Se la tua PMI usa ChatGPT per scrivere email, Canva per generare immagini o un chatbot per rispondere ai clienti, l’AI Act ti riguarda già, anche se non hai mai sentito parlare di “sistemi ad alto rischio”. Questa guida pratica all’AI Act per le PMI risponde alla domanda che conta davvero: cosa devi fare, entro quando, e quanto ti costa non farlo. Niente allarmismo, niente gergo giuridico inutile: solo gli obblighi reali, spiegati con esempi presi dal tessuto produttivo italiano, dalla PMI più strutturata alla micro-impresa che sta ancora testando il mercato.
Aggiornato al 4 luglio 2026.
Cos’è l’AI Act e a chi si applica davvero
Il Regolamento (UE) 2024/1689, noto come AI Act, è la prima normativa organica al mondo sull’intelligenza artificiale, entrata in vigore il 1° agosto 2024, applicabile a tutti gli Stati membri, Italia inclusa, senza recepimento nazionale. Il testo distingue due ruoli: il provider, chi sviluppa un sistema AI, e il deployer, chi lo utilizza nella propria attività professionale.
La distinzione pratica è questa: OpenAI, Google o Microsoft sono provider perché sviluppano il sistema e lo immettono sul mercato; uno studio di comunicazione che usa quei sistemi per produrre contenuti per i propri clienti, o un commercialista che usa ChatGPT per redigere bozze fiscali, sono deployer. La quasi totalità delle PMI italiane rientra in questa seconda categoria, e gli obblighi per i deployer sono meno stringenti di quelli per i provider, ma esistono comunque. Le sanzioni sono proporzionate al fatturato: per una PMI il rischio economico immediato resta contenuto rispetto a una multinazionale, ma l’obbligo normativo è lo stesso.
I quattro livelli di rischio, spiegati senza tecnicismi
L’AI Act classifica ogni sistema AI in quattro categorie di rischio:
- Al livello più alto ci sono le pratiche vietate, come il social scoring: qui non sono ammesse eccezioni.
- Al livello alto rischio rientrano i sistemi integrati in prodotti già regolamentati (dispositivi medici, macchinari) oppure usati per selezione del personale, ad esempio un software di screening automatico dei curriculum, valutazione del merito creditizio o sorveglianza biometrica.
- Il livello a rischio limitato riguarda sistemi che interagiscono con le persone o generano contenuti, come chatbot e strumenti di generazione testi e immagini: qui l’obbligo principale è la trasparenza.
- Il livello minimo, dove rientra la maggior parte degli strumenti usati quotidianamente dalle PMI, filtri antispam, raccomandazioni, traduttori, non ha obblighi vincolanti specifici.
AI Act e GDPR: due norme diverse, da gestire insieme
L’AI Act non sostituisce il GDPR, lo affianca. Il GDPR regola il trattamento dei dati personali, un chatbot che raccoglie l’email del cliente, un motore di raccomandazione che usa lo storico acquisti. L’AI Act regola invece il sistema AI in sé e il suo livello di rischio, indipendentemente dal fatto che tratti dati personali.
Per una PMI significa gestire le due conformità insieme: chi ha già una base GDPR solida ha già buona parte del lavoro fatto per l’inventario richiesto dall’AI Act.
Le scadenze dell’AI Act aggiornate al Digital Omnibus
Il calendario dell’AI Act è cambiato nelle ultime due settimane. Il 16 giugno 2026 il Parlamento europeo ha approvato in via definitiva il testo del Digital Omnibus; il 29 giugno 2026 il Consiglio dell’Unione Europea lo ha adottato formalmente, chiudendo la procedura legislativa. Alla data di oggi mancano ancora la firma dei presidenti delle due istituzioni e la pubblicazione in Gazzetta Ufficiale dell’UE, attesa nel corso di luglio 2026: il nuovo calendario entrerà in vigore il terzo giorno successivo alla pubblicazione, non prima.
Ecco le date del testo già concordato, utili per pianificare fin da ora anche se non ancora formalmente in vigore. Il 2 febbraio 2025 sono già in vigore il divieto delle pratiche a rischio inaccettabile e l’obbligo di alfabetizzazione AI del personale. Il 2 agosto 2025 sono scattati gli obblighi per i fornitori di modelli GPAI. Il 2 agosto 2026 resta la data generale di applicazione del Regolamento, comprese gran parte delle regole di trasparenza dell’articolo 50, qui il Digital Omnibus non interviene.
