Il Regolamento europeo sull’IA (AI Act) riguarda più PMI di quanto suggerisca l’espressione «regolamentazione dell’IA». Una piccola impresa può non addestrare un foundation model, ma può utilizzare l’IA nella selezione del personale, nell’assistenza clienti, nell’elaborazione di documenti, nelle decisioni sul credito o nella gestione dei dipendenti. Il regolamento distingue tra i fornitori, che sviluppano o immettono sul mercato i sistemi, e i deployer, che li utilizzano a livello professionale, e gli obblighi dipendono fortemente dal caso d’uso.
Questa guida è un punto di partenza pratico, non una consulenza legale. Per le decisioni formali vanno utilizzati le indicazioni ufficiali della Commissione europea e il testo definitivo del regolamento, anche perché il calendario di attuazione si è evoluto. A giugno 2026, la Commissione indica che le pratiche vietate e gli obblighi di alfabetizzazione in materia di IA si applicano dal 2 febbraio 2025, le regole per i modelli di IA per finalità generali dal 2 agosto 2025, mentre le regole di trasparenza sono previste per agosto 2026. In seguito all’accordo politico di maggio 2026 sulla semplificazione, alcune regole sui sistemi ad alto rischio autonomi sono previste per il 2 dicembre 2027 e quelle sui sistemi ad alto rischio integrati nei prodotti per il 2 agosto 2028.
L’idea di fondo: regolare l’uso, non la parola di moda
Il regolamento adotta una struttura basata sul rischio. La maggior parte degli usi quotidiani dell’IA presenta un rischio minimo o limitato. Un filtro antispam e un assistente di scrittura interno non ricevono lo stesso trattamento di un sistema che decide se una persona ottiene un lavoro, un prestito o un servizio essenziale.
Il primo compito di conformità è quindi un inventario: quali sistemi vengono utilizzati, per quale scopo, con quali dati e chi è interessato dai loro risultati?
Quattro livelli di rischio nella pratica
Rischio inaccettabile
Alcune pratiche sono vietate, tra cui la manipolazione dannosa, il social scoring, alcune forme di categorizzazione biometrica e il riconoscimento delle emozioni nei luoghi di lavoro e negli istituti di istruzione. Questi divieti si applicano da febbraio 2025. Una PMI non dovrebbe presumere che un prodotto acquistato sia automaticamente sicuro da utilizzare; il deployer deve comunque capire che cosa fa il prodotto.
Rischio alto
Le categorie ad alto rischio includono determinati usi dell’IA in ambito lavorativo, istruzione, servizi essenziali, infrastrutture critiche, biometria, attività di contrasto, migrazione e giustizia. Uno strumento di selezione che classifica i candidati può essere soggetto a una regolamentazione molto più stringente di un chatbot che risponde a domande sui prodotti.
Gli obblighi per i sistemi ad alto rischio possono includere gestione del rischio, governance dei dati, registrazione dei log, documentazione tecnica, supervisione umana, accuratezza, robustezza e cybersicurezza. Le PMI dovrebbero ottenere una consulenza legale specialistica prima di sviluppare o utilizzare sistemi in questi ambiti.
Rischio di trasparenza
Alcuni sistemi sono consentiti ma devono essere trasparenti. La Commissione cita i chatbot come esempio chiaro: le persone devono sapere quando stanno interagendo con una macchina. Anche i contenuti generati e i deepfake possono far scattare obblighi di marcatura o di informativa. La trasparenza dovrebbe essere progettata nell’interfaccia, non aggiunta a posteriori.
Rischio minimo o nullo
Secondo la Commissione, la grande maggioranza dei sistemi di IA utilizzati nell’UE rientra in questa categoria. Ciò non elimina gli obblighi previsti dal GDPR, dal diritto dei consumatori, dal diritto del lavoro, dal diritto d’autore o dagli accordi di riservatezza. «Rischio minimo ai sensi dell’AI Act» non significa «nessuna governance necessaria».
