Normativa e compliance
AI Act: cosa cambia dal 2 agosto per le PMI italiane
Molti imprenditori che seguiamo ci stanno chiedendo la stessa cosa: "Abbiamo iniziato a usare qualche strumento di intelligenza artificiale in azienda — un chatbot sul sito, un tool che genera bozze di email, un software che analizza i dati di vendita. Adesso mi dicono che c'è una nuova normativa europea. Devo fare qualcosa? Rischio sanzioni?". La risposta breve è: sì, qualcosa va fatto, ma senza allarmismi. La risposta lunga è questo articolo.
Cosa succede dal 2 agosto
Dal 2 agosto 2026 diventano pienamente applicabili gran parte degli obblighi previsti dall'AI Act, il regolamento europeo sull'intelligenza artificiale entrato in vigore nel 2024. Non è una novità piombata dall'alto: le imprese hanno avuto due anni per prepararsi. Il problema è che la maggior parte delle PMI italiane non se ne è occupata, convinta che il tema riguardasse solo le big tech.
Non è così. L'AI Act si applica a chi sviluppa sistemi di intelligenza artificiale, ma anche — ed è il punto che interessa le PMI — a chi li utilizza. In termini normativi, siete "deployer" ogni volta che integrate uno strumento AI nei vostri processi aziendali. E i deployer hanno obblighi precisi.
Gli obblighi variano in base al livello di rischio del sistema utilizzato. La classificazione prevede quattro categorie: rischio inaccettabile (vietati), alto rischio (obblighi stringenti), rischio limitato (obblighi di trasparenza), rischio minimo (nessun obbligo specifico). La maggior parte degli strumenti che una PMI usa quotidianamente ricade nella categoria "rischio limitato" o "minimo". Ma attenzione: alcuni usi apparentemente banali possono ricadere nell'alto rischio.
Perché è rilevante per le PMI italiane
Il tessuto imprenditoriale italiano ha adottato l'AI con grande pragmatismo negli ultimi due anni. Piccole imprese manifatturiere che usano modelli predittivi sulla manutenzione, studi professionali che generano report automatizzati, aziende commerciali che profilano i clienti con algoritmi di raccomandazione. Tutto molto utile, spesso molto efficace. Quasi mai documentato.
Il problema principale che riscontriamo sul campo è proprio questo: le PMI italiane non hanno un inventario dei sistemi AI che utilizzano. Non sanno con precisione quali strumenti sono in uso, in quali processi, con quali dati e con quale impatto sulle decisioni aziendali. In caso di controllo, questa opacità è il primo elemento che espone a rischi.
Le sanzioni previste dall'AI Act sono significative e vengono calcolate in percentuale sul fatturato. Ma prima ancora delle sanzioni, il vero rischio operativo è un altro: perdere fiducia di clienti e fornitori. Sempre più committenti — soprattutto nel B2B — chiedono ai partner una dichiarazione sull'uso di sistemi AI. Non essere in grado di rispondere significa perdere gare e commesse.
Come si applica: tre scenari concreti
Azienda commerciale con e-commerce. Un cliente utilizza un chatbot AI sul proprio sito per rispondere alle domande dei visitatori. Dal 2 agosto ha l'obbligo esplicito di informare l'utente che sta interagendo con un sistema automatizzato. Sembra banale, ma richiede di aggiornare l'informativa, verificare i log di conversazione, definire chi si occupa del monitoraggio. In parallelo, se il chatbot suggerisce prodotti in base a profilazione, servono verifiche aggiuntive.
Studio di consulenza del lavoro. Uno studio che assistiamo utilizza un software AI per pre-analizzare i CV nelle selezioni di personale che gestisce per i clienti. Questo caso ricade nell'alto rischio, perché lo screening automatizzato di candidature ha effetti diretti sull'accesso al lavoro. Gli obblighi sono più stringenti: valutazione d'impatto, supervisione umana documentata, informativa specifica ai candidati, registro dettagliato.
Impresa edile con software di stima. Un'impresa edile utilizza uno strumento AI che genera stime automatiche per gare d'appalto pubbliche. Anche qui il livello di attenzione è alto: l'output influenza scelte economiche rilevanti e, nel caso di gare pubbliche, potrebbe rientrare tra i sistemi ad alto rischio. Serve documentazione sulla logica dello strumento, sulla validazione umana delle stime prodotte, sulla gestione degli scostamenti.
Prima del 2 agosto
Adozione informale dell'AI
- ✕Nessun inventario degli strumenti in uso
- ✕Informative clienti non aggiornate
- ✕Nessuna valutazione di rischio
- ✕Responsabilità interne non assegnate
Dopo l'adeguamento
Governance AI strutturata
- ✓Registro dei sistemi AI aziendali
- ✓Classificazione per livello di rischio
- ✓Informative aggiornate a clienti e dipendenti
- ✓Referente AI nominato internamente
Checklist minima di adeguamento
Sulla base del lavoro che stiamo facendo con i clienti, questi sono i passaggi essenziali da coprire entro le prossime settimane.
Sei passaggi per l'adeguamento
Mappatura dei sistemi AI in uso, inclusi quelli integrati in software già presenti (CRM, gestionale, HR).
Classificazione di ciascun sistema per livello di rischio secondo le categorie previste dal regolamento.
Verifica delle informative verso clienti, dipendenti, fornitori e aggiornamento dei testi.
Nomina di un referente AI interno, anche part-time, con compiti chiari di monitoraggio.
Formazione minima al personale che interagisce con i sistemi AI, con evidenza documentale.
Predisposizione di un registro interno aggiornabile, con log delle decisioni prese con supporto AI.
FAQ
La mia azienda usa solo ChatGPT per scrivere email. Devo adeguarmi? Sì, ma con obblighi molto leggeri. Basta comunicare internamente che lo strumento è in uso, formare le persone sull'uso corretto (in particolare sulla non condivisione di dati riservati) e prevedere una supervisione umana sui contenuti prima dell'invio esterno. Se le email