“L’AI Act è roba da big tech, la mia azienda non c’entra.” È una convinzione diffusa e, come spesso accade con le normative europee, sbagliata. Il Regolamento UE 2024/1689 — l’AI Act — è già parzialmente in vigore e riguarda anche chi usa l’intelligenza artificiale, non solo chi la sviluppa. E oggi usa l’IA una PMI su sei in Italia. Vediamo cosa cambia davvero, cosa è già obbligatorio e cosa slitta al 2027.
In sintesi
- L’AI Act (Reg. UE 2024/1689) segue un approccio basato sul rischio: 4 categorie, dal vietato al minimo.
- La maggior parte delle PMI è utilizzatore (deployer), non sviluppatore: obblighi più leggeri.
- Già in vigore dal 2 febbraio 2025: pratiche vietate e obbligo di alfabetizzazione IA (art. 4).
- Le regole sui sistemi ad alto rischio sono state rinviate al 2027-2028 (Digital Omnibus).
- Nel 2025 il 16,4% delle imprese italiane usa l’IA (ISTAT).
Cos’è l’AI Act e a chi si applica?
L’AI Act è il primo regolamento organico al mondo sull’intelligenza artificiale, in vigore dal 1° agosto 2024 (Reg. UE 2024/1689). Non regola la tecnologia in astratto, ma il rischio del suo uso: più un sistema può incidere su diritti e sicurezza, più obblighi ha.
La distinzione chiave è tra due ruoli (art. 3). Il fornitore (provider) sviluppa un sistema IA e lo immette sul mercato con il proprio marchio: ha gli obblighi più pesanti. L’utilizzatore (deployer) usa un sistema IA nella propria attività professionale. La maggior parte delle PMI e degli studi rientra qui: usano chatbot, strumenti generativi, gestionali con funzioni di IA.
Attenzione a un caso però: una PMI deployer può diventare fornitore se appone il proprio marchio su un sistema ad alto rischio, lo modifica in modo sostanziale o ne cambia la finalità (art. 25). In quel caso gli obblighi cambiano. Se vuoi capire da dove partire con l’IA senza sprechi, leggi intelligenza artificiale in azienda.
Quali sono le 4 categorie di rischio?
L’AI Act classifica i sistemi in quattro livelli di rischio, e gli obblighi crescono di conseguenza. Per una PMI, la maggior parte degli usi da ufficio ricade nel rischio minimo o limitato; i casi delicati riguardano soprattutto il personale (recruiting) e il credito.
| Categoria | Cosa comporta | Esempi rilevanti per una PMI |
|---|---|---|
| Inaccettabile (vietato) | Vietato in assoluto | Social scoring; tecniche manipolative; riconoscimento delle emozioni sul lavoro (software HR) |
| Alto rischio | Ammesso, ma con obblighi stringenti | IA per selezione del personale, valutazione candidati, credit scoring, accesso a servizi essenziali |
| Limitato (trasparenza) | Obbligo di informare | Chatbot (dire che è un’IA); deepfake e contenuti generati da etichettare |
| Minimo | Nessun obbligo specifico | Filtri antispam, suggerimenti di testo, gran parte degli usi d’ufficio |
Fonte: Reg. UE 2024/1689, artt. 5, 6, 50 e Allegati I e III (EUR-Lex).
Quali obblighi ha una PMI che usa l’IA?
Se la tua azienda usa l’IA (non la sviluppa), l’obbligo già attivo e più trasversale è uno solo: l’alfabetizzazione IA (art. 4). Dal 2 febbraio 2025, fornitori e utilizzatori devono garantire un livello sufficiente di competenza sull’IA al personale che la usa. Riguarda tutte le imprese, PMI incluse.
Il secondo obbligo pratico è la trasparenza (art. 50): se offri un chatbot ai clienti, l’utente deve sapere che sta parlando con un’IA; se pubblichi contenuti o immagini generati o manipolati con l’IA (deepfake), vanno etichettati come artificiali. Se invece usi un sistema ad alto rischio (per esempio un software di recruiting basato su IA), da deployer devi usarlo secondo le istruzioni, garantire la sorveglianza umana, conservare i log e informare i lavoratori interessati.
Sul “cosa posso caricare in un’IA” resta centrale la privacy: vedi GDPR per le piccole imprese e la questione della sovranità sui dati.
Le scadenze dell’AI Act: cosa è già in vigore e cosa slitta?
L’AI Act non si applica tutto insieme: entra in vigore per fasi. I divieti e l’alfabetizzazione IA sono operativi dal 2 febbraio 2025; gli obblighi sui modelli generici (GPAI) dal 2 agosto 2025. Le regole sui sistemi ad alto rischio, invece, sono state posticipate nel 2026. Ecco la timeline completa.
| Data | Cosa scatta | Stato |
|---|---|---|
| 1 agosto 2024 | Entrata in vigore del Regolamento | ✔ in vigore |
| 2 febbraio 2025 | Pratiche vietate (art. 5) + obbligo di alfabetizzazione IA (art. 4) | ✔ in vigore |
| 2 agosto 2025 | Obblighi sui modelli di IA generici (GPAI), governance e gran parte delle sanzioni | ✔ in vigore |
| 2 agosto 2026 | Applicazione generale + obblighi di trasparenza (art. 50) | in corso |
| 2 dicembre 2027 | Sistemi ad alto rischio dell’Allegato III (recruiting, credit scoring, istruzione…) | rinviato (era ago 2026) |
| 2 agosto 2028 | Sistemi ad alto rischio dell’Allegato I (IA incorporata in prodotti regolati) | rinviato (era ago 2027) |
Il punto che quasi nessuno spiega bene: nel novembre 2025 la Commissione ha proposto il pacchetto “Digital Omnibus” e il 16 giugno 2026 il Parlamento europeo ne ha approvato l’accordo, posticipando gli obblighi sui sistemi ad alto rischio al 2027-2028 (Parlamento UE). Tradotto per una PMI: i divieti e l’alfabetizzazione IA valgono già oggi; sull’alto rischio hai più tempo, ma non è un rinvio a tempo indefinito. Le date esatte vanno confermate alla pubblicazione ufficiale in Gazzetta Ufficiale UE.
