C'è una normativa che riguarda quasi ogni azienda italiana — e quasi nessuna lo sa ancora. Si chiama AI Act. È in vigore dal 1° agosto 2024. E dal 2 agosto 2026 è pienamente applicabile, sanzioni incluse.
Non è una legge per le grandi tech company. Non è una legge per chi sviluppa algoritmi. È una legge per chiunque usi strumenti di intelligenza artificiale — compresi ChatGPT, Microsoft Copilot, Google Gemini, e qualsiasi altra applicazione AI che i tuoi dipendenti potrebbero già avere sul loro computer.
Se questo ti sorprende, sei in buona compagnia. Ma ignorarlo non è più un'opzione.
Cos'è l'AI Act — in parole semplici
Il Regolamento UE 2024/1689, meglio noto come AI Act, è il primo quadro giuridico completo al mondo dedicato all'intelligenza artificiale. È stato approvato dal Parlamento Europeo nell'aprile 2024 ed è entrato in vigore il 1° agosto 2024.
L'obiettivo è garantire che i sistemi AI usati in Europa siano sicuri, trasparenti e rispettosi dei diritti fondamentali. Per farlo, il regolamento classifica i sistemi AI in quattro categorie di rischio — e assegna obblighi diversi a seconda della categoria.
La cosa che molte PMI non sanno è che il regolamento si applica non solo a chi sviluppa sistemi AI, ma anche a chi li utilizza nei propri processi aziendali. In gergo tecnico, sei un "deployer" — e hai obblighi precisi.
I quattro livelli di rischio
Il cuore dell'AI Act è la classificazione per livello di rischio. Capire dove si collocano i sistemi AI che usi è il primo passo per capire cosa ti viene richiesto.
| Livello | Esempi | Conseguenza |
|---|---|---|
| Inaccettabile | Riconoscimento facciale di massa, manipolazione del comportamento | Vietati. Non si possono usare. |
| Alto rischio | AI per selezione del personale, valutazione del credito, sistemi medici | Obblighi stringenti: conformità, audit, trasparenza |
| Rischio limitato | Chatbot, generatori di contenuti, strumenti di sintesi | Obbligo di trasparenza verso gli utenti |
| Rischio minimo | Filtri antispam, motori di raccomandazione, strumenti produttività | Nessun obbligo specifico |
La maggior parte degli strumenti AI usati nelle PMI italiane — ChatGPT per la comunicazione, Copilot per la produttività, tool di analisi dati — rientra nella categoria rischio limitato o minimo. Ma non è detto che la situazione rimanga così semplice.
Quando diventa alto rischio — e non te ne accorgi
Il problema non è tanto l'AI che usi intenzionalmente. È quella che usi senza renderti conto delle implicazioni.
Usi uno strumento AI per scremare i curriculum, generare domande di colloquio o valutare i candidati? Sei nella categoria alto rischio. L'AI Act richiede supervisione umana, documentazione e trasparenza verso i candidati.
Usi AI per valutare l'affidabilità dei clienti, calcolare prezzi personalizzati o decidere a chi concedere credito? Anche questo può rientrare nell'alto rischio — con tutti gli obblighi che ne derivano.
Pubblichi testi, immagini o video generati con AI senza dichiararlo? Il regolamento impone obblighi di trasparenza: il destinatario deve sapere che sta interagendo con contenuti artificiali.
Questi non sono scenari futuristici. Stanno accadendo già oggi in migliaia di PMI italiane — nella totale inconsapevolezza degli obblighi normativi.
Gli obblighi concreti per i deployer
Se la tua azienda usa sistemi AI ad alto rischio, il Regolamento ti impone di:
- Garantire la supervisione umana — le decisioni ad alto impatto non possono essere delegate interamente all'AI
- Mantenere un registro dei log — documentare come e quando il sistema AI viene utilizzato
- Informare le persone coinvolte — dipendenti, clienti o candidati devono sapere quando sono soggetti a un sistema AI
- Verificare la conformità del fornitore — il provider del sistema AI deve avere la marcatura CE e la documentazione tecnica
- Segnalare gli incidenti gravi — analogamente alla NIS2, esistono obblighi di notifica in caso di problemi
Per i sistemi a rischio limitato, l'obbligo principale è la trasparenza: gli utenti devono sapere quando stanno interagendo con un sistema AI.
Le sanzioni: numeri che fanno riflettere
L'AI Act non è una di quelle normative europee senza denti. Le sanzioni sono calibrate sulla gravità della violazione:
- 35 milioni di euro o 7% del fatturato mondiale — per uso di sistemi AI vietati (rischio inaccettabile)
- 15 milioni di euro o 3% del fatturato mondiale — per violazione degli obblighi sui sistemi ad alto rischio
- 7,5 milioni di euro o 1,5% del fatturato mondiale — per informazioni false fornite alle autorità
Per le PMI sono previste riduzioni proporzionali. Ma anche una sanzione ridotta applicata a una piccola impresa può essere devastante.
La Legge italiana sull'AI: un livello in più
Al quadro europeo si aggiunge la Legge italiana sull'AI (L. 23 settembre 2025, n. 132), entrata in vigore il 10 ottobre 2025. Non sostituisce l'AI Act — lo integra con disposizioni specifiche per l'ordinamento italiano.
Tra le novità più rilevanti per le PMI: disposizioni su responsabilità civile per i danni causati da sistemi AI, obblighi aggiuntivi di trasparenza nel settore assicurativo e finanziario, e misure di supporto per le piccole imprese nell'adeguamento normativo.
Da dove iniziare — senza farsi sopraffare
La buona notizia è che per la maggior parte delle PMI italiane, la situazione è gestibile. Il punto di partenza è sempre lo stesso: capire cosa si ha in casa.
Fai un elenco di tutti gli strumenti AI usati in azienda — compresi quelli usati dai singoli dipendenti in modo autonomo. ChatGPT, Copilot, Grammarly, Midjourney, strumenti di analisi dati, chatbot, qualsiasi cosa. Questo è il punto di partenza.
Per ogni strumento, verifica in quale categoria di rischio rientra l'uso che ne fai nella tua azienda specifica. Lo stesso strumento può essere a rischio minimo in un contesto e alto rischio in un altro — dipende dall'applicazione.
Definisci una policy aziendale sull'uso dell'AI: quali strumenti sono approvati, con quali dati possono essere usati, chi è responsabile della supervisione. Non deve essere un documento di cento pagine — deve essere chiaro e applicabile.
Non devi fare tutto questo da solo. È esattamente il tipo di analisi che conduco con le PMI nell'ambito del mio metodo di consulenza.
La connessione con la Shadow AI
Se hai letto il mio articolo sulla Shadow AI, vedrai immediatamente la connessione. I dipendenti che usano strumenti AI non autorizzati non solo creano rischi di sicurezza informatica e violazioni GDPR — ma espongono l'azienda anche agli obblighi dell'AI Act.
Una governance efficace dell'AI deve affrontare entrambi i problemi contemporaneamente. Non sono silos separati. Sono due facce dello stesso problema: l'uso non governato dell'intelligenza artificiale in azienda.
Nella tua azienda, come siete messi?
30 minuti, senza impegno. Analizziamo insieme la tua situazione e definiamo i primi passi concreti.