Il 2 dicembre 2026 diventeranno operativi gli obblighi di marcatura tecnica dei contenuti generati dall’AI per i sistemi già sul mercato, e il nuovo divieto sui contenuti sessuali non consensuali generati con AI. Il 2 dicembre 2027 slitterà l’obbligo per i sistemi ad alto rischio autonomi (Allegato III); il 2 agosto 2028 per quelli incorporati in prodotti già regolamentati da normative di settore.
Per una PMI la cosa da ricordare è semplice: la trasparenza sui contenuti generati dall’AI resta un obbligo del 2026, non del 2027. Chi lavora con chatbot, contenuti social o schede prodotto generate con AI non ha guadagnato tempo con questa proroga; chi progetta sistemi per selezione del personale o scoring creditizio, invece, sì.
5 esempi pratici di AI Act nelle PMI italiane, dalla più strutturata alla più piccola
1. PMI manifatturiera con AI integrata nella produzione
Una PMI che usa visione artificiale per il controllo qualità o algoritmi predittivi per la manutenzione rientra spesso nel perimetro dei sistemi ad alto rischio.
Azione pratica: mappare quali processi produttivi usano AI e verificare se rientrano nell’Allegato III, prima che la scadenza del 2 agosto 2028 sui sistemi incorporati in prodotti diventi vincolante.
2. PMI e-commerce con marketing e customer care automatizzati
Chi genera descrizioni prodotto con AI o gestisce l’assistenza clienti con un chatbot rientra nel rischio limitato e negli obblighi di trasparenza dell’articolo 50.
Azione pratica: una dicitura chiara vicino al contenuto generato, non nei termini e condizioni, e un chatbot che dichiari subito di essere un sistema automatizzato.
3. Agenzia o studio professionale che usa AI generativa per i clienti
Chi produce contenuti con AI per conto di terzi è un deployer di GPAI, ma la responsabilità si sdoppia tra chi genera e chi pubblica.
Azione pratica: una clausola contrattuale che specifichi chi si assume la responsabilità editoriale del contenuto finale. È lo stesso principio che applichiamo internamente in Joosh: la responsabilità editoriale del contenuto finale è definita per contratto fin dall’inizio, non discussa a consuntivo.
4. Piccolo negozio o attività locale con strumenti AI plug-and-play
Chi usa Canva AI per i post social o un chatbot su Instagram raramente ha un reparto legale dedicato, ma resta soggetto agli stessi obblighi di base.
Azione pratica: una policy interna di una pagina che stabilisca cosa si pubblica senza revisione umana.
5. Micro-impresa o startup in fase di validazione del mercato
Il 92% delle PMI usa già almeno un sistema di AI generativa, spesso senza un piano strutturato.
Azione pratica: un registro Excel degli strumenti in uso — meno di mezza giornata di lavoro, già una base difendibile in caso di controllo.
Errori comuni da evitare
- Il primo errore è pensare che l’AI Act riguardi solo chi sviluppa modelli come OpenAI o Google: riguarda chiunque li usi in azienda.
- Il secondo è nascondere la dicitura “generato con AI” nei termini e condizioni invece di renderla visibile vicino al contenuto.
- Il terzo è confondere le scadenze del Digital Omnibus: il rinvio riguarda solo i sistemi ad alto rischio, non gli obblighi di trasparenza del 2 agosto 2026. Il quarto è aspettare l’ultimo momento: la formazione minima del personale è già obbligatoria dal 2 febbraio 2025.
Risorse ufficiali gratuite per iniziare
La Commissione Europea ha lanciato l’AI Act Service Desk (ai-act-service-desk.ec.europa.eu), un portale ufficiale con un Compliance Checker, un AI Act Explorer per consultare il regolamento articolo per articolo, e una sezione di risorse nazionali per l’Italia. È gratuito ed è la fonte primaria da cui partire prima di rivolgersi a un consulente.
Come iniziare senza costruire una struttura sovradimensionata
Il percorso si riduce a quattro passaggi: mappare gli strumenti AI già in uso; classificare ciascuno nel livello di rischio corretto; formare il personale con una sessione interna di poche ore; rendere visibile l’uso dell’AI nei contenuti rivolti al pubblico.
