La Data che Nessuna PMI Sta Guardando
Agosto 2026. Mancano tre mesi.
Mentre le grandi imprese hanno già avviato i programmi di compliance, la maggior parte delle PMI italiane non sa ancora cosa cambia. Sanno che esiste l'AI Act, l'hanno sentito nominare in qualche convegno o letto in un articolo, ma non sanno se riguarda anche loro, e soprattutto cosa devono fare concretamente.
La risposta breve: dipende da quali sistemi AI state usando. Per la maggior parte delle PMI italiane, gli obblighi sono gestibili. Ma solo se li si conosce prima, non dopo.
Questo articolo non è scritto per giuristi. È scritto per l'imprenditore di una PMI italiana che vuole capire, in linguaggio operativo, cosa l'AI Act significa per la sua azienda nei prossimi tre mesi.
Cos'è l'AI Act e Perché Riguarda Anche le PMI
Il Regolamento Europeo sull'Intelligenza Artificiale (Reg. EU 2024/1689, detto AI Act) è il primo quadro normativo completo al mondo che regola i sistemi di intelligenza artificiale. È entrato in vigore ad agosto 2024, con un'implementazione progressiva su più anni.
Il principio di base è semplice: non tutta l'AI è uguale. Un algoritmo che filtra le email di spam è diverso da uno che decide se qualcuno ottiene un mutuo. Il rischio è diverso, quindi gli obblighi sono diversi.
La struttura è a cascata:
Sistemi proibiti (in vigore da febbraio 2025): sistemi di social scoring governativo, manipolazione subliminale, riconoscimento biometrico in tempo reale in spazi pubblici (con eccezioni per sicurezza pubblica). Nessuna PMI dovrebbe averne. Se ne hai, sei già fuorilegge.
Sistemi ad alto rischio (obblighi in vigore da agosto 2026): qui sta la scadenza che conta per le PMI. Questi sistemi richiedono documentazione tecnica, registrazione in un database EU, supervisione umana garantita, data governance certificata.
Sistemi a rischio limitato (raccomandazioni di trasparenza): chatbot, assistenti virtuali, sistemi di raccomandazione contenuto. Il 90% dei sistemi AI che una PMI tipica usa rientra qui. Obbligo principale: informare l'utente che sta interagendo con un'AI.
Sistemi a rischio minimo: filtri anti-spam, AI nei videogiochi, ottimizzazione di processi interni. Nessun obbligo specifico.
La Scadenza di Agosto 2026: Chi È Davvero Coinvolto
La data di agosto 2026 riguarda i sistemi ad alto rischio. Quali sono, concretamente, per una PMI italiana?
Sistemi HR e Selezione del Personale
Se usa un software che, anche parzialmente, automatizza lo screening dei CV, assegna punteggi ai candidati, classifica o filtra candidature in base a criteri algoritmici, sei in ambito ad alto rischio.
Questo include: ATS con scoring automatico, sistemi di valutazione delle performance che alimentano decisioni di promozione o licenziamento, strumenti di analisi del linguaggio usati nei colloqui.
Cosa fare: documentare come funziona il sistema, garantire che un essere umano possa contestare e sovrascrivere qualsiasi decisione automatica, informare i candidati e dipendenti che vengono valutati da un sistema AI.
Credit Scoring e Valutazione del Merito Creditizio
Se gestite sistemi che valutano il rischio creditizio di clienti o fornitori in modo automatizzato, sei in ambito ad alto rischio. Questo riguarda principalmente istituti finanziari, ma anche PMI che offrono pagamento dilazionato con scoring interno dei clienti.
Sistemi di Istruzione e Formazione Professionale
Se gestite una piattaforma di e-learning con sistemi che valutano automaticamente i progressi degli studenti o determinano l'accesso a percorsi formativi, sei in ambito ad alto rischio.
La Buona Notizia per la Maggior Parte delle PMI
Il chatbot sul sito web? Rischio limitato, basta informare l'utente. Il sistema di raccomandazione prodotti sull'e-commerce? Rischio minimo. Lo strumento di AI per generare contenuti marketing? Rischio minimo. Il CRM con lead scoring? Rischio limitato se non alimenta decisioni automatiche vincolanti.
La maggior parte delle PMI italiane che usano AI la usano in modo da ricadere nelle categorie a rischio minimo o limitato, dove gli obblighi sono leggeri. Ma "la maggior parte" non vuol dire tutte, e non sapere in quale categoria rientrate non è una scusa valida per il Garante.
Il Parallelo con il GDPR che Aiuta a Capire
Le PMI italiane hanno già vissuto questo processo con il GDPR nel 2018. Stesso schema: regolamento europeo, scadenza, panico diffuso, poi scoperta che per la maggior parte delle aziende gli obblighi erano gestibili se affrontati con metodo.
La differenza è che il GDPR riguardava tutti (chiunque trattasse dati personali). L'AI Act riguarda solo chi usa sistemi AI classificati come ad alto rischio, che per le PMI tipiche sono pochi.
Il punto di contatto reale tra GDPR e AI Act è la data governance. Se gestite già bene i dati in ottica GDPR (registri dei trattamenti, privacy by design, DPO se obbligatorio), buona parte del lavoro per la conformità AI Act è già fatto. I dati usati per addestrare o alimentare sistemi AI devono essere puliti, tracciabili e trattati con le stesse garanzie richieste dal GDPR.
INLOGICO implementa entrambi gli aspetti in modo integrato: la consulenza su privacy e data marketing è parte dello stesso ecosistema dell'implementazione AI.
La Checklist Operativa: Cosa Fare Nei Prossimi 3 Mesi
Tre mesi sono sufficienti per le PMI che non hanno sistemi ad alto rischio. Sono sufficienti anche per chi ne ha qualcuno, se si parte adesso.
Step 1, Inventario dei sistemi AI in uso (1-2 settimane)
Fai un elenco di tutti i software, tool e sistemi che usa e che contengono componenti AI. Include: CRM con scoring, ATS, chatbot, sistemi di raccomandazione, strumenti di analisi predittiva, piattaforme di automazione marketing, qualsiasi software che "impara" dai dati.
Non dimenticate i sistemi embedded: molti software gestionali moderni (ERP, HR, contabilità) hanno moduli AI integrati che potrebbero non essere immediatamente visibili come tali.
Step 2, Classificazione per livello di rischio (1 settimana)
Per ogni sistema identificato, verificate: alimenta decisioni che impattano direttamente su persone (assunzioni, accesso a servizi, valutazione creditizia, istruzione)? Se sì, sei probabilmente in ambito ad alto rischio. Se no, probabilmente sei in rischio limitato o minimo.
In caso di dubbio, il criterio è: "questa decisione AI può avere conseguenze significative per una persona fisica?" Se la risposta è sì, trattate il sistema come ad alto rischio.
Step 3, Verifica dei fornitori (1-2 settimane)
Non sei responsabili solo di ciò che hai sviluppato internamente. Se usa un software di terze parti con componenti AI ad alto rischio, il fornitore deve fornirvi documentazione di conformità. Richiedila. I fornitori SaaS europei seri l'avranno già pronta; quelli che non la hanno sono un rischio legale.
Step 4, Disclosure per i sistemi a rischio limitato (1 settimana)
Per i chatbot e gli assistenti virtuali (rischio limitato), l'obbligo principale è informare gli utenti. Se il tuo chatbot non dice "stai parlando con un assistente automatico", aggiungilo adesso. È il fix più semplice e il più spesso dimenticato.
Step 5, Documentazione e audit trail (1-2 settimane)
Per i sistemi ad alto rischio (se li hai): preparate la documentazione tecnica richiesta, verificate che ci sia un meccanismo di supervisione umana per ogni decisione automatica, assicurati che i log delle decisioni AI siano conservati e accessibili.
AI Act Come Vantaggio Competitivo: Il Frame che Cambia Tutto
Il modo sbagliato di pensare all'AI Act: "un altro obbligo normativo da gestire".
Il modo giusto: un differenziante competitivo nei confronti di clienti enterprise e PA che inizieranno a richiedere conformità AI Act come prerequisito per fare business.
Le grandi imprese italiane stanno già inserendo clausole di conformità AI Act nei contratti con i fornitori. Arriverà alle PMI tra 12-18 mesi, con la stessa dinamica del GDPR: prima le grandi, poi tutti gli altri.
Le PMI che si conformano adesso, anche solo documentando i propri sistemi e garantendo la disclosure obbligatoria, avranno un vantaggio quando i clienti inizieranno a chiederlo.
Il punto non è la multa (che per le PMI è calibrata sulla dimensione dell'azienda). Il punto è il contratto che non arriva perché non hai la documentazione AI Act.
L'Opportunità Nascosta: AI Act e AI per PMI
C'è un dato che spiega perché tutto questo conta anche per chi non usa ancora l'AI in modo significativo.
OpenAI e Confartigianato hanno avviato un programma di accelerazione per le PMI italiane. Le iniziative di adozione AI per le piccole imprese si moltiplicano. L'UE stanzia risorse per la transizione digitale delle PMI. Il momento in cui le PMI italiane inizieranno ad adottare AI in massa è vicino, e arriverà proprio mentre l'AI Act è già in vigore.
Chi adotta AI adesso, quando il framework normativo è chiaro, non dovrà fare retromarcia. Chi adotta AI tra 12 mesi e si ritrova sistemi non conformi dovrà fermars e correggere, con i costi di un progetto già lanciato.
La consulenza AI per PMI che INLOGICO eroga parte sempre dalla conformità: non implementiamo sistemi che creeranno problemi normativi 6 mesi dopo. È il motivo per cui ogni progetto AI include un layer di data governance e disclosure fin dal primo giorno.
Domande Frequenti sull'AI Act per PMI
Le PMI sono escluse dall'AI Act?
No. Il Regolamento si applica a chiunque metta in uso sistemi AI nell'UE, indipendentemente dalla dimensione dell'azienda. Ci sono alcune semplificazioni procedurali per le micro-imprese (meno di 10 dipendenti, meno di 2M€ di fatturato) per certi obblighi documentali, ma le categorie di rischio e i divieti si applicano a tutti.
Il mio chatbot sul sito web è ad alto rischio?
No, quasi certamente no. I chatbot per customer service e assistenza clienti rientrano nella categoria "rischio limitato". L'unico obbligo è informare l'utente che sta interagendo con un sistema automatico, un banner o una dicitura in apertura della chat.
Devo registrarmi in qualche database?
Solo se hai sistemi ad alto rischio. La registrazione nel database EU EUDAMED (per AI Act si chiama EU AI database) è obbligatoria per i fornitori di sistemi ad alto rischio, non per tutti gli utenti.
Se uso ChatGPT o Claude per lavoro, sono coinvolto?
OpenAI e Anthropic sono i fornitori, sono loro a gestire la conformità a livello di provider. Tu, come utenti, hai obblighi limitati (principalmente: non usarli per applicazioni ad alto rischio senza i controlli richiesti). Il caso tipico problematico è chi usa AI generativa per automatizzare decisioni HR senza supervisione umana.
Quali sanzioni prevede l'AI Act?
Le sanzioni massime sono: 35 milioni di euro o 7% del fatturato globale per violazione dei divieti, 15 milioni o 3% per violazione degli obblighi sui sistemi ad alto rischio. Per le PMI, le sanzioni sono proporzionate alla dimensione, ma il principio di proporzionalità non equivale a impunità. Il Garante italiano ha già dimostrato con il GDPR di essere attivo.
Cosa succede ad agosto 2026 se non sono conforme?
Le autorità di vigilanza nazionali (in Italia sarà probabilmente l'Agenzia per l'Italia Digitale - AgID, in collaborazione con il Garante) iniziano a poter aprire procedimenti. La probabilità che una PMI con sistemi a rischio limitato venga sanzionata nella prima fase è bassa, ma il rischio legale nei contratti con clienti e fornitori che richiedono conformità AI Act è concreto da subito.
Il Passo Successivo
L'AI Act non è un ostacolo. È la regola del gioco che vale per tutti. E per le PMI italiane che partono adesso, la compliance non è un costo, è la base da cui costruire un'implementazione AI che durerà nel tempo senza sorprese normative.
Se vuoi sapere concretamente in quale categoria rientrano i tuoi sistemi AI, e cosa devi fare prima di agosto 2026, partiamo da una conversazione operativa. Nessuna slide, nessun gergo legale: solo un'analisi dei sistemi che usa e indicazioni chiare su cosa fare adesso.