Guida Completa all’AI Act EU per le PMI Italiane (2025-2026)
Pubblicato il 1 giugno 2026 | Ultimo aggiornamento: luglio 2026 | Fabio Moretti | Categoria: AI Act
Il Regolamento Europeo sull’Intelligenza Artificiale (AI Act, Regolamento UE 2024/1689) è la prima legge al mondo che regolamenta in modo sistematico l’uso dei sistemi di intelligenza artificiale. È entrato in vigore il 1° agosto 2024 e si applica progressivamente fino al 2027.
Se usi strumenti AI nella tua azienda — un chatbot, un sistema di selezione del personale, un software che analizza dati dei clienti, anche solo ChatGPT per le email — l’AI Act ti riguarda. Non è una normativa pensata solo per i giganti tecnologici: colpisce chiunque utilizzi, distribuisca o metta in commercio sistemi di intelligenza artificiale nell’Unione Europea.
Le sanzioni per chi non si adegua arrivano fino al 3% del fatturato mondiale annuo (o 15 milioni di euro, si applica il maggiore). Per una PMI italiana, anche solo un 1% di sanzione può essere devastante. In questa guida trovi tutto quello che serve sapere: cosa dice la normativa, come classificare i sistemi AI che usi, le scadenze reali e cosa devi fare concretamente per essere in regola.
Risposta breve: l’AI Act si applica a chiunque utilizzi sistemi AI in modo professionale nell’UE. Per le PMI italiane, gli obblighi dipendono dal livello di rischio dei sistemi usati. Le scadenze più stringenti scattano ad agosto 2026.
Indice
- Cos’è l’AI Act in parole semplici
- Chi deve rispettare l’AI Act
- I 4 livelli di rischio: come si classifica un sistema AI
- Le scadenze che ogni PMI deve conoscere
- Cosa deve fare concretamente la tua azienda
- Le sanzioni: quanto rischi se non ti adegui
- AI Act e GDPR: come si relazionano
- Domande frequenti (FAQ)
- Prossimi passi: come partire
1. Cos’è l’AI Act in parole semplici
L’AI Act è un regolamento europeo che definisce regole chiare per lo sviluppo e l’utilizzo dell’intelligenza artificiale all’interno dell’Unione Europea. Non vieta l’AI — anzi, la incentiva — ma stabilisce chi può usarla, come e con quali garanzie.
Il principio fondamentale è la proporzionalità al rischio: più un sistema AI può influenzare la vita delle persone, più è soggetto a obblighi severi. L’AI Act distingue tre categorie di soggetti:
- Fornitori (providers): chi sviluppa o vende sistemi AI
- Utilizzatori (deployers): chi usa sistemi AI nel proprio contesto professionale
- Importatori e distributori: chi mette in commercio sistemi AI sviluppati fuori dall’UE
Come PMI italiana, è molto probabile che tu sia un utilizzatore (deployer): non sviluppi AI, ma la usi. Gli obblighi per i deployer sono meno gravosi di quelli per i provider, ma esistono e vanno rispettati.
2. Chi deve rispettare l’AI Act
L’AI Act si applica a chiunque, nell’esercizio di un’attività professionale o commerciale, utilizzi sistemi di intelligenza artificiale nell’Unione Europea o i cui output hanno effetto nell’UE. Sei soggetto all’AI Act se:
- Usi strumenti AI per prendere decisioni che riguardano persone fisiche (clienti, dipendenti, candidati)
- Utilizzi chatbot AI nel tuo sito o nel servizio clienti
- Impieghi software che usa AI per analisi creditizia, scoring, valutazione dei candidati
- Usi strumenti di AI generativa (ChatGPT, Copilot, Claude, Gemini) in modo sistematico nel lavoro
- Distribuisci prodotti o servizi che incorporano componenti AI
| Scenario | Soggetto all’AI Act? |
|---|---|
| Uso ChatGPT per scrivere email | Sì (uso professionale di AI generativa) |
| Chatbot sul sito per rispondere ai clienti | Sì (deployer di sistema AI) |
| Software HR con ranking automatico dei CV | Sì (sistema ad alto rischio) |
| Strumento AI per previsioni di vendita | Sì (sistema AI ai sensi della norma) |
| Excel per calcolare le fatture | No (non è AI ai sensi della norma) |
3. I 4 livelli di rischio: come si classifica un sistema AI
Il cuore dell’AI Act è il sistema di classificazione per livelli di rischio. Ogni sistema AI rientra in una delle quattro categorie, a cui corrispondono obblighi diversi.
