Cosa deve fare una PMI per l’AI Act nel 2026

Nel 2026 una PMI che usa l’intelligenza artificiale deve fare tre cose concrete: formare le persone che usano l’AI (obbligo di alfabetizzazione, in vigore dal 2 febbraio 2025), dichiarare quando un contenuto o un’interazione è generata dall’AI (obblighi di trasparenza, applicabili dal 2 agosto 2026) e mappare i sistemi di AI in uso per capire se qualcuno rientra tra le pratiche vietate o tra i sistemi ad alto rischio. Gli obblighi più pesanti per l’alto rischio, invece, sono stati rinviati: 2 dicembre 2027 per i sistemi dell’Allegato III e 2 agosto 2028 per quelli integrati in prodotti già regolati.

In sintesi

  • L’AI Act (Regolamento UE 2024/1689) si applica alle PMI in base al ruolo e alla classe di rischio del sistema, non alla dimensione dell’azienda.
  • Sono già applicabili: i divieti sulle pratiche vietate e l’obbligo di alfabetizzazione AI (dal 2 febbraio 2025) e gli obblighi sui modelli per finalità generali (dal 2 agosto 2025).
  • Dal 2 agosto 2026 scattano gli obblighi di trasparenza e la piena operatività di vigilanza e sanzioni.
  • Il pacchetto Digital Omnibus di metà 2026 ha rinviato gli obblighi per i sistemi ad alto rischio al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I): tempo in più per prepararsi, non un’abrogazione.
  • La maggior parte degli usi aziendali comuni (assistenti interni, generazione di testi, automazioni d’ufficio) ricade in rischio limitato o minimo, non in alto rischio.

Le quattro classi di rischio dell’AI Act

L’AI Act classifica i sistemi in base al rischio per diritti e sicurezza delle persone. Capire dove si colloca un sistema è il primo passo per sapere quali obblighi si applicano.

  • Rischio inaccettabile (vietato). Pratiche come il social scoring da parte di autorità pubbliche, la manipolazione subliminale che causa un danno, lo scraping non mirato di volti da internet o CCTV per creare banche dati di riconoscimento facciale, il riconoscimento delle emozioni sul luogo di lavoro e a scuola (salvo motivi medici o di sicurezza). Vietate dal 2 febbraio 2025.
  • Alto rischio. Sistemi usati per selezione del personale e gestione dei lavoratori, valutazione del merito creditizio, accesso a servizi essenziali, componenti di sicurezza di prodotti regolati, alcuni ambiti di istruzione e infrastrutture critiche. Obblighi rilevanti: gestione del rischio, qualità dei dati, documentazione tecnica, sorveglianza umana, registrazione degli eventi, valutazione di conformità.
  • Rischio limitato. Sistemi che interagiscono con le persone (chatbot) o che generano o manipolano contenuti (testi, immagini, audio, video). Obbligo principale: informare che si sta interagendo con un’AI e marcare i contenuti sintetici.
  • Rischio minimo. Tutto il resto — filtri antispam, suggerimenti, automazioni interne senza impatto diretto sui diritti delle persone. Nessun obbligo specifico, oltre alle buone pratiche.

Il calendario aggiornato dopo il Digital Omnibus

Il Regolamento è in vigore dal 1° agosto 2024, con applicazione a tappe. A metà 2026 la Commissione europea ha adottato il pacchetto di semplificazione noto come Digital Omnibus (o AI Omnibus), che ha spostato in avanti le scadenze più critiche per i sistemi ad alto rischio senza modificare l’impianto del Regolamento.

Data Cosa si applica
2 febbraio 2025 Divieti sulle pratiche vietate (art. 5) e obbligo di alfabetizzazione AI (art. 4)
2 agosto 2025 Obblighi per i modelli di AI per finalità generali (GPAI) e regole di governance
2 agosto 2026 Obblighi di trasparenza (art. 50) e piena operatività di vigilanza e sanzioni
2 dicembre 2027 Obblighi per i sistemi ad alto rischio dell’Allegato III (settori sensibili) — rinviati dal Digital Omnibus
2 agosto 2028 Obblighi per i sistemi ad alto rischio integrati in prodotti già regolati (Allegato I)

Le date possono essere ulteriormente precisate da atti attuativi e linee guida: la fonte da tenere aggiornata è la pagina ufficiale della Commissione europea sull’AI Act.

