La discussione attorno al Regolamento europeo sull'intelligenza artificiale (Regolamento UE 2024/1689, noto come AI Act) si è spesso divisa tra due estremi: da un lato l'allarmismo burocratico che prefigura sanzioni immediate per qualsiasi azienda utilizzi software evoluti; dall'altro la sottovalutazione di chi ritiene che le norme riguardino unicamente i giganti tecnologici della Silicon Valley.
La realtà operativa per le piccole e medie imprese italiane si colloca in uno spazio molto più circoscritto e gestibile. L'AI Act non è una legge che vieta l'uso dell'intelligenza artificiale in azienda, né impone adempimenti complessi a chi si limita ad adottare strumenti di produttività individuale come assistenti alla scrittura o chatbot per il servizio clienti.
Per un imprenditore o un dirigente di PMI, comprendere il Regolamento non significa studiarne gli articoli legali, ma chiarire tre elementi fondamentali: quali strumenti aziendali ricadono nelle classi di rischio regolamentate, quali responsabilità spettano a chi compra software rispetto a chi lo sviluppa, e quali decisioni prioritarie prendere per evitare esposizioni inutili.
1. La vera mappa del rischio: come si classificano i software aziendali
Il Regolamento europeo adotta un approccio basato sul rischio (risk-based approach). La severità delle norme e degli obblighi non dipende dalla complessità del codice o dal nome dell'algoritmo, ma dall'impatto che l'applicazione può avere sui diritti fondamentali, la sicurezza e la salute delle persone.
Per orientarsi nella quotidianità aziendale è utile distinguere i quattro livelli previsti dal legislatore europeo.
Rischio inaccettabile (pratiche vietate)
Rientrano in questa categoria i sistemi ritenuti lesivi dei valori fondamentali dell'Unione Europea. Si tratta di applicazioni come il punteggio sociale (social scoring), la manipolazione comportamentale subliminale che sfrutta vulnerabilità specifiche, e l'identificazione biometrica remota in tempo reale negli spazi pubblici a fini di polizia (salvo eccezionali deroghe). Per una normale PMI manifatturiera o di servizi, la probabilità di impiegare strumenti di questo tipo è pressoché nulla.
Alto rischio (sistemi regolamentati)
Questa è la categoria che richiede la massima attenzione da parte delle aziende. I sistemi ad alto rischio non sono vietati, ma sono soggetti a requisiti stringenti in materia di gestione del rischio, qualità dei dati di addestramento, documentazione tecnica, registrazione degli eventi (logging), trasparenza, sorveglianza umana e sicurezza informatica.
Gli ambiti applicativi di interesse per una PMI sono identificati principalmente nell'Allegato III del Regolamento:
- Risorse umane e gestione dei lavoratori: software destinati alla selezione del personale (es. filtraggio automatico dei curricula), alla valutazione delle candidature, alla promozione o al licenziamento, nonché all'assegnazione delle mansioni e al monitoraggio delle prestazioni lavorative.
- Accesso a servizi privati essenziali: algoritmi utilizzati da istituti o intermediari per valutare il merito creditizio (credit scoring) delle persone fisiche o per la valutazione del rischio nell'assicurazione vita e salute.
- Componenti di sicurezza in prodotti regolamentati: sistemi AI integrati in macchinari, dispositivi medici o apparecchiature soggette alle normative di sicurezza dell'Allegato I.
Se un'azienda utilizza o sviluppa soluzioni in questi ambiti, l'impatto normativo è concreto e richiede un'analisi formale del processo.
Rischio di trasparenza o limitato
In questa fascia rientra la maggior parte delle applicazioni di intelligenza artificiale generativa che negli ultimi anni sono nate all'interno dei reparti aziendali. Si tratta di chatbot per l'assistenza clienti, strumenti di generazione o sintesi di testi, software per la creazione di immagini, audio o video (deepfake o contenuti sintetici).
Per questi strumenti il Regolamento non impone requisiti di certificazione complessi, ma stabilisce un principio chiaro: la trasparenza. L'azienda ha l'obbligo di informare gli utenti umani che stanno interagendo con un sistema AI e di contrassegnare i contenuti sintetici generati o manipolati, ove applicabile.
