AI Act PMI Italiane: Obblighi Concreti per Chi Usa Sistemi AI in Azienda nel 2026

Il Regolamento Europeo sull'Intelligenza Artificiale, meglio noto come AI Act (Regolamento UE 2024/1689), è diventato pienamente applicabile nel 2026 e ha introdotto un quadro normativo vincolante che riguarda non soltanto le grandi multinazionali tecnologiche, ma anche e soprattutto le piccole e medie imprese italiane. Eppure, la maggior parte delle PMI si trova ancora in una condizione di incertezza: si usano strumenti di intelligenza artificiale per ottimizzare i processi, selezionare il personale, gestire i clienti, analizzare i dati — spesso senza una chiara consapevolezza degli obblighi di conformità che ne derivano.

Questo articolo intende offrire una guida operativa e aggiornata al 2026 sulle responsabilità concrete che l'AI Act pone in capo alle imprese italiane di medie e piccole dimensioni, con un focus sui sistemi ad alto rischio, sulle pratiche vietate e sulle misure organizzative che ogni azienda dovrebbe adottare.

Che cos'è l'AI Act e perché interessa le PMI

L'AI Act è il primo regolamento europeo organico dedicato all'intelligenza artificiale. Il suo obiettivo è garantire che i sistemi AI immessi sul mercato europeo siano sicuri, trasparenti, non discriminatori e rispettosi dei diritti fondamentali. Il regolamento si applica a chiunque sviluppi, metta in commercio, distribuisca o utilizzi sistemi di intelligenza artificiale nel mercato UE — indipendentemente dalle dimensioni dell'impresa.

Le PMI italiane sono coinvolte su due livelli principali:

• come utenti di sistemi AI sviluppati da terzi (ad esempio, strumenti SaaS con funzionalità AI per HR, CRM, credit scoring);
• come deployer o addirittura provider di sistemi AI sviluppati internamente o personalizzati.

La distinzione tra provider, deployer e distributore è fondamentale, perché da essa dipende il livello di responsabilità applicabile.

La classificazione dei sistemi AI: quattro livelli di rischio

Il cuore dell'AI Act è la classificazione dei sistemi AI in base al livello di rischio che presentano per la salute, la sicurezza e i diritti fondamentali delle persone. Esistono quattro categorie:

1. Rischio inaccettabile (sistemi vietati)

Sono vietati i sistemi AI che manipolano il comportamento umano in modo subliminale, che utilizzano tecniche di social scoring generalizzato, che effettuano identificazione biometrica remota in tempo reale in spazi pubblici (con limitate eccezioni per le forze dell'ordine), e quelli che sfruttano le vulnerabilità di individui per distorcerne le decisioni.

Per una PMI, il rischio di incorrere in queste fattispecie è basso ma non trascurabile: sistemi di marketing predittivo particolarmente aggressivi o soluzioni di sorveglianza dei dipendenti potrebbero avvicinarsi a questi confini.

2. Alto rischio

Questa è la categoria più rilevante per le imprese. I sistemi ad alto rischio sono elencati nell'Allegato III del regolamento e comprendono, tra gli altri:

• sistemi AI usati per la selezione e la valutazione del personale (screening di CV, colloqui automatizzati, profilazione delle competenze);
• sistemi per la valutazione del merito creditizio o della solvibilità;
• sistemi AI utilizzati nell'istruzione e nella formazione professionale;
• sistemi di gestione delle infrastrutture critiche;
• sistemi di valutazione dei rischi per la sicurezza delle persone fisiche.

Le PMI che si avvalgono di questi strumenti — anche se acquistati da fornitori terzi — assumono il ruolo di deployer e sono soggette a obblighi specifici.

3. Rischio limitato

Rientrano in questa categoria i sistemi che interagiscono direttamente con gli utenti (chatbot, assistenti virtuali) senza essere classificati ad alto rischio. Per essi è previsto principalmente un obbligo di trasparenza: l'utente deve sapere che sta interagendo con un sistema automatico.

4. Rischio minimo

Comprende la maggior parte degli strumenti AI attualmente sul mercato (filtri antispam, sistemi di raccomandazione di contenuti, tool di editing testuale). Per questa categoria non sono previsti obblighi specifici, fermo restando il rispetto della normativa generale applicabile (GDPR, Codice del Consumo, etc.).