Quanto costa, in concreto? Non esiste un tariffario ufficiale, ma alcune guide di settore riportano stime indicative per chi si affida a supporto esterno: consulenza legale iniziale 3.000-10.000€, documentazione tecnica 2.000-5.000€, monitoraggio continuo 1.000-3.000€/anno, cifre di mercato, non un dato ufficiale della Commissione.
Quanto rischia davvero una PMI che non rispetta l’AI Act
Il regime sanzionatorio dell’art. 99 prevede tre fasce: fino a 35 milioni di euro o il 7% del fatturato mondiale per le violazioni delle pratiche vietate (art. 5); fino a 15 milioni di euro o il 3% per l’inosservanza degli altri obblighi, compresi quelli di trasparenza dell’art. 50; fino a 7,5 milioni di euro o l’1% per informazioni false alle autorità. Sono previste sanzioni ridotte per PMI e startup, il rischio reputazionale, perdere un cliente enterprise che richiede fornitori conformi, spesso pesa più della multa.
Fonti
Questo articolo è basato sul testo del Regolamento (UE) 2024/1689 (AI Act) e aggiornato con le seguenti fonti, verificate al 4 luglio 2026: sull’iter di approvazione del Digital Omnibus, NicFab Blog, Federprivacy, Digital World Italia, Cybersecurity360, Diritto Bancario e Processo Civile Telematico; per gli esempi applicativi rivolti alle PMI, Legal for Digital, Yellow Tech, Prompti.it, Kinetikon e Giacomo Piva; per le stime di costo indicative, Aipia.it; per le risorse ufficiali gratuite, l’AI Act Service Desk della Commissione Europea e AgID.
Domande frequenti sull’AI Act per le PMI
Cos’è l’AI Act in parole semplici?
È il Regolamento europeo (UE) 2024/1689 che classifica i sistemi AI in quattro livelli di rischio e impone obblighi diversi a seconda del livello, dalla trasparenza minima fino a requisiti stringenti per i sistemi più delicati.
L’AI Act si applica anche alle piccole imprese?
Sì, a tutte le aziende indipendentemente dalle dimensioni. Gli obblighi sono identici a quelli delle grandi aziende, ma le sanzioni sono proporzionate al fatturato.
Il Digital Omnibus ha già cambiato le scadenze dell’AI Act?
Non ancora in modo definitivo. Il Consiglio UE ha adottato il testo il 29 giugno 2026, ma manca la pubblicazione in Gazzetta Ufficiale, attesa entro luglio 2026, dopo la quale il nuovo calendario (2027-2028 per l’alto rischio) entrerà davvero in vigore. Fino ad allora restano formalmente valide le scadenze originarie, incluso il 2 agosto 2026 per la trasparenza.
Cosa rischia una PMI che non rispetta l’AI Act?
Fino a 15 milioni di euro o il 3% del fatturato mondiale per la mancata trasparenza, proporzionato al fatturato reale per le PMI. Il rischio più concreto è spesso reputazionale.
Devo dichiarare se uso ChatGPT per scrivere i contenuti del mio sito?
Sì, se il contenuto è rivolto al pubblico va resa riconoscibile l’origine artificiale con una dicitura visibile e vicina al contenuto, non nei termini e condizioni.
Da dove inizio se la mia azienda non ha mai affrontato il tema?
Mappa gli strumenti AI già in uso con un registro semplice, poi forma il personale — obbligo già in vigore dal 2 febbraio 2025.
Cos’è un sistema AI “ad alto rischio”?
Un sistema integrato in un prodotto regolamentato o usato in ambiti sensibili come selezione del personale o credito, soggetto a requisiti di gestione del rischio e supervisione umana.
Dove trovo strumenti ufficiali gratuiti per verificare la mia situazione?
Sull’AI Act Service Desk della Commissione Europea, che include un Compliance Checker e risorse specifiche per l’Italia.
Vuoi vedere come lavoriamo con la direzione creativa AI? Scopri i nostri servizi di produzione visiva AI.
Se lavori con contenuti visivi generati con AI e vuoi capire come strutturare la conformità nel tuo processo creativo senza rallentare la produzione, contattaci.