AI Act: cosa obbliga davvero una PMI che usa l'AI

L'AI Act è il regolamento europeo sull'intelligenza artificiale ⁶. Per una PMI che usa strumenti già pronti, gli obblighi sono pochi: formare chi usa l'AI, essere trasparenti con clienti e lettori, e stare attenti a pochi usi definiti ad alto rischio.

La legge distingue chi fornisce un sistema di AI, cioè chi lo sviluppa o lo mette sul mercato col proprio nome, da chi lo usa nella propria attività. La gran parte delle PMI sta nel secondo gruppo, ed è a loro che si rivolge questa guida.

Non è una consulenza legale: è la mappa per capire dove guardare.

Le date che contano

Le date vengono dalla pagina della Commissione europea ¹:

• 1 agosto 2024: il regolamento entra in vigore ¹.
• 2 febbraio 2025: si applicano i divieti e l'obbligo di alfabetizzazione sull'AI ¹.
• 2 agosto 2025: si applicano le regole sui modelli per finalità generali, quelli dei grandi produttori ¹.
• 2 agosto 2026: si applicano gli obblighi di trasparenza ¹.
• 2 dicembre 2027: si applicano gli obblighi per i sistemi ad alto rischio elencati nell'Allegato III, come quelli usati per il lavoro o l'istruzione ¹.
• 2 agosto 2028: si applicano gli obblighi per l'AI dentro prodotti già regolati, come ascensori e giocattoli ¹.

Le ultime due date sono il frutto del Digital Omnibus, il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026 ⁴. Prima gli obblighi da alto rischio sarebbero scattati tutti nell'agosto 2026 ¹.

Formare chi usa l'AI

Dal 2 febbraio 2025 si applica l'obbligo legato all'alfabetizzazione sull'AI ¹. Per una PMI vuol dire che chi usa gli strumenti di AI per lavoro deve sapere cosa fanno, dove sbagliano e cosa non ci si incolla. Una sessione di formazione e una regola scritta sono il minimo ragionevole.

Dire quando c'è di mezzo un'AI

L'articolo 50 fissa gli obblighi di trasparenza, in vigore dal 2 agosto 2026 ^{2, 5}:

• Chatbot: chi parla con un sistema di AI deve esserne informato, salvo che sia evidente ². L'obbligo è del fornitore del sistema, ma se metti un chatbot sul sito col nome della tua azienda, fallo presentare come assistente AI fin dal primo messaggio.
• Deepfake: chi usa immagini, audio o video generati o manipolati che sembrano veri deve dichiararlo ².
• Testi su temi di interesse pubblico: se pubblichi testi generati dall'AI per informare il pubblico, devi dichiararlo, salvo che una persona li abbia rivisti e se ne assuma la responsabilità editoriale ².

L'informazione va data al più tardi alla prima interazione o esposizione ².

Per i sistemi generativi già sul mercato prima del 2 agosto 2026 la marcatura tecnica dei contenuti, quella leggibile dalle macchine, ha tempo fino al 2 dicembre 2026 ⁵. È un obbligo dei fornitori, non tuo.

Quando diventi "alto rischio"

Gli obblighi pesanti (documentazione, supervisione umana, controlli) riguardano gli usi elencati nell'Allegato III del regolamento ^{1, 6}. Per una PMI il caso più frequente è il personale: un sistema che seleziona curriculum o valuta i dipendenti.

Se usi l'AI per scrivere mail, riassumere documenti o rispondere sugli orari, non sei in questa casella. Se la usi per decidere chi assumere, sì, e dal 2 dicembre 2027 ¹.

Le sanzioni

Le multe massime sono tre fasce ³:

• fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate ³;
• fino a 15 milioni o al 3% per gli altri obblighi, compresa la trasparenza ³;
• fino a 7,5 milioni o all'1% per informazioni false date alle autorità ³.

Per le PMI vale il più basso fra importo e percentuale ³. In Italia le sanzioni le definisce anche la normativa nazionale, raccontata nella guida sulla legge 132/2025.

Cosa fare adesso

• Fai l'elenco degli strumenti di AI usati in azienda e per cosa.
• Segna quelli che toccano il personale: selezione, valutazione, turni. Sono i candidati all'alto rischio.
• Fai presentare il chatbot come AI fin dal primo messaggio.
• Scrivi due righe di regole per chi usa l'AI e fai una sessione di formazione. Conserva traccia di entrambe.
• Se pubblichi testi o immagini generati, decidi chi li rivede prima che escano.