Obblighi concreti per le PMI deployer di sistemi ad alto rischio

Se la vostra azienda utilizza un sistema AI classificato ad alto rischio — e molte PMI lo fanno senza saperlo — gli obblighi principali sono i seguenti:

Verifica della conformità del fornitore

Prima di mettere in uso un sistema AI ad alto rischio acquistato da un fornitore, il deployer è tenuto a verificare che il sistema sia corredato dalla dichiarazione di conformità UE e dalla marcatura CE. Non è sufficiente fidarsi delle dichiarazioni commerciali del venditore: occorre acquisire la documentazione tecnica prevista dall'AI Act.

Adozione di misure organizzative e tecniche adeguate

Il deployer deve garantire che il sistema venga utilizzato in conformità alle istruzioni del fornitore e predisporre misure organizzative interne per minimizzare i rischi di uso improprio. Questo include la formazione del personale che interagisce con il sistema.

Supervisione umana

Uno dei principi cardine dell'AI Act è la supervisione umana (human oversight). I deployer devono assicurarsi che le decisioni prodotte dai sistemi AI ad alto rischio siano sempre sottoposte a un controllo umano significativo, e non siano adottate in modo automatico senza possibilità di intervento.

Registro delle attività di utilizzo

Per i sistemi ad alto rischio, il deployer è tenuto a conservare i log di funzionamento del sistema per un periodo minimo di sei mesi, salvo disposizioni più stringenti previste da normative di settore o dal GDPR.

Valutazione di impatto sui diritti fondamentali

Per determinate categorie di deployer — in particolare enti pubblici o soggetti privati che forniscono servizi pubblici — è richiesta una valutazione d'impatto sui diritti fondamentali prima dell'immissione in uso del sistema. Per le PMI private questa valutazione non è sempre obbligatoria in senso formale, ma è fortemente raccomandata come strumento di gestione del rischio.

Obbligo di trasparenza verso gli interessati

Le persone fisiche sottoposte a decisioni automatizzate o semi-automatizzate devono essere informate in modo chiaro e comprensibile del fatto che il sistema AI è coinvolto nel processo decisionale. Questo vale in modo particolare nei contesti di selezione del personale, valutazione del credito e interazione con i clienti.

Il nodo dei sistemi AI nelle risorse umane

Uno degli ambiti di maggiore impatto per le PMI italiane riguarda l'uso di strumenti AI nella gestione delle risorse umane. Software che analizzano i curriculum vitae, che attribuiscono punteggi ai candidati, che valutano i livelli di produttività dei dipendenti o che profilano le competenze: tutti questi sistemi rientrano nella categoria ad alto rischio ai sensi dell'Allegato III, punto 4, dell'AI Act.

Le conseguenze pratiche sono immediate. L'azienda che utilizza questi strumenti deve:

• informare i candidati e i dipendenti dell'uso del sistema AI;
• assicurare che le decisioni finali in materia di assunzione, promozione, sanzione o licenziamento siano prese da un essere umano;
• garantire che il sistema non produca discriminazioni basate su genere, età, origine etnica o altre caratteristiche protette;
• consentire al lavoratore o al candidato di ottenere spiegazioni sul funzionamento del sistema che lo ha valutato.

Il Credit Scoring e la valutazione del merito creditizio

Anche l'uso di sistemi AI per la valutazione del merito creditizio o per l'accesso a prodotti finanziari rientra nell'elenco dei sistemi ad alto rischio. Le PMI che operano nel settore finanziario o che offrono dilazioni di pagamento e finanziamenti ai propri clienti attraverso algoritmi automatizzati devono verificare con attenzione la classificazione degli strumenti adottati.

Sanzioni previste dall'AI Act

Il regime sanzionatorio dell'AI Act è particolarmente severo. Le sanzioni variano a seconda della gravità della violazione:

• per l'utilizzo di sistemi AI vietati (rischio inaccettabile): fino a 35 milioni di euro o il 7% del fatturato mondiale annuo;
• per la violazione degli obblighi relativi ai sistemi ad alto rischio: fino a 15 milioni di euro o il 3% del fatturato;
• per la fornitura di informazioni false alle autorità competenti: fino a 7,5 milioni di euro o l'1% del fatturato.

Per le PMI, la Commissione Europea ha previsto alcune misure di attenuazione, tra cui sanzioni proporzionali alla dimensione dell'impresa. Tuttavia, la proporzionalità non implica impunità: le autorità nazionali di vigilanza — in Italia l'AGCM e il Garante Privacy svolgono un ruolo chiave — possono disporre misure cautelari, ordini di sospensione e pubblicazione dei provvedimenti sanzionatori.