Rischio minimo o nullo
Costituisce la grande maggioranza dei software impiegati nelle PMI: filtri antispam nella posta elettronica, assistenti di scrittura ad uso interno, motori di raccomandazione per l'e-commerce, software per l'ottimizzazione della logistica, analisi predittiva della manutenzione dei macchinari o sistemi di business intelligence tradizionale. Per queste tecnologie non è previsto alcun nuovo obbligo normativo specifico dall'AI Act.
2. Utilizzatori vs. Fornitori: chi ha le responsabilità principali?
Una delle principali fonti di confusione tra gli imprenditori riguarda la distinzione dei ruoli all'interno della catena del valore dell'AI. Il Regolamento distingue in modo netto la figura del provider (fornitore o sviluppatore) da quella del deployer (utilizzatore aziendale).
La stragrande maggioranza delle PMI italiane rientra nella figura del deployer: aziende che acquistano, integrano o utilizzano soluzioni di intelligenza artificiale sviluppate da terze parti per svolgere la propria attività d'impresa.
Le responsabilità del deployer sono proporzionate e ben distinte da quelle dello sviluppatore:
- Il provider deve garantire la conformità del sistema alla nascita: addestramento dei modelli, documentazione tecnica, marcatura CE (quando prevista), valutazioni di conformità e registrazione nelle banche dati europee.
- Il deployer deve assicurarsi di utilizzare lo strumento secondo le istruzioni fornite dal produttore, assegnare la supervisione a personale umano competente e monitorare che l'output non produca decisioni discriminatorie o errate nei contesti critici.
Quando la PMI rischia di diventare fornitore
Esistono tuttavia situazioni in cui una PMI può inconsapevolmente assumere il ruolo giuridico di provider, con l'effetto di farsi carico dell'intero pacchetto di adempimenti complessi. Ciò accade in tre casi specifici:
- Quando l'azienda sviluppa da zero un sistema di intelligenza artificiale e lo immette sul mercato con il proprio marchio.
- Quando l'azienda modifica in modo sostanziale la destinazione d'uso di un sistema ad alto rischio già esistente.
- Quando l'azienda rietichetta con il proprio nome o marchio un sistema ad alto rischio sviluppato da terzi.
Evitare modifiche strutturali senza un preventivo vaglio tecnico e contrattuale è il modo più efficace per mantenere le responsabilità dell'azienda entro i confini ordinari del deployer.
3. Il calendario delle scadenze: quando scattano gli obblighi
L'AI Act è entrato in vigore il 1° agosto 2024. Tuttavia, il legislatore europeo ha previsto un'applicazione graduale per consentire alle imprese e alle autorità pubbliche di adeguarsi senza interrompere le attività operative.
Il cronoprogramma delle scadenze si sviluppa in quattro tappe principali:
- 2 febbraio 2025 (6 mesi dall'entrata in vigore): Sono diventati applicabili i divieti relativi ai sistemi a rischio inaccettabile. Contestualmente è scattato l'obbligo previsto dall'Articolo 4, che richiede a tutti i soggetti che utilizzano sistemi AI di adottare misure per garantire un adeguato livello di alfabetizzazione sull'intelligenza artificiale (AI literacy) del proprio personale.
- 2 agosto 2025 (12 mesi): Sono entrate in vigore le norme relative ai modelli di AI per scopi generali (General Purpose AI, o GPAI), la struttura di governance europea (Ufficio Europeo per l'AI) e il regime sanzionatorio relativo ai modelli GPAI.
- 2 agosto 2026 e 2 agosto 2027: Piena operatività per i sistemi ad alto rischio elencati nell'Allegato III (inclusi i software per il reclutamento HR, la gestione dei lavoratori e lo scoring creditizio) e per i sistemi ad alto rischio integrati nei prodotti regolamentati dalla legislazione dell'Allegato I.
Con le prime tre fasi ormai operative, la priorità per le PMI non è l'attesa burocratica ma la verifica concreta di ciò che è già in uso.
4. Cosa fare subito: un percorso prioritario per le decisioni di business
Per un'azienda di 20, 50 o 150 dipendenti, affrontare l'AI Act non richiede la creazione di comitati burocratici o l'acquisto di costosi pacchetti di conformità generica. La priorità è stabilire un metodo chiaro per valutare l'esistente e governare i progetti futuri.
Un percorso decisionale proporzionato alla realtà della PMI si articola in quattro fasi ordinarie.
