pubblicati per informare il pubblico su temi di interesse pubblico vanno dichiarati, salvo che una persona li abbia rivisti e se ne assuma la responsabilità editoriale.
Per un'azienda che pubblica articoli e post, la strada più semplice è la stessa che consigliamo comunque: un controllo umano prima della pubblicazione. Ne abbiamo parlato in L'AI scrive bene. Ma sta dicendo qualcosa di vero?
3. AI e lavoratori
Usare l'AI per selezionare candidati, valutare le prestazioni o assegnare compiti è considerato ad alto rischio (Allegato III). Per questi usi gli obblighi dell'utilizzatore, tra cui la sorveglianza umana e l'informazione ai lavoratori e ai loro rappresentanti, si applicheranno dal 2 dicembre 2027: la data originaria di agosto 2026 è stata rinviata.
In Italia però c'è già un obbligo in vigore: la Legge 132/2025, articolo 11, in vigore dal 10 ottobre 2025, impone al datore di lavoro di informare i lavoratori sull'uso dell'intelligenza artificiale, nei casi e con le modalità del Decreto Trasparenza. Se usi l'AI per decisioni che riguardano il personale, parlane con il consulente del lavoro adesso, non nel 2027.
4. Le pratiche vietate
Dal 2 febbraio 2025 alcuni usi sono vietati, per esempio il riconoscimento delle emozioni sul luogo di lavoro (salvo motivi medici o di sicurezza) o le tecniche manipolative. Per una PMI è raro finirci dentro, ma vale la pena controllarlo nell'elenco degli strumenti.
Le date, in sintesi
- 2 febbraio 2025: pratiche vietate e formazione del personale;
- 2 agosto 2026: applicazione generale, compresi gli obblighi di trasparenza;
- 2 dicembre 2027: obblighi per i sistemi ad alto rischio dell'Allegato III, come la selezione del personale.
Le date tengono conto del regolamento di modifica (UE) 2026/1744, in vigore dal 27 luglio 2026.
Domande frequenti
Se in azienda usiamo solo ChatGPT, l'AI Act ci riguarda?
Sì, in forma leggera. Sei un utilizzatore: devi curare la formazione di chi lo usa e, se pubblichi contenuti generati, rispettare le regole di trasparenza. Restano valide anche le regole sulla privacy per i dati che inserisci.
Le sanzioni sono uguali per tutti?
No. Per le PMI e le start-up il regolamento prevede che, tra la cifra fissa e la percentuale del fatturato, si applichi l'importo più basso (articolo 99).
Serve una certificazione per usare l'AI?
Per un utilizzatore che usa strumenti comuni, no. Gli obblighi di conformità più pesanti riguardano chi sviluppa e mette sul mercato sistemi ad alto rischio.
Il passo pratico: questa settimana fai l'elenco degli strumenti AI che usate in azienda, con chi li usa e per cosa. Accanto a ognuno segna se tocca clienti, pubblico o personale: sono quelli da guardare per primi.
Questo articolo ha scopo informativo e non costituisce consulenza legale. Fonti verificate il 20 ottobre 2026.
