AI Act e PMI italiane: quello che devi sapere e fare adesso

Il Regolamento UE 2024/1689, noto come AI Act, non è una questione del futuro lontano. Alcune obbligazioni sono già in vigore dal 2 febbraio 2025, e molte PMI italiane non sanno di essere già soggette a esse. Si tratta del primo quadro normativo organico sull’intelligenza artificiale al mondo: un insieme di regole che stabilisce cosa è vietato, cosa è consentito con precauzioni e cosa è libero, a seconda del rischio che un sistema AI comporta per le persone e la società.

Cos’è l’AI Act e chi riguarda

L’AI Act è entrato in vigore il 1° agosto 2024 e si applica a tutte le imprese che operano nel mercato europeo — indipendentemente dalle dimensioni. Non è una normativa riservata alle grandi multinazionali della tecnologia: riguarda anche la piccola impresa manifatturiera che usa un chatbot sul sito, lo studio professionale che impiega strumenti AI per la gestione documentale, o l’azienda che utilizza ChatGPT per produrre contenuti di marketing.

Il criterio è semplice: se la tua azienda opera nell’UE e utilizza sistemi di intelligenza artificiale — anche di terze parti — sei soggetto al regolamento. Questo include algoritmi di raccomandazione, strumenti di selezione del personale basati su AI, sistemi di scoring creditizio automatizzato, assistenti virtuali e qualsiasi software che utilizzi modelli di machine learning per prendere decisioni o generare contenuti.

I quattro livelli di rischio

L’AI Act classifica i sistemi AI in quattro categorie di rischio, con obblighi crescenti:

• Rischio inaccettabile (vietato): Sistemi di social scoring, riconoscimento delle emozioni nei luoghi di lavoro e nelle scuole, manipolazione subliminale del comportamento umano. Questi sistemi sono vietati dal 2 febbraio 2025 e devono essere immediatamente dismessi.
• Alto rischio: AI impiegata in ambito HR e recruiting, scoring creditizio, diagnostica medica, infrastrutture critiche e servizi essenziali. Richiede requisiti stringenti di trasparenza, documentazione e supervisione umana. Scadenza per la piena conformità: 2 agosto 2026.
• Rischio limitato: Chatbot, generatori di contenuti, sistemi di raccomandazione. Sono soggetti principalmente a obblighi di trasparenza già in vigore: l’utente deve sapere che sta interagendo con un sistema AI.
• Rischio minimo: Filtri antispam, strumenti di ottimizzazione interna, videogiochi con AI. Nessun obbligo specifico previsto dal regolamento.

La buona notizia per le PMI è che la maggior parte delle applicazioni AI tipicamente utilizzate ricade nelle categorie a rischio limitato o minimo. Tuttavia, questo non significa assenza di obblighi: la trasparenza è già obbligatoria.

Le scadenze chiave per le PMI

Il regolamento prevede un’entrata in vigore graduale. Ecco le date fondamentali:

• 2 febbraio 2025 (già passata): I sistemi a rischio inaccettabile devono essere cessati. Entra in vigore l’obbligo di alfabetizzazione AI per il personale.
• 2 agosto 2025: Il sistema di governance deve essere pienamente operativo; entrano in vigore le regole per i modelli GPAI (General Purpose AI, come i grandi modelli linguistici).
• 2 febbraio 2026: Conformità richiesta per la maggior parte dei sistemi AI a rischio limitato.
• 2 agosto 2026: Piena conformità richiesta per tutti i sistemi AI ad alto rischio.

Le PMI che non hanno ancora avviato un processo di mappatura e classificazione dei propri strumenti AI sono già in ritardo rispetto alle prime scadenze.

Gli obblighi immediati (già attivi)

Due obblighi sono già pienamente in vigore e non ammettono rinvii.

Il primo riguarda la cessazione dei sistemi vietati (Articolo 5). Se un’azienda utilizza — anche inconsapevolmente — sistemi che rientrano nella categoria a rischio inaccettabile, deve interromperne immediatamente l’uso. Questo include, ad esempio, software HR che analizzano le emozioni dei candidati durante i colloqui video.

Il secondo obbligo è l’alfabetizzazione AI (Articolo 4). Le imprese devono garantire che il personale che utilizza sistemi AI disponga di un livello adeguato di competenze. Non si tratta di formare ingegneri del machine learning: è sufficiente una consapevolezza di base su come funzionano gli strumenti in uso, quali rischi comportano e come farne un uso responsabile. La formazione deve essere documentata: non basta averla erogata, bisogna poterlo dimostrare.

A questi si aggiungono gli obblighi di trasparenza già operativi: i chatbot devono dichiarare di essere sistemi AI, e i contenuti generati artificialmente devono essere etichettati come tali.

Le sanzioni (che si applicano già)

Il sistema sanzionatorio dell’AI Act è articolato su tre livelli e si applica già per le violazioni delle norme entrate in vigore:

• Massima gravità (sistemi vietati): fino a 35 milioni di euro o il 7% del fatturato annuo globale, se superiore.
• Violazioni principali (inclusa la mancata alfabetizzazione AI): fino a 15 milioni di euro o il 3% del fatturato.
• Violazioni procedurali (documentazione, notifiche): fino a 7,5 milioni di euro o l’1,5% del fatturato.

Per le PMI, il regolamento prevede che le sanzioni siano proporzionate alle dimensioni e al fatturato dell’impresa. Tuttavia, anche una percentuale apparentemente contenuta del fatturato può rappresentare un colpo devastante per una piccola impresa. La prevenzione è, in ogni caso, molto meno costosa della sanzione.

Il contesto italiano: la Legge 132/2025

L’Italia ha affiancato al quadro europeo una normativa nazionale complementare. Il DDL 1146/24, approvato dal Senato il 20 marzo 2025, è diventato Legge 132/2025 e introduce disposizioni specifiche per il contesto italiano.

Tra le principali novità: aggravanti penali per i reati commessi con il supporto dell’AI (diffamazione, frodi con deepfake, manipolazione dei mercati finanziari); protezioni rafforzate per i minori nell’interazione con sistemi AI; obblighi di trasparenza potenziati per la pubblica amministrazione nell’uso di strumenti automatizzati. Sul piano istituzionale, la governance è distribuita tra AgID (Agenzia per l’Italia Digitale), il Garante Privacy e l’ACN (Agenzia per la Cybersicurezza Nazionale). La legge prevede inoltre la possibilità di attivare sandbox regolatori per progetti innovativi che necessitano di sperimentazione in un ambiente controllato.

Cosa deve fare una PMI italiana per conformarsi all'EU AI Act

Una PMI italiana che utilizza sistemi di intelligenza artificiale è soggetta all'EU AI Act indipendentemente dalle proprie dimensioni: la conformità non è facoltativa. Il percorso di adeguamento richiede un approccio strutturato che parte dalla mappatura degli strumenti in uso e si articola in azioni concrete, documentabili e verificabili. Avviare il processo oggi significa ridurre l'esposizione al rischio normativo e costruire una base solida per un uso responsabile dell'AI.

Ecco i passi concreti che ogni PMI italiana deve seguire per conformarsi all'EU AI Act:

• Censimento di tutti i sistemi AI in uso — inclusi tool SaaS di terze parti con funzioni AI integrate: CRM, piattaforme HR, chatbot, strumenti di marketing automation. Ogni sistema deve essere identificato, descritto e registrato.
• Classificazione del rischio secondo l'AI Act — assegnare a ciascun sistema la categoria di rischio appropriata (inaccettabile, alto, limitato, minimo) sulla base dei criteri del Regolamento UE 2024/1689.
• Dismissione immediata dei sistemi a rischio inaccettabile (art. 5) — qualsiasi sistema che rientri nelle pratiche vietate deve essere cessato senza indugio. La scadenza era il 2 febbraio 2025.
• Avvio del programma di AI Literacy per i dipendenti (art. 4) — erogare formazione adeguata al personale che utilizza sistemi AI e documentare ogni sessione formativa in modo tracciabile.
• Implementazione degli avvisi di trasparenza — i chatbot devono dichiarare la propria natura artificiale; i contenuti generati da AI devono essere etichettati come tali, in conformità agli obblighi già in vigore.
• Redazione del Registro AI interno — un documento strutturato che censisce tutti i sistemi AI in uso, il loro livello di rischio, le misure adottate e lo stato di conformità.
• Nomina di un referente AI (AI Officer) — interno o in outsourcing, con il compito di supervisionare la conformità, aggiornare il registro e fungere da punto di contatto con le autorità.
• Monitoraggio continuo e aggiornamento del registro — la normativa evolve; il registro e le procedure devono essere aggiornati periodicamente per riflettere nuovi strumenti adottati e nuove indicazioni regolatorie.

Il momento di avviare il percorso di conformità è adesso. La scadenza del 2 agosto 2026 per i sistemi AI ad alto rischio è già trascorsa: le PMI che non hanno ancora avviato la mappatura e la classificazione dei propri strumenti sono già esposte al rischio di sanzioni. Attendere non è una strategia: ogni giorno di ritardo aumenta l'esposizione normativa e riduce il margine di manovra per un adeguamento ordinato.

Come si fa un AI Readiness Assessment per una PMI italiana

L'AI Readiness Assessment è un'analisi strutturata che consente a una PMI italiana di fotografare con precisione il proprio perimetro AI: quali sistemi sono in uso, quale rischio comportano e quale distanza separa la situazione attuale dai requisiti di conformità all'AI Act. Non è un adempimento burocratico, ma il punto di partenza indispensabile per qualsiasi percorso di conformità all'AI Act: senza una mappatura accurata, qualsiasi intervento successivo rischia di essere incompleto o mal indirizzato.

Un AI Readiness Assessment strutturato si articola in cinque fasi:

1. Discovery & Mapping — censire tutti i sistemi, tool e processi che usano o integrano AI, anche parzialmente. L'obiettivo è avere una visione completa e aggiornata del perimetro AI aziendale.
2. Risk Classification — assegnare a ciascun sistema identificato un livello di rischio secondo i criteri dell'AI Act, verificando in particolare la presenza di eventuali usi vietati ai sensi dell'art. 5.
3. Gap Analysis — confrontare la situazione attuale con i requisiti normativi applicabili (art. 4 sull'AI literacy, art. 5 sui sistemi vietati, obblighi di trasparenza) per identificare con precisione le aree di non conformità.
4. Roadmap di adeguamento — definire priorità, tempi e risorse necessarie per colmare i gap identificati, distinguendo gli interventi urgenti (conformità immediata) da quelli strutturali di medio periodo.
5. Documentazione e Registro AI — formalizzare l'intero processo in un registro tracciabile e aggiornabile, che dimostri la due diligence dell'impresa in caso di ispezione da parte delle autorità competenti.

Per una PMI italiana di dimensioni medie, un AI Readiness Assessment richiede tipicamente da 2 a 4 settimane, in funzione della complessità del perimetro tecnologico e del numero di sistemi AI in uso. È fondamentale affidarsi a professionisti con competenze sia normative che tecnologiche: un consulente esclusivamente legale potrebbe non riconoscere le implicazioni tecniche di un sistema AI, così come un tecnico privo di formazione regolatoria potrebbe sottovalutare i profili di rischio giuridico.

Una volta completato l'assessment, il quadro cambia radicalmente: la conformità smette di essere un'incognita e diventa un percorso definito, con priorità chiare e scadenze gestibili. Ed è proprio a quel punto che molte PMI italiane scoprono qualcosa di inatteso — che adeguarsi all'AI Act non significa soltanto evitare sanzioni, ma può diventare una leva concreta di vantaggio competitivo.

Da obbligo a opportunità

Sarebbe un errore leggere l’AI Act esclusivamente come un costo o un vincolo burocratico. Le imprese che si adeguano per prime hanno l’opportunità di trasformare la conformità in un vantaggio competitivo concreto.

Una PMI conforme può differenziarsi sul mercato con prodotti e servizi sviluppati secondo un approccio compliance by design; accedere più facilmente all’intero mercato unico europeo senza barriere normative; costruire fiducia con clienti e partner attraverso la trasparenza; e ridurre significativamente i rischi legali e reputazionali.

I primi passi pratici per una PMI sono relativamente semplici:

• Mappare tutti i sistemi AI in uso, inclusi gli strumenti di terze parti con funzionalità AI integrate (CRM, piattaforme HR, strumenti di marketing automation).
• Classificarli per livello di rischio secondo le categorie dell’AI Act.
• Erogare una formazione base sull’AI literacy al personale coinvolto e documentarla.
• Aggiungere avvisi di trasparenza ai chatbot e ai contenuti generati con AI.

L’AI Act non è un labirinto burocratico senza uscita: è una mappa stradale chiara. Sta alle imprese decidere se usarla per non perdersi — o per arrivare prima degli altri.

In Ledger Things seguiamo le imprese su tutto il percorso — mappatura, classificazione, Registro AI pronto all'uso, formazione ex art. 4, AI Officer in outsourcing — con un vantaggio raro: siamo tecnologi !!

👉 Prenota il tuo AI Compliance Check gratuito.