AI Act in azienda: la guida pratica alla conformità

"Usiamo un chatbot per l'assistenza e un software HR con qualche funzione di AI: dobbiamo preoccuparci dell'AI Act?" È la domanda che sentiamo più spesso da chi guida una PMI italiana, ed è anche la domanda giusta da farsi, perché la risposta quasi sempre è sì, ma non nel modo in cui la maggior parte delle persone se lo immagina.

L'AI Act (Regolamento UE 2024/1689) non è pensato per fermare le aziende: è pensato per far sì che chi usa l'intelligenza artificiale lo faccia sapendo cosa sta facendo. Questa guida ti aiuta a capire dove ti collochi, cosa devi fare davvero e da quando.

Prima domanda: sei un fornitore o un utilizzatore?

Prima ancora del livello di rischio, conta il tuo ruolo nella filiera, perché determina quanto gli obblighi pesano su di te.

Se sviluppi o vendi un sistema di AI, sei un fornitore (provider): il caso di software house, consulenti che costruiscono soluzioni su misura, aziende tecnologiche. Gli obblighi sono pesanti: documentazione tecnica, prove di robustezza, registrazione dei sistemi ad alto rischio, marcatura CE per alcuni casi.

Se invece usi uno strumento costruito da altri, come ChatGPT, un gestionale HR con AI integrata o un chatbot fornito da un partner, sei un utilizzatore (deployer). È la situazione della quasi totalità delle PMI italiane, e gli obblighi sono più leggeri, ma non assenti: verificare che il sistema funzioni come dichiarato, garantire supervisione umana sulle decisioni importanti, conservare registri, informare chi ne subisce gli effetti.

Il rischio decide quanto ti riguarda

Il regolamento non tratta tutta l'AI allo stesso modo: più un sistema può incidere sulle persone, più stringenti sono le regole. Ci sono quattro livelli, e conviene guardarli dal basso verso l'alto, perché è lì che si trova la maggior parte delle PMI.

Rischio minimo è dove ricade quasi tutto ciò che un'azienda usa ogni giorno: filtri antispam, raccomandazioni di prodotto, strumenti di produttività, analisi delle vendite. Nessun obbligo aggiuntivo oltre a GDPR e norme di settore.

Rischio limitato riguarda i sistemi che parlano con le persone o generano contenuti: chatbot, voice agent, testi e immagini prodotti dall'AI. L'obbligo è uno solo, ma va rispettato sempre: dire chiaramente che si sta interagendo con un'AI. È la categoria più rilevante per chi ha un assistente sul sito o al telefono.

Alto rischio è la zona che richiede un lavoro vero: selezione del personale, valutazione delle prestazioni, merito creditizio, infrastrutture critiche, sanità, giustizia. Qui servono documentazione tecnica, supervisione umana, registri delle attività e, in alcuni casi, una valutazione d'impatto prima di partire.

Rischio inaccettabile copre pratiche vietate ovunque nell'UE, come il punteggio sociale o la manipolazione subliminale dei comportamenti: lontane dalla vita quotidiana di un'impresa, ma da conoscere se si valutano sistemi di monitoraggio del personale particolarmente invasivi.

Cosa scade, e quando devi davvero muoverti

Le scadenze sono scaglionate, e il Digital Omnibus, in vigore dal 27 luglio 2026, ha spostato in avanti quelle più pesanti. Già in vigore ci sono il divieto delle pratiche a rischio inaccettabile e l'obbligo di alfabetizzazione del personale, entrambi dal 2 febbraio 2025, oltre alle regole per i modelli di AI per finalità generali dal 2 agosto 2025. Dal 2 agosto 2026 scatta l'obbligo di trasparenza per chatbot e contenuti generati: se hai un assistente sul sito, è la data che ti riguarda davvero. Gli obblighi più pesanti, quelli sui sistemi ad alto rischio come selezione del personale e credito, sono slittati al 2 dicembre 2027; quelli sui sistemi integrati in prodotti regolamentati, come dispositivi medici, al 2 agosto 2028.

In pratica, per la maggior parte delle PMI la scadenza da avere in agenda è agosto 2026.

Non sei mai solo con l'AI Act: c'è sempre il GDPR

Ogni volta che un sistema di AI tratta dati personali, e succede quasi sempre, si applicano insieme AI Act e GDPR, non uno al posto dell'altro. Un chatbot che raccoglie email e richieste dei clienti deve rispettare la trasparenza richiesta dall'AI Act e l'informativa richiesta dal GDPR. Un sistema di selezione del personale è ad alto rischio per l'AI Act e tratta dati sensibili per il GDPR, quindi serve una base giuridica solida su entrambi i fronti.

La tua checklist, e cosa succede se la salti

Cinque passi bastano per la maggior parte delle PMI: fare l'inventario di ogni sistema di AI in uso, compreso quello nascosto dentro software di terzi; classificarne il rischio; verificare le lacune rispetto agli obblighi che si applicano; aggiornare i contratti con i fornitori dei sistemi più delicati; formare le persone che li usano, senza bisogno di corsi lunghi.

Chi salta questi passaggi rischia sanzioni che arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate, fino a 15 milioni o al 3% per le altre violazioni, con l'importo più basso riservato a PMI e startup. In Italia vigilano AgID e ACN, insieme al Garante privacy per gli aspetti sui dati, e i controlli si concentrano tipicamente sui settori più esposti, come sanità, credito e selezione del personale, prima di estendersi al resto del mercato. Ma la sanzione, per una piccola impresa, è quasi sempre lo scenario meno probabile: il rischio reale è il danno d'immagine se un sistema discrimina o tratta male i dati di un cliente. Chi affronta la conformità con metodo, invece, ne esce con sistemi più affidabili e una storia da raccontare ai propri clienti. Se vuoi capire da dove partire nella tua azienda, parliamone.