AI Act in azienda: guida pratica per PMI e professionisti

L'AI Act non ti chiede di smettere di usare l'intelligenza artificiale. Ti chiede di sapere dove la stai usando, con quali dati e chi risponde del risultato.

È una differenza meno spettacolare di quanto suggeriscano certi titoli, ma molto più utile. Se hai uno studio professionale, una piccola agenzia, un e-commerce o un'azienda con venti persone, il lavoro da fare non comincia da un faldone legale. Comincia da una domanda semplice: «In quali attività l'AI è già entrata, magari senza che ce ne accorgessimo?»

Nelle email commerciali? Nei verbali delle riunioni? Nella selezione dei curriculum? Nel chatbot del sito? Nella preparazione di un parere per un cliente? Sono usi molto diversi. Trattarli tutti allo stesso modo porta a due errori opposti: bloccare strumenti innocui oppure lasciare senza controllo quelli che possono incidere davvero sulle persone.

Questa guida serve a evitare entrambi.

Prima cosa: il 2 agosto 2026 non è il giorno in cui «scatta tutto»

Il calendario è cambiato. Il Regolamento europeo sull'intelligenza artificiale è entrato in vigore nel 2024, ma i suoi obblighi arrivano per tappe. Nel luglio 2026 il Digital Omnibus, Regolamento UE 2026/1744, ha modificato alcune scadenze importanti.

Oggi, 4 agosto 2026, le cose da tenere a mente sono quattro.

1. Le pratiche vietate sono già vietate dal febbraio 2025.
2. L'obbligo di sostenere lo sviluppo di competenze AI nel personale è già applicabile, mentre l'attività di controllo può partire ora.
3. Gli obblighi di trasparenza dell'articolo 50 si applicano dal 2 agosto 2026.
4. La maggior parte degli obblighi specifici per i sistemi ad alto rischio elencati nell'Allegato III si applicherà dal 2 dicembre 2027, mentre quelli integrati nei prodotti regolati arriveranno nell'agosto 2028. La Commissione europea riassume qui il calendario aggiornato.

Questo è un punto importante: un sistema di selezione del personale può essere destinato a ricadere nell'alto rischio, ma non significa che oggi ogni piccola impresa debba produrre da sola tutta la documentazione tecnica di un fornitore. Significa che conviene scegliere bene il fornitore e progettare adesso una supervisione umana credibile.

Il test dei cinque minuti: che tipo di uso stai facendo?

Non partire dal nome dello strumento. Parti dall'uso. Lo stesso modello può aiutarti a riscrivere una mail oppure assegnare un punteggio a un candidato. Il primo caso è normalmente leggero, il secondo può incidere sul diritto al lavoro.

Verde: uso ordinario con controlli proporzionati

Preparare una bozza di newsletter, riassumere un documento non riservato, generare idee per una presentazione, correggere il tono di una mail. Sono usi normalmente a rischio minimo o limitato. Non richiedono un progetto di compliance da multinazionale, ma richiedono buonsenso organizzato.

Ambra: trasparenza, privacy o impatto da verificare

Un chatbot che parla con i clienti deve far capire che è una macchina, salvo che sia evidente dal contesto. Un assistente che riceve contratti, cartelle cliniche o dati dei dipendenti apre questioni GDPR e di riservatezza. Un testo su temi di interesse pubblico richiede una valutazione specifica dell'articolo 50.

Rosso: decisioni importanti sulle persone o pratiche vietate

Un software che filtra candidati, assegna turni sulla base di profili, valuta l'accesso al credito o influenza un percorso formativo merita una verifica approfondita. Alcuni di questi sistemi saranno ad alto rischio. Altri usi, come il riconoscimento delle emozioni sul posto di lavoro salvo eccezioni mediche o di sicurezza, sono vietati. Le linee guida della Commissione sulle pratiche vietate aiutano a leggere l'articolo 5, anche se l'ultima parola resta alla giurisprudenza.

Cosa deve fare una piccola azienda, in concreto

La conformità di base può stare in cinque documenti vivi. «Vivi» significa aggiornati quando cambia lo strumento o il processo, non salvati una volta in una cartella e dimenticati.

1. Un inventario degli usi AI

Non serve censire ogni formula di Excel. Registra gli strumenti che generano, classificano, raccomandano o prendono parte a una decisione. Per ciascuno annota:

• nome del servizio e fornitore;
• attività in cui viene usato;
• persone che lo usano e responsabile del processo;
• dati inseriti, soprattutto personali, sensibili o riservati;
• tipo di output e decisione che