Quanto sono le sanzioni?
Le sanzioni dell’AI Act sono pesanti, ma proporzionate per le PMI. Per le pratiche vietate (art. 5) si arriva fino a 35 milioni di euro o il 7% del fatturato mondiale annuo, se superiore (art. 99). Per gli altri obblighi il tetto è 15 milioni o il 3%; per informazioni inesatte alle autorità, 7,5 milioni o l’1%.
La differenza per le piccole imprese sta nell’art. 99(6): per PMI e start-up, il massimale è l’importo inferiore tra la cifra fissa e la percentuale sul fatturato — non il superiore, come per le grandi aziende. E le sanzioni devono comunque essere proporzionate alla sostenibilità economica dell’impresa. Un principio simile a quello che troverai nella NIS2.
L’AI Act sostituisce il GDPR? E chi vigila in Italia?
No: l’AI Act si applica fatto salvo il GDPR, non lo sostituisce. Se un sistema IA tratta dati personali, resta pienamente soggetto al Regolamento UE 2016/679 e alla competenza del Garante per la protezione dei dati personali. Le due normative si aggiungono, non si escludono.
In Italia, la Legge 23 settembre 2025, n. 132 (in vigore dal 10 ottobre 2025) ha designato le autorità nazionali per l’IA: AgID per la promozione e la notifica degli organismi di valutazione, e l’ACN (Agenzia per la Cybersicurezza Nazionale) per vigilanza, ispezioni e poteri sanzionatori. Il coordinamento operativo tra AgID, ACN e Garante è demandato anche a decreti attuativi, da monitorare.
Come ti aiuta Aeon Lab con l’AI Act
L’AI Act non è un problema solo legale: è anche tecnico e organizzativo. Con il nostro servizio di compliance e cybersecurity, come MSP/MSSP di Roma ti aiutiamo a metterti in regola senza rallentare il business, con un unico referente:
- Mappa dei sistemi IA in uso e classificazione del rischio.
- Alfabetizzazione IA del personale (art. 4) con formazione pratica.
- Trasparenza: etichettatura di chatbot e contenuti generati (art. 50).
- Governance di dati e privacy allineata a GDPR e NIS2.
Per gli aspetti puramente legali è opportuno affiancare un consulente specializzato; noi copriamo il lato tecnico-organizzativo. Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.
Fai il punto sull’AI Act — consulenza gratuita →
Domande frequenti
La mia PMI usa ChatGPT o un chatbot: sono soggetta all’AI Act?
Sì, probabilmente come “utilizzatore” (deployer). Gli obblighi principali sono due: l’alfabetizzazione IA del personale (art. 4, già in vigore dal febbraio 2025) e, se offri un chatbot ai clienti o pubblichi contenuti generati dall’IA, la trasparenza e l’etichettatura (art. 50).
Da quando rischio davvero sanzioni?
I divieti (art. 5) e l’obbligo di alfabetizzazione IA sono in vigore dal 2 febbraio 2025; gli obblighi sui modelli generici dal 2 agosto 2025. Gli obblighi sui sistemi ad alto rischio, dopo il Digital Omnibus, scattano tra il 2027 e il 2028. Ma le sanzioni per le pratiche vietate sono già applicabili.
Le sanzioni sono uguali per le piccole imprese?
No. Per PMI e start-up si applica il massimale inferiore tra la cifra fissa e la percentuale sul fatturato (art. 99(6)), e la proporzionalità alla sostenibilità economica è espressamente prevista. Le sanzioni restano comunque significative, soprattutto per le pratiche vietate.
L’AI Act sostituisce il GDPR?
No, si aggiunge. Il trattamento di dati personali con sistemi IA resta soggetto al GDPR e alla competenza del Garante Privacy. In Italia AgID e ACN sono le nuove autorità nazionali per l’IA (Legge 132/2025), ma non sostituiscono il Garante sul fronte dati personali.
In breve
L’AI Act riguarda anche le PMI, ma con obblighi proporzionati al ruolo (di solito utilizzatore) e al rischio. Due cose valgono già oggi: niente pratiche vietate e alfabetizzazione IA del personale. Le regole sull’alto rischio sono state rinviate al 2027-2028, ma conviene arrivarci preparati — mappando fin da ora quali sistemi IA usi e con quali dati.
Pubblicato il 22 luglio 2026 · Ultimo aggiornamento: 22 luglio 2026.
Fonti
- Regolamento (UE) 2024/1689 (AI Act) — EUR-Lex, consultato il 2026-07-22: eur-lex.europa.eu
- Parlamento europeo — Digital Omnibus on AI (Legislative Train), consultato il 2026-07-22: europarl.europa.eu
- Legge 23 settembre 2025, n. 132 (disposizioni in materia di IA) — Gazzetta Ufficiale / Normattiva
- Eurostat — Use of artificial intelligence in enterprises 2025, consultato il 2026-07-22: ec.europa.eu/eurostat
- ISTAT — Imprese e ICT, Anno 2025, consultato il 2026-07-22: istat.it