AI Act e la tua PMI: da obbligo a vantaggio prima di agosto 2026

AI Act e la tua PMI: da obbligo a vantaggio prima di agosto 2026

Se la tua azienda usa ChatGPT, Copilot o un chatbot sul sito, l'AI Act ti riguarda già. Dal 2 agosto 2026 scattano gli obblighi di trasparenza del regolamento europeo (Reg. UE 2024/1689) e l'obbligo di formare il personale sull'AI è legge dal febbraio 2025. La buona notizia: per la maggior parte delle PMI gli adempimenti sono limitati e, gestiti con metodo, diventano un vantaggio competitivo invece di un peso.

"Non siamo un'azienda di AI, perché ci riguarda?"

È la reazione più comune dei titolari, ed è comprensibile. L'AI Act però non classifica le aziende per settore, ma per il ruolo e per il rischio dell'uso che fanno dell'AI. Se usi uno strumento di AI nel lavoro quotidiano (scrivere email con ChatGPT, un assistente sul sito, un software gestionale con funzioni intelligenti), sei un "utilizzatore" ai sensi del regolamento, indipendentemente dalla tua dimensione.

La rassicurazione importante: l'AI Act è a scaglioni di rischio. Quasi tutti gli usi tipici di una PMI ricadono nel rischio minimo o limitato, non in quello alto. Le categorie pesanti (selezione del personale, valutazione del credito, biometria, infrastrutture critiche) raramente riguardano una piccola realtà. Quindi niente allarmismo: nella stragrande maggioranza dei casi parliamo di due obblighi gestibili, non di procedure complesse.

I due obblighi che riguardano davvero la tua PMI

1. Formare il personale, già in vigore da febbraio 2025

L'art.4 del regolamento chiede a chi fornisce o utilizza sistemi di AI di adottare misure che sostengano l'alfabetizzazione del personale, proporzionate al ruolo delle persone e al contesto d'uso. In pratica: chi usa lo strumento deve capire cosa fa, quali sono i suoi limiti e quali rischi comporta (per esempio non incollare dati riservati di un cliente in un servizio pubblico). È l'obbligo più trascurato proprio perché è già attivo dal 2 febbraio 2025.

Attenzione a una diffusa esagerazione: il Regolamento (UE) 2026/1744 ha alleggerito questa norma, che non chiede più di "garantire" un livello sufficiente di competenza. La Commissione ha chiarito che non serve alcun certificato, non occorre misurare le conoscenze dei dipendenti e non è imposta alcuna struttura di governance. Tenere traccia internamente di ciò che è stato fatto è buona prassi, non un obbligo formale.

2. Trasparenza, dal 2 agosto 2026

L'art.50 introduce tre regole pratiche:

• ▸Se metti a disposizione un'AI che interagisce con le persone (un chatbot di assistenza), l'utente deve sapere che sta parlando con un sistema automatico, salvo sia evidente. L'obbligo ricade sul fornitore del sistema, e diventa tuo se offri l'assistente con il tuo marchio.
• ▸Se pubblichi un deepfake (immagini, audio o video creati o manipolati dall'AI che sembrano reali), devi dichiarare in modo chiaro che il contenuto è artificiale.
• ▸Per i testi generati dall'AI e pubblicati per informare su temi di interesse pubblico vale la stessa regola, ma con un'esenzione importante: l'obbligo non si applica se il contenuto ha avuto una revisione umana sostanziale o un controllo editoriale e qualcuno se ne assume la responsabilità editoriale. Una semplice correzione di refusi non basta.

C'è una confusione frequente da chiarire. La marcatura "tecnica" invisibile e leggibile dalle macchine (un segnale nascosto nel file che un software riconosce come artificiale) è obbligo del fornitore dello strumento, cioè di chi produce ChatGPT, Midjourney o simili, non tuo. A te, come utilizzatore, spetta solo la dichiarazione visibile, e solo nei casi elencati qui sopra. Per il marketing ordinario di una PMI, con revisione umana dei contenuti, l'obbligo di norma non scatta: riguarda i deepfake realistici e l'informazione di pubblico interesse, non ogni immagine o testo prodotto con l'aiuto dell'AI.

"Ma l'AI Act non era stato rinviato?"

In parte sì, ed è giusto chiarirlo. Il Digital Omnibus sull'IA non è più una proposta: è il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026. Ha posticipato le scadenze dei sistemi ad alto rischio, al 2 dicembre 2027 per quelli dell'Allegato III e al 2 agosto 2028 per l'AI integrata in prodotti già regolamentati, e ha alleggerito l'obbligo di alfabetizzazione dell'art.4.

Gli obblighi di trasparenza del 2 agosto 2026, invece, restano invariati, così come le date dell'art.5 e degli obblighi sui modelli di uso generale. L'unica proroga in questo ambito riguarda la marcatura dei contenuti generati: i sistemi già sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026. La regola di dichiarare che un sistema è un'AI vale comunque dal 2 agosto.

Le sanzioni: cosa rischia davvero una PMI

Le cifre che girano in rete (fino a 35 milioni di euro o il 7% del fatturato) si riferiscono alle pratiche vietate dell'art.5, che una PMI di norma non mette in atto. Per le violazioni degli obblighi di trasparenza il massimale è più basso: fino a 15 milioni di euro o, se superiore, al 3% del fatturato mondiale annuo (art.99, paragrafo 4). E c'è una tutela esplicita: per le PMI e le start-up si applica il minore tra l'importo fisso e la percentuale sul fatturato (art.99, paragrafo 6), un principio di proporzionalità pensato apposta per non schiacciare le realtà piccole. Tradotto: una lacuna su trasparenza o formazione non è un rischio da decine di milioni. Resta però un rischio concreto di reputazione e di fiducia con i clienti.

La checklist minima da cui partire

Da obbligo ad asset

Qui sta il cambio di prospettiva. Una governance dell'AI documentata non è burocrazia: è un segnale di affidabilità. Sempre più clienti, soprattutto nel B2B, chiedono come gestisci l'AI sui loro dati. Una PMI che sa rispondere (formiamo il team, dichiariamo dove serve, teniamo i dati riservati su strumenti controllati) costruisce fiducia mentre i concorrenti improvvisano.

L'obbligo di formazione diventa l'occasione per rendere il tuo team davvero competente. L'obbligo di trasparenza diventa un modo per mostrare serietà. E l'impostazione corretta non è vietare ChatGPT: è progettare dove gli strumenti pubblici vanno bene (compiti generici) e dove servono soluzioni interne e controllate (i dati sensibili). I due piani convivono, non si escludono.

È esattamente il lavoro che facciamo con le PMI: formazione pratica che soddisfa l'obbligo di alfabetizzazione e governance dell'uso dell'AI calibrata sulla tua realtà. Se vuoi capire dove usi già l'AI e dove sei scoperto, il primo passo è una call gratuita in cui mappiamo insieme la tua situazione.

Per inquadrare il tema dell'AI come scelta organizzativa, e non solo tecnologica, leggi anche hai adottato l'AI, ma chi comanda? e la nostra guida completa all'AI per le PMI.

Domande frequenti

La mia PMI è "ad alto rischio" secondo l'AI Act?

Quasi certamente no. L'alto rischio riguarda usi specifici come selezione del personale, valutazione del credito, biometria o infrastrutture critiche. Usare ChatGPT o un chatbot di assistenza ricade nel rischio limitato: obblighi di trasparenza e formazione, non le procedure previste per i sistemi ad alto rischio.

Cosa significa "formare il personale"? Devo pagare un corso costoso?

No. L'art.4, come riformulato dal Regolamento (UE) 2026/1744, chiede di adottare misure che sostengano l'alfabetizzazione del personale, senza imporre un livello di competenza specifico né alcun certificato. Il team deve capire cosa fa lo strumento, i suoi limiti e i rischi (per esempio non inserire dati riservati in servizi pubblici). Bastano misure proporzionate alla tua realtà, di cui è buona prassi tenere traccia.

Il chatbot sul mio sito deve dichiarare che è un'AI?

Sì, dal 2 agosto 2026. L'art.50 richiede che l'utente sappia di interagire con un sistema di AI, salvo sia evidente. Una frase chiara all'avvio della conversazione è sufficiente.

Devo marcare le immagini o i testi che creo con l'AI?

Solo in due casi: se pubblichi un deepfake (un contenuto realistico che sembra vero) o un testo generato dall'AI su temi di pubblico interesse, serve una dichiarazione chiara e visibile. La marcatura tecnica invisibile, leggibile dalle macchine, è invece obbligo del fornitore dello strumento (chi produce ChatGPT, Midjourney e simili), non tuo. Per il marketing ordinario con revisione umana, come un post scritto con l'aiuto dell'AI o una foto prodotto, di norma non c'è obbligo di dichiarazione.

Da dove conviene iniziare se non ho ancora fatto nulla?

Dalla mappa dell'uso reale: quali strumenti AI usate, chi li usa e su quali dati. Da lì derivano la formazione, la trasparenza dei chatbot e la policy interna. È un lavoro di poche settimane che chiude gli obblighi e, allo stesso tempo, mette ordine nell'uso quotidiano dell'AI.