Che cosa significa l’alfabetizzazione in materia di IA per una piccola impresa
Gli obblighi di alfabetizzazione in materia di IA sono già applicabili. In pratica, il personale deve comprendere le capacità e i limiti dei sistemi che utilizza. Una presentazione annuale generica non basta per ogni ruolo. Il personale dell’assistenza clienti deve saper riconoscere le risposte frutto di allucinazioni e le condizioni di escalation. Il personale HR deve comprendere i bias e sapere quando le raccomandazioni automatizzate non devono sostituire il giudizio umano. Gli sviluppatori hanno bisogno di pratiche sicure di gestione dei dati e di valutazione.
Mantieni la formazione proporzionata e registra che cosa è stato fornito, a chi e per quali strumenti.
Chatbot: il caso d’uso più comune nelle PMI
Un chatbot rivolto ai clienti di solito non è ad alto rischio solo perché utilizza l’IA. Richiede però un’informativa chiara, a meno che l’interazione con l’IA non sia evidente dal contesto. Un’implementazione responsabile dovrebbe inoltre:
- dichiararsi automatizzata all’inizio della conversazione;
- offrire un percorso affidabile verso un operatore umano;
- limitare le risposte a conoscenze approvate, ove opportuno;
- evitare di raccogliere dati personali non necessari;
- registrare fonti e livello di confidenza per la revisione interna;
- definire regole di conservazione e cancellazione delle conversazioni.
Questi controlli migliorano il prodotto anche quando la legge non prescrive l’interfaccia esatta.
Una checklist di conformità proporzionata per le PMI
- Crea un inventario dell’IA. Includi le funzionalità di IA integrate nei prodotti SaaS.
- Registra lo scopo e le persone interessate. Il rischio dipende dal contesto.
- Identifica il tuo ruolo. Gli obblighi di fornitori, deployer, importatori e distributori sono diversi.
- Classifica il caso d’uso. Approfondisci gli usi in ambito lavorativo, creditizio, educativo, sanitario e biometrico.
- Documenta la supervisione umana. Stabilisci chi può scavalcare, fermare o rivedere il sistema.
- Aggiungi avvisi di trasparenza. Rendi chiare l’interazione con l’IA e la natura dei contenuti generati.
- Forma il personale. Adatta l’alfabetizzazione alle responsabilità effettive.
- Valuta i fornitori. Richiedi documentazione, condizioni di sicurezza, ubicazione dei dati e comunicazioni sulle modifiche.
- Monitora incidenti e qualità. La governance continua dopo il lancio.
Non trattare AI Act e GDPR come un unico progetto
I due quadri normativi si sovrappongono ma rispondono a domande diverse. L’AI Act si concentra sul rischio dei sistemi e sugli obblighi di mercato. Il GDPR si concentra sui dati personali e sui diritti delle persone. Un chatbot può essere trasparente ai sensi dell’AI Act e raccogliere comunque dati personali eccessivi ai sensi del GDPR. Una base giuridica lecita per il trattamento dei dati non rende automaticamente conforme un sistema di IA ad alto rischio.
Gestisci privacy, sicurezza e governance dell’IA come filoni di lavoro collegati, con responsabilità chiare.
Progetta per le evidenze, non solo per le funzionalità
Un software di IA responsabile dovrebbe consentire di spiegare quale versione del modello e del prompt ha prodotto un risultato, quali dati di origine sono stati utilizzati, chi ha revisionato il risultato e che cosa è cambiato nel tempo. Log, set di valutazione, workflow di approvazione e percorsi di fallback sono funzionalità del prodotto. Aggiungerli dopo il rilascio è più lento e più costoso.
FKT Software può aiutare le PMI a progettare workflow di IA con informativa, revisione umana, auditabilità e gestione sicura dei dati integrate fin dall’inizio. Scopri i nostri servizi di IA e automazione, le nostre informazioni sulla privacy e la panoramica ufficiale dell’AI Act della Commissione europea.
Letture correlate: Automazione con IA per le PMI europee: cosa automatizzare per primo? e Pianificare un progetto software su misura in Europa nel 2026.