AI Act per le PMI: cosa cambia, da quando e cosa fare

Se la tua azienda usa strumenti di intelligenza artificiale (ChatGPT, Claude, Gemini, o funzioni di IA dentro software che usate ogni giorno), l'AI Act ti riguarda già oggi. Non serve essere una big tech: gli obblighi dipendono da come usi l'IA, non dalla dimensione dell'azienda.

Questa guida spiega in modo semplice cosa cambia, le date che contano e i primi passi concreti, citando le fonti ufficiali del Regolamento (UE) 2024/1689.

Cos'è l'AI Act

L'AI Act è il Regolamento (UE) 2024/1689: il primo quadro normativo europeo sull'intelligenza artificiale. Classifica gli usi dell'IA per livello di rischio e impone obblighi proporzionati. Si applica anche alle aziende che usano sistemi di IA di terzi, non solo a chi li sviluppa: nel linguaggio della legge queste aziende sono i "deployer".

Le date che contano

L'AI Act si applica per fasi. Le principali, secondo il testo del Regolamento:

2 febbraio 2025: si applicano il divieto delle pratiche vietate (Art. 5) e l'obbligo di alfabetizzazione in materia di IA (Art. 4).
2 agosto 2026: diventano operativi gli obblighi di trasparenza (Art. 50) e l'impianto sui sistemi ad alto rischio dell'Allegato III; le autorità nazionali di vigilanza sono operative.

In pratica: due obblighi valgono già adesso, altri scattano nel 2026. Aspettare l'ultimo momento è il modo più rischioso di gestirli.

Cosa rischia chi non fa nulla

Le sanzioni amministrative dell'AI Act arrivano, per le violazioni più gravi (pratiche vietate, Art. 5), fino a 35.000.000 di euro o al 7% del fatturato mondiale annuo dell'esercizio precedente, a seconda di quale importo è più elevato (Art. 99). Per altri obblighi le soglie sono inferiori. Le PMI hanno massimali proporzionati.

Ma per una piccola impresa il costo più probabile spesso non è la sanzione: è il cliente, la banca o il bando che chiede di dimostrare la conformità prima di lavorare con te. Avere l'evidenza pronta diventa un vantaggio competitivo.

I primi passi concreti

Non serve un progetto enorme. Per la maggior parte delle PMI che usano IA di terzi bastano pochi adempimenti documentali:

Fai l'inventario: elenca gli strumenti di IA che usate, anche saltuariamente.
Classifica il rischio: per ogni strumento, capisci se è a rischio minimo, limitato (con obblighi di trasparenza) o alto. La maggior parte degli usi d'ufficio rientra nel rischio limitato.
Forma il personale: l'Art. 4 chiede un livello sufficiente di alfabetizzazione sull'IA di chi la usa. Un corso breve e un attestato sono l'evidenza.
Verifica le pratiche vietate: documenta di aver controllato che nessun uso ricada nell'Art. 5.
Prepara il fascicolo: tieni inventario, classificazioni, attestati e un registro delle azioni in un unico documento, pronto da mostrare.

Serve un avvocato?

Per la maggior parte delle PMI che usano IA di terzi, la parte documentale si gestisce senza un legale. Per i casi davvero ad alto rischio (es. usi che ricadono nell'Allegato III) è opportuno un parere specialistico.

In sintesi

L'AI Act è già realtà per chi usa l'IA al lavoro. La strada efficiente è: inventario, classificazione, formazione, fascicolo. Pochi passi, fatti per tempo, ti tolgono il rischio e ti danno l'evidenza che clienti e fornitori ti chiederanno.

Vuoi sapere in 2 minuti se e come l'AI Act riguarda la tua azienda? Fai il check gratuito.

EasyAct è un servizio privato e non è affiliato alle istituzioni dell'Unione Europea. Le informazioni qui fornite non costituiscono consulenza legale. Fonte normativa: testi ufficiali EUR-Lex del Regolamento (UE) 2024/1689.