L’AI Act è il regolamento europeo che classifica gli usi dell’intelligenza artificiale per livello di rischio: per una PMI, cosa prevede si riduce a capire in che categoria rientra il proprio uso dell’AI e quali obblighi scattano di conseguenza.
In sintesi
- L’AI Act cosa prevede lo decide il rischio: pratiche vietate, sistemi ad alto rischio con obblighi stringenti, rischio limitato con solo trasparenza, rischio minimo senza obblighi.
- Le scadenze si applicano a scaglioni: pratiche vietate da febbraio 2025, obblighi sui modelli generici da agosto 2025, gran parte degli obblighi ad alto rischio da agosto 2026.
- La maggior parte delle PMI usa AI a rischio minimo o limitato: l’obbligo pratico è mappare dove usi l’AI, in che categoria rientra e documentarlo, non un progetto enorme.
Cosa prevede l’AI Act, in concreto
L’AI Act non regola una tecnologia, regola gli usi. Lo stesso modello può essere a rischio minimo in un caso e vietato in un altro, a seconda di cosa gli fai fare e su chi ha effetto la sua decisione.
La logica è semplice: più una decisione automatica pesa sulla vita di una persona, più il regolamento chiede controlli. Un chatbot che risponde a domande sul catalogo sta in fondo alla scala. Un sistema che filtra candidati o valuta l’accesso a un servizio sale ai piani alti.
Per una PMI questo cambia l’ordine delle domande. Non parti da “che AI sto usando”, parti da “quale decisione sto delegando e con quali conseguenze per chi la subisce”. La risposta ti dice la categoria, e la categoria ti dice gli obblighi.
Le quattro categorie di rischio
Il regolamento divide gli usi in quattro fasce. Ecco cosa comportano per un’azienda che non costruisce modelli ma li usa.
| Categoria | Esempi tipici | Cosa richiede |
|---|---|---|
| Rischio inaccettabile | Social scoring, manipolazione, riconoscimento emozioni sul lavoro | Vietato, punto |
| Alto rischio | Selezione del personale, valutazione del credito, sicurezza | Valutazione, documentazione, sorveglianza umana, log |
| Rischio limitato | Chatbot, contenuti generati dall’AI | Trasparenza: dire all’utente che parla con un’AI |
| Rischio minimo | Filtri antispam, suggerimenti interni, automazioni di back office | Nessun obbligo specifico |
La maggior parte del lavoro che una PMI automatizza con l’AI ricade nelle due fasce basse. Il salto di obblighi è netto tra “limitato” e “alto rischio”, quindi il punto è sapere con certezza da che parte cade ciascun tuo caso d’uso.
Cosa è cambiato per le PMI nel 2026
Gli obblighi sono entrati in vigore a scaglioni, e nel 2026 due milestone contano davvero.
- Da febbraio 2025 le pratiche vietate sono fuori legge: se qualcuno ti propone social scoring o riconoscimento emozioni dei dipendenti, la risposta è no.
- Da agosto 2025 sono scattati gli obblighi per i modelli di uso generale, quelli su cui girano ChatGPT o Claude. Questi ricadono su chi produce il modello, non su chi lo usa a valle.
- Da agosto 2026 si applica gran parte degli obblighi per i sistemi ad alto rischio: se hai un uso in quella fascia, è la scadenza che ti riguarda.
Il messaggio pratico per una PMI: se il tuo uso dell’AI è a rischio minimo o limitato, nel 2026 non è cambiato quasi nulla, serve solo la trasparenza dove prevista. Se hai un caso ad alto rischio, il tempo per metterti in regola è adesso.
Se usi agenti AI di terze parti: sei deployer, non provider
Qui sta la distinzione che risolve metà dei dubbi delle PMI. L’AI Act separa chi costruisce il modello (provider) da chi lo mette in uso nella propria azienda (deployer). Sono due set di obblighi diversi.
La maggior parte delle aziende che automatizza processi non addestra modelli da zero: usa Claude, GPT o Gemini come componenti dentro un agente. In quel caso sei un deployer. Gli obblighi più pesanti sui modelli generici stanno a monte, su chi il modello lo produce. A te resta la parte che riguarda l’uso: sapere cosa fa l’agente, quali dati tocca, e garantire sorveglianza umana se la decisione conta.
È un criterio concreto anche quando scegli un fornitore. Un partner serio ti dice con quale modello gira ciascun agente, come scorrono i dati e dove interviene una persona. Se costruisci gli agenti con strumenti come il Claude Agent SDK, questa tracciabilità è parte del progetto, non un documento aggiunto dopo. Se vuoi capire meglio la differenza tra un agente e un’automazione qualsiasi, parti da cosa sono gli agenti AI.
Gestire la compliance: da soli o con supporto
Per un uso a rischio minimo o limitato, gestire la conformità internamente è realistico. Serve una mappa: dove usi l’AI, in che categoria rientra ciascun caso, chi controlla l’output, dove sta scritto che l’utente parla con un’AI. Un foglio ben fatto copre gran parte del lavoro.
Il supporto esterno inizia a pagare quando compare almeno uno di questi segnali.
| Situazione | Da soli | Con supporto |
|---|---|---|
| Solo chatbot e automazioni interne | Sufficiente | Non necessario |
| Un caso d’uso ad alto rischio | Rischioso | Consigliato |
| Nessuno in azienda che segue la parte tecnica | Difficile | Utile |
| Più agenti, più fornitori, dati sensibili | Fragile | Sensato |
La regola sana è non sovradimensionare. Non ti serve un progetto di compliance enterprise per un antispam. Ti serve chiarezza su quali dei tuoi usi cade in alto rischio, e onestà sul fatto che quasi sempre sono zero. Prima di firmare con chiunque prometta “compliance AI Act chiavi in mano”, vale la pena avere in testa le domande da fare a un’agenzia AI per capire se sa distinguere un deployer da un provider.
Domande frequenti
L’AI Act si applica anche a una piccola azienda?
Sì, ma in proporzione all’uso. Il regolamento vale per chi usa sistemi di AI nell’UE, non solo per le grandi aziende. Per la maggior parte delle PMI, che usa AI a rischio minimo o limitato, gli obblighi concreti si riducono alla trasparenza e a documentare dove e come si usa l’AI.
Se uso ChatGPT o Claude in azienda devo fare qualcosa?
Usarli per compiti a basso rischio, come scrivere testi o riassumere documenti interni, non fa scattare obblighi pesanti: quelli sui modelli generici ricadono su chi li produce. Diventa rilevante se ci costruisci sopra una decisione ad alto rischio, ad esempio la selezione del personale.
Cosa succede se non mi metto in regola?
Il regolamento prevede sanzioni elevate, calibrate sulla gravità della violazione, con le più alte riservate alle pratiche vietate. Per un uso a rischio minimo il tema quasi non si pone. Per un uso ad alto rischio gestito senza controlli, il rischio è reale e vale la pena affrontarlo prima della scadenza.
Come faccio a sapere in che categoria rientro?
Parti dalla decisione, non dallo strumento. Elenca ogni punto in cui un output dell’AI influenza una scelta, poi chiediti chi subisce quella scelta e con quali effetti. Se tocca l’accesso a lavoro, credito o servizi essenziali, sei probabilmente in alto rischio. Altrimenti quasi sempre no.
Se stai valutando un fornitore che ti aiuti a mappare l’esposizione senza vendere allarmismo, la prima mossa utile è capire come scegliere un consulente AI che ragioni per casi d’uso reali e non per paura della norma.