Le agevolazioni previste per le PMI

Il legislatore europeo ha previsto alcune misure specifiche per ridurre l'impatto dell'AI Act sulle piccole e medie imprese:

• accesso agevolato alle regulatory sandbox (ambienti controllati in cui testare sistemi AI prima del lancio commerciale);
• riduzione degli oneri documentali per i sistemi sviluppati internamente e destinati a uso esclusivamente interno;
• linee guida semplificate e strumenti di supporto alla conformità messi a disposizione dalle autorità nazionali;
• priorità nelle attività di supporto e formazione da parte degli uffici nazionali per l'AI.

Come adeguarsi: un piano in cinque passi

Per le PMI italiane che intendono avviare un percorso di adeguamento all'AI Act, è possibile seguire un approccio strutturato:

1. Mappatura dei sistemi AI in uso: identificare tutti gli strumenti con componenti AI utilizzati nei processi aziendali, anche se acquistati come parte di software più ampi.

2. Classificazione del rischio: per ciascun sistema mappato, verificare se rientra in una delle categorie previste dall'AI Act, con particolare attenzione all'Allegato III.

3. Verifica della documentazione dei fornitori: richiedere ai fornitori la dichiarazione di conformità e la documentazione tecnica prevista dal regolamento.

4. Predisposizione di policy interne: redigere procedure interne che disciplinino l'uso dei sistemi AI, la supervisione umana, la gestione dei log e la comunicazione agli interessati.

5. Formazione del personale: assicurarsi che i dipendenti che interagiscono con sistemi AI ad alto rischio conoscano i limiti e le responsabilità derivanti dal loro utilizzo.

FAQ: AI Act e PMI italiane

L'AI Act si applica anche alle microimprese? Sì, il regolamento si applica a qualsiasi soggetto che operi nel mercato UE. Tuttavia, sono previste semplificazioni procedurali per le PMI, incluse le microimprese con meno di 10 dipendenti.

Se uso uno strumento SaaS con funzionalità AI, sono soggetto agli obblighi del regolamento? Dipende. Se il sistema rientra nelle categorie ad alto rischio, sì: in quanto deployer, sei soggetto agli obblighi previsti per questa categoria. È fondamentale verificare la classificazione del prodotto con il fornitore.

Quando sono entrati in vigore gli obblighi per i sistemi ad alto rischio? Gli obblighi per i sistemi ad alto rischio sono entrati in applicazione progressivamente. Al 2026, la maggior parte degli obblighi — inclusi quelli per i sistemi elencati nell'Allegato III — è pienamente vigente.

Chi sono le autorità di vigilanza in Italia? In Italia le autorità competenti per l'applicazione dell'AI Act sono in fase di consolidamento. L'AGCM e il Garante per la Protezione dei Dati Personali ricoprono un ruolo centrale, insieme all'Agenzia per la Cybersicurezza Nazionale per i profili di sicurezza informatica.

Quali sono i rischi più comuni per una PMI che usa AI nella selezione del personale? I rischi principali sono: mancata informativa ai candidati, assenza di supervisione umana nelle decisioni finali, uso di sistemi non conformi e possibile discriminazione algoritmica. Tutti questi profili espongono l'azienda a sanzioni e contenziosi.

Conclusione

L'AI Act non è una normativa lontana destinata esclusivamente alle grandi piattaforme tecnologiche: è un quadro regolatorio che tocca ogni impresa italiana che oggi utilizza strumenti di intelligenza artificiale nei propri processi. Le PMI che ignorano questi obblighi si espongono a rischi legali concreti, oltre che a una perdita di fiducia da parte di clienti, dipendenti e partner commerciali.

Il momento per agire è adesso. Un'analisi approfondita dei sistemi in uso, la revisione dei contratti con i fornitori e la predisposizione di policy interne adeguate sono i passi fondamentali per operare in conformità con il regolamento.

IUS AI supporta avvocati, studi legali e imprese nella redazione di contratti, policy di compliance AI, informative sulla privacy e qualsiasi documento legale connesso all'adeguamento normativo. Grazie al generatore di atti legali basato su intelligenza artificiale e alla banca dati di oltre 100.000 sentenze, è possibile lavorare con maggiore precisione e ridurre significativamente i tempi di analisi.

Inizia subito il tuo percorso di compliance sull'AI Act con IUS AI e scopri come la tecnologia può supportare anche la tua conformità normativa.