Gli adempimenti che contano già oggi per una PMI

  • Formazione documentata (alfabetizzazione AI). Chi usa strumenti di AI deve sapere cosa fanno, dove sbagliano e come verificarne gli output. Serve una traccia: elenco delle persone formate, contenuti, data.
  • Inventario dei sistemi di AI. Un registro interno con: sistema, fornitore, finalità, dati trattati, ruolo dell’azienda (utilizzatore o fornitore), classe di rischio stimata. È la base di ogni valutazione successiva.
  • Trasparenza verso le persone. Se un chatbot parla con clienti o dipendenti, va dichiarato. I contenuti generati o modificati con l’AI (testo, immagini, audio, video) vanno marcati come tali.
  • Sorveglianza umana sulle decisioni. Nessun processo che incide su persone — assunzioni, valutazioni, credito, accesso a servizi — dovrebbe concludersi senza un controllo umano reale, non solo formale.
  • Allineamento con il GDPR. Base giuridica del trattamento, informativa, valutazione d’impatto (DPIA) quando il rischio è elevato, verifica di dove risiedono e transitano i dati. AI Act e GDPR si leggono insieme.
  • Contratti con i fornitori. Chi fornisce il modello o il sistema deve indicare per iscritto fornitore, regione di elaborazione, uso dei dati per l’addestramento, classificazione del sistema e supporto alla conformità.

Sul fronte nazionale, la Legge 23 settembre 2025, n. 132 (in vigore dal 10 ottobre 2025) integra l’AI Act con principi settoriali e individua AgID e ACN come autorità nazionali di riferimento.

L’errore più comune: trattare ogni automazione come “alto rischio”

Molte PMI, per prudenza, applicano a qualsiasi progetto AI gli obblighi previsti per l’alto rischio. Il risultato è un progetto più lento e più caro senza un reale beneficio di conformità. La maggior parte degli usi aziendali — un assistente che cerca nei documenti interni, un agente che prepara bozze di email, un’automazione che smista richieste — ricade in rischio limitato o minimo. L’alto rischio riguarda casi ben definiti dall’Allegato III: prima di progettare i controlli, va stabilito con precisione dove si colloca il sistema.

Come muoversi, in pratica

  1. Costruisci l’inventario dei sistemi di AI già in uso.
  2. Classifica ciascun sistema per ruolo e classe di rischio.
  3. Attiva la formazione sull’AI per le persone coinvolte e tienine traccia.
  4. Sistema trasparenza, informative e sorveglianza umana sui casi che toccano le persone.
  5. Rivedi i contratti con i fornitori e allinea il tutto al GDPR.

In Agentix questo percorso parte da un assessment che mappa processi, dati e vincoli normativi prima di scrivere codice; la consulenza AI definisce le priorità e il servizio di conformità AI Act e GDPR tiene insieme sviluppo e adempimenti, senza trattarli come attività separate.

Domande frequenti

L’AI Act si applica anche alle PMI?

Sì. Il Regolamento (UE) 2024/1689 non prevede un’esenzione per dimensione: si applica in base al ruolo (fornitore, deployer/utilizzatore, importatore, distributore) e alla classe di rischio del sistema, non al fatturato. Per le PMI e le start-up sono previste alcune misure di supporto — accesso prioritario alle sandbox normative e documentazione tecnica semplificata — ma non un’esclusione dagli obblighi.

Usare ChatGPT, Copilot o Gemini in azienda ci rende “fornitori” di AI?

In genere no. Chi utilizza un sistema di AI di terzi nell’ambito della propria attività è un “deployer” (utilizzatore), con obblighi più leggeri rispetto al fornitore: uso conforme alle istruzioni, sorveglianza umana, informazione alle persone quando previsto. Si diventa fornitori se si sviluppa un sistema, lo si immette sul mercato con il proprio marchio o lo si modifica in modo sostanziale.

Cosa significa l’obbligo di “alfabetizzazione AI”?

L’articolo 4 dell’AI Act, applicabile dal 2 febbraio 2025, chiede a fornitori e utilizzatori di garantire un livello sufficiente di competenza sull’AI al personale che se ne occupa: capire cosa fa il sistema, quali sono i limiti e i rischi, come interpretarne gli output. In pratica si traduce in formazione documentata e istruzioni operative interne.

Il rinvio deciso dal Digital Omnibus cancella gli obblighi?

No. Il pacchetto di modifiche noto come Digital Omnibus (o AI Omnibus), adottato a metà 2026, ha spostato in avanti l’applicazione degli obblighi per i sistemi ad alto rischio (Allegato III al 2 dicembre 2027; Allegato I al 2 agosto 2028), ma non ha toccato divieti, alfabetizzazione, obblighi sui modelli per finalità generali, trasparenza e poteri di vigilanza e sanzione, pienamente operativi dal 2 agosto 2026.

Fonti e riferimenti normativi

Questo articolo ha finalità informative e non sostitutive di una consulenza legale. Le scadenze citate riflettono il quadro noto ad agosto 2026, incluso il pacchetto Digital Omnibus: verifica sempre la versione aggiornata sulle fonti ufficiali.