Rischio Inaccettabile — Vietati
Sistemi AI che violano diritti fondamentali. Sono completamente vietati dal 2 febbraio 2025: sistemi di social scoring governativi, riconoscimento biometrico in tempo reale in spazi pubblici, sistemi di manipolazione subliminale, sfruttamento delle vulnerabilità di gruppi specifici.
Per le PMI: altamente improbabile rientrarvi. Nessuna PMI italiana standard usa queste tecnologie.
Alto Rischio — Obblighi Stringenti
Sistemi che possono avere impatti significativi sulla vita delle persone: sistemi di selezione e valutazione del personale (screening CV automatico), sistemi di scoring creditizio, sistemi usati in ambito sanitario o educativo. Chi li usa deve verificare la conformità del fornitore, implementare supervisione umana, conservare i log di utilizzo e formare il personale.
Per le PMI: se usi software HR con AI per filtrare i CV o sistemi di credit scoring automatizzato, sei in questa categoria.
Rischio Limitato — Obblighi di Trasparenza
Sistemi che interagiscono con le persone senza che queste lo sappiano. Esempio tipico: chatbot e assistenti virtuali. L’obbligo principale è informare chiaramente l’utente che sta interagendo con un sistema AI.
Per le PMI: questo è probabilmente il livello più rilevante per chi usa chatbot sul sito o tool di AI generativa nel servizio clienti.
Rischio Minimo — Nessun Obbligo Specifico
La grande maggioranza dei sistemi AI rientra in questa categoria: filtri antispam, AI per raccomandazioni di contenuto, strumenti di ottimizzazione dei processi interni senza impatto diretto sulle persone.
Per le PMI: usare ChatGPT per ottimizzare i testi del sito, uno strumento AI per le performance di marketing o un software di previsione magazzino rientra qui. Nessun obbligo specifico, ma è sempre buona pratica documentare l’uso.
4. Le scadenze che ogni PMI deve conoscere
L’AI Act non è entrato in vigore tutto in una volta. Ha un calendario di applicazione progressiva che è fondamentale conoscere.
| Data | Cosa entra in vigore |
|---|---|
| 1° agosto 2024 | Entrata in vigore del Regolamento |
| 2 febbraio 2025 ✓ | Divieto assoluto per sistemi a rischio inaccettabile — già in vigore |
| 2 agosto 2025 ← sei qui | Obblighi per i modelli AI general purpose (GPAI) e governance |
| 2 agosto 2026 | Piena applicazione per sistemi ad alto rischio (Allegato III) |
| 2 agosto 2027 | Applicazione per sistemi AI incorporati in prodotti soggetti ad altra normativa |
Cosa significa per una PMI italiana oggi: i sistemi vietati sono già illegali dal 2 febbraio 2025. Se usi AI in processi HR o creditizi, hai tempo fino ad agosto 2026 per adeguarti — ma è meglio iniziare subito. Se il tuo chatbot non dichiara di essere AI, devi adeguarti già ora.
5. Cosa deve fare concretamente la tua azienda
Ecco un percorso pratico in 5 passi per una PMI italiana che vuole essere conforme all’AI Act.
- Censisci tutti i sistemi AI in uso. Prima di tutto, sai esattamente quali strumenti AI stai usando? Crea un inventario con: nome del tool, fornitore, scopo d’uso, dati trattati, impatto sulle persone.
- Classifica ogni sistema per livello di rischio. Per ciascun sistema nel tuo inventario, applica la classificazione dell’AI Act. La domanda chiave: questo sistema prende o influenza decisioni che riguardano persone fisiche in modo significativo?
- Fai una Gap Analysis. Confronta la tua situazione attuale con gli obblighi previsti per ogni livello di rischio. Dove hai lacune? Mancano disclaimer di trasparenza? Non hai log di utilizzo?
- Implementa le misure necessarie. Aggiungi disclaimer AI nei chatbot, verifica la documentazione dei fornitori ad alto rischio, forma il personale, aggiorna le policy interne e i contratti.
- Documenta tutto. L’AI Act richiede documentazione. Tieni traccia di: quali sistemi usi, come li usi, quali misure hai adottato, chi supervisiona i processi AI.
Checklist di partenza per la tua PMI
- ☐Ho un inventario di tutti gli strumenti AI che la mia azienda utilizza?
- ☐Ogni chatbot o assistente AI nel mio sito informa chiaramente l’utente che sta parlando con una macchina?
- ☐I contratti con i fornitori di software AI sono stati aggiornati con le clausole AI Act?
- ☐Se uso sistemi AI per selezione del personale o scoring creditizio, ho verificato la conformità del fornitore?
- ☐Il personale che usa sistemi AI ad alto rischio ha ricevuto formazione adeguata?
6. Le sanzioni: quanto rischi se non ti adegui
L’AI Act prevede un sistema sanzionatorio su tre livelli. Si applica sempre il valore maggiore tra importo fisso e percentuale del fatturato.
| Violazione | Sanzione massima |
|---|---|
| Uso di sistemi AI vietati (rischio inaccettabile) | 35 milioni € o 7% del fatturato mondiale |
| Violazione degli obblighi principali (sistemi ad alto rischio) | 15 milioni € o 3% del fatturato mondiale |
| Fornitura di informazioni errate alle autorità | 7,5 milioni € o 1% del fatturato mondiale |
Per le PMI è prevista proporzionalità: le autorità di vigilanza devono tenere conto della dimensione aziendale. Ma “proporzionale” non significa “zero”: anche per una PMI con 2 milioni di fatturato, l’1% sono 20.000 euro. L’autorità di vigilanza in Italia sarà l’AgID, in collaborazione con il Garante Privacy.
7. AI Act e GDPR: come si relazionano
Una domanda frequente: l’AI Act sostituisce il GDPR? No. I due regolamenti coesistono e si integrano. Nella pratica: se usi un sistema AI che tratta dati personali (quasi tutti), devi rispettare entrambe le normative contemporaneamente.
La buona notizia è che molte misure si sovrappongono: documentazione, trasparenza, supervisione umana, valutazioni d’impatto. Chi è già conforme al GDPR ha già percorso metà strada verso la conformità AI Act.
| Aspetto | GDPR | AI Act |
|---|---|---|
| Focus | Protezione dei dati personali | Sicurezza e affidabilità dei sistemi AI |
| Quando si applica | Quando si trattano dati personali | Quando si usano sistemi AI |
| Chi vigila in Italia | Garante Privacy | AgID |
| Sanzioni | Fino al 4% del fatturato globale | Fino al 7% del fatturato globale |
8. Domande frequenti (FAQ)
9. Prossimi passi: come partire
Se sei arrivato fino a qui, hai già una comprensione dell’AI Act superiore a quella della maggior parte delle PMI italiane. È il momento di trasformare la conoscenza in azione.
Il percorso minimo consigliato per una PMI:
- Settimana 1: Censisci tutti gli strumenti AI che usi
- Settimana 2: Classifica ciascuno per livello di rischio
- Settimana 3: Identifica i gap più urgenti (mancano disclaimer? mancano contratti aggiornati?)
- Mese 2: Implementa le misure prioritarie
- Mese 3: Forma il personale e documenta tutto
Hai bisogno di supporto? Ogni azienda è diversa. Una Gap Analysis personalizzata è il modo più efficiente per capire esattamente dove sei e cosa fare concretamente.
Cosa fare adesso con l'AI Act
Ogni azienda è diversa. Quello che per una PMI manifatturiera è un sistema ad alto rischio, per uno studio professionale potrebbe essere rischio minimo. Analizzo la tua situazione in 30 minuti e ti dico cosa serve fare concretamente — senza tecnicismi e senza sorprese.
Fonti e riferimenti
Questo articolo ha finalità informative e non costituisce consulenza legale. I contenuti sono aggiornati a luglio 2026. L’applicazione dell’AI Act deve essere valutata in base alla specifica situazione aziendale.
