Chi è soggetto all'AI Act e chi resta fuori

La domanda che arriva più spesso a chi si occupa di conformità è se una piccola impresa che non sviluppa nulla debba davvero preoccuparsi dell'AI Act. La risposta è sì, ma molto meno di quanto si teme: usare ChatGPT in azienda fa già rientrare nel perimetro del regolamento, nel ruolo di utilizzatore, e la maggior parte degli obblighi che ne derivano è gestibile senza stravolgere nulla.

Le tre esclusioni

Prima di guardare a chi rientra, conviene vedere chi resta fuori per davvero, perché sono solo tre casi e nessuno riguarda una PMI che usa strumenti di AI nella propria attività. I sistemi usati esclusivamente per scopi militari, di difesa o sicurezza nazionale sono esclusi chiunque sia il soggetto che li impiega: conta la finalità, non la categoria di ente, tanto che un'azienda privata che sviluppa un sistema per la difesa resta fuori solo per quel sistema specifico, non per gli altri che produce. I sistemi usati unicamente per ricerca, prova e sviluppo prima dell'immissione sul mercato non rientrano, ma l'esclusione cade nel momento in cui il sistema esce dal laboratorio: una sperimentazione interna su dati reali, con utenti veri, non è più ricerca pura. E chi usa l'intelligenza artificiale per sé, fuori da qualsiasi attività professionale, non ha obblighi: generare immagini per divertimento la domenica sera non produce alcun adempimento.

Il criterio: territorio ed effetti, non nazionalità

L'articolo 2 del regolamento lega l'applicazione al mercato europeo, non alla sede legale. Rientrano chi immette sistemi di AI sul mercato dell'Unione o li mette in servizio, anche se ha sede fuori; chi li usa nell'Unione nell'esercizio della propria attività professionale; e chi, pur stando fuori dall'Unione, produce risultati che vengono usati nell'Unione. È quest'ultimo punto a sorprendere di più: un fornitore con sede a San Francisco che analizza curriculum di candidati italiani rientra comunque, perché l'esito del sistema ha effetti qui, indipendentemente da dove sia stato costruito.

I casi di confine che riguardano davvero le PMI

Le esclusioni astratte raramente risolvono i dubbi reali, che riguardano quasi sempre situazioni molto più concrete. Chi usa ChatGPT per scrivere email rientra come utilizzatore, ma l'uso interno di un assistente generico per produrre testi ricade nel rischio minimo, senza obblighi specifici oltre all'alfabetizzazione del personale prevista dall'articolo 4; se però quei testi vengono pubblicati come contenuti generati dall'AI, scatta l'obbligo di etichettatura dell'articolo 50. Chi ha un chatbot sul sito rientra nel rischio limitato, con obblighi in vigore dal 2 agosto 2026: il chatbot deve dichiarare di essere un sistema automatico in modo chiaro e visibile, e una riga nelle condizioni d'uso non basta. Chi scopre che il proprio gestionale ha una funzione di AI non scelta direttamente rientra comunque per l'uso che ne fa: la responsabilità di chi fornisce il gestionale non cancella quella dell'azienda come utilizzatore, che deve sapere cosa fa quella funzione e informare chi ne è toccato, ed è l'argomento più forte per fare un inventario, dato che quasi nessuna azienda sa quante funzioni di AI siano già attive nei software che ha comprato.

Chi seleziona i curriculum con uno strumento automatico rientra nell'allegato III, alto rischio, con obblighi che si applicano dal 2 dicembre 2027 ma un lavoro di conformità che richiede più di un anno, tra valutazione, sistema di gestione dei rischi, documentazione e sorveglianza umana strutturata: è l'unico caso in cui una PMI italiana finisce con probabilità nell'alto rischio, ed è anche il più diffuso. E chi rivende un prodotto AI con il proprio marchio non è più utilizzatore ma fornitore, con tutti gli obblighi del caso, lo stesso vale se modifica sostanzialmente un sistema ad alto rischio o ne cambia la finalità dichiarata: è il passaggio di ruolo che espone di più le software house e le agenzie che costruiscono soluzioni sopra modelli di terzi.

Come stabilire la propria posizione in tre domande

Tre domande bastano per orientarsi. Si sviluppa il sistema, o lo si fa sviluppare, per poi immetterlo sul mercato con il proprio nome? Se sì, si è fornitori. Lo si usa soltanto, nella propria attività professionale? Allora si è utilizzatori, e gli obblighi si riducono a usarlo secondo le istruzioni, garantire supervisione umana, informare le persone coinvolte. E a cosa serve, in concreto? È la domanda che determina la classe di rischio, e quindi il peso degli obblighi, perché la stessa tecnologia cambia categoria a seconda dell'uso che se ne fa.

Una precisazione sulle dimensioni

Non esiste una soglia dimensionale sotto la quale l'AI Act non si applica: una ditta individuale con un chatbot ha gli stessi obblighi di trasparenza di una multinazionale. Il regolamento tiene però conto delle dimensioni in due punti. Le sanzioni per PMI e startup applicano il minore fra l'importo fisso e la percentuale sul fatturato, invece del solo importo fisso. E gli spazi di sperimentazione normativa, operativi dal 2 agosto 2027, prevedono un accesso agevolato per le piccole imprese. Il Digital Omnibus ha esteso il criterio sanzionatorio agevolato anche alle small mid-cap fino a 500 dipendenti, allargando la platea di chi beneficia di queste condizioni più leggere.

Il riferimento normativo di fondo resta il Regolamento (UE) 2024/1689, articoli 2, 3, 4, 5, 6, 25, 50, 99 e allegato III, con le modifiche introdotte dal Digital Omnibus in vigore dal 27 luglio 2026.

Un ultimo punto pratico: capire il proprio ruolo non è un esercizio da fare una volta sola. Un'azienda che oggi usa soltanto strumenti di terzi può diventare fornitrice il giorno in cui decide di integrare un modello nel proprio prodotto e venderlo con il proprio marchio, e a quel punto gli obblighi cambiano radicalmente. Vale la pena rivedere la propria posizione ogni volta che cambia in modo sostanziale l'uso che si fa dell'AI, non solo quando arriva una nuova scadenza normativa.

Se vuoi capire in quale ruolo rientra la tua azienda, parliamone.