Passo 1: Mappare i software in uso e l'uso informale
Il primo problema di molte aziende non è ciò che l'ufficio IT ha acquistato ufficialmente, ma ciò che i singoli dipendenti utilizzano in autonomia per velocizzare il lavoro quotidiano (la cosiddetta Shadow AI).
Mappare i software significa censire sia gli applicativi gestionali integrati, sia i tool utilizzati per la redazione di testi, la traduzione di documenti aziendali, il ritocco grafico o il supporto al codice. Senza la visibilità sull'uso reale dei dati, è impossibile valutare la postura di rischio dell'organizzazione.
Passo 2: Classificare i casi d'uso secondo la matrice di rischio
Una volta identificati i software, ciascun caso d'uso va collocato nella corretta classe di rischio:
- Gli strumenti impiegati nelle Risorse Umane (es. software di selezione dei candidati) vanno verificati immediatamente per accertare se rientrino tra le applicazioni ad alto rischio.
- I chatbot o i tool di generazione contenuti vanno catalogati verificando l'adeguatezza dell'informativa agli utenti.
- Le soluzioni di ottimizzazione produttiva, analisi dati o automazione di magazzino vanno confermate nella fascia a rischio minimo.
Passo 3: Verificare le garanzie dei fornitori SaaS
Quando la PMI acquista software da fornitori esterni, deve richiedere trasparenza contrattuale. È necessario verificare se il fornitore certifichi la conformità all'AI Act per i moduli interessati, dove risiedano i dati elaborati e quali garanzie vengano fornite sulla riservatezza delle informazioni aziendali utilizzate negli algoritmi.
Passo 4: Attivare la formazione e la governance interna
In risposta all'obbligo di alfabetizzazione previsto dall'Articolo 4 — vigente dal febbraio 2025 —, l'azienda deve definire linee guida chiare per l'uso dell'AI generativa da parte dei dipendenti. Non occorrono documenti complessi: è sufficiente specificare quali dati aziendali o dei clienti non debbano mai essere caricati su piattaforme pubbliche non protette, quali strumenti siano approvati e chi mantenga la responsabilità della revisione finale degli output prima dell'invio a terzi.
Domande frequenti (FAQ)
Se uso ChatGPT o Microsoft Copilot in azienda devo fare adempimenti formali per l'AI Act?
No, se l'uso riguarda la normale produttività d'ufficio (scrittura di bozze, riassunto di testi, analisi di dati interni). Se questi strumenti vengono integrati in chatbot pubblici rivolti ai clienti, è necessario assicurarsi che l'utente sia informato del fatto che sta interagendo con una AI. Qualora vengano usati per valutare autonomamente candidature o lavoratori, l'applicazione rientra nell'ambito ad alto rischio e richiede una verifica specifica.
L'obbligo di alfabetizzazione sull'AI (Art. 4) è vigente da febbraio 2025: cosa deve fare concretamente una PMI che non si è ancora adeguata?
L'Articolo 4 stabilisce l'obbligo di garantire un livello adeguato di alfabetizzazione sull'AI per il personale che utilizza tali sistemi. Sebbene l'attenzione sanzionatoria iniziale delle autorità sia rivolta ai casi di violazione dei divieti e alle inadempienze dei grandi fornitori, la mancanza di linee guida e formazione aziendale espone l'impresa a rischi concreti di fuga di dati riservati e contestazioni in sede lavoristica o di tutela della privacy.
Chi deve verificare se un software HR usato in azienda è ad alto rischio?
La responsabilità prima di fornire un software conforme spetta al fornitore del software (provider). Tuttavia, la PMI che lo utilizza (deployer) deve verificare che il fornitore rilasci le adeguate garanzie di conformità e le istruzioni d'uso, assicurando che le decisioni finali sulle persone non siano mai delegate in modo cieco all'algoritmo.
Fonti e riferimenti normativi
- Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio (AI Act) — Gazzetta Ufficiale dell'Unione Europea, L 2024/1689. Testo ufficiale EUR-Lex
- Obblighi di alfabetizzazione sull'AI (Articolo 4 AI Act) — Regolamento (UE) 2024/1689. Articolo 4 EUR-Lex
- Commissione Europea — Regulatory framework for AI — European Commission Official Portal. Portale Commissione UE
- Ufficio Europeo per l'Intelligenza Artificiale (EU AI Office) — European Commission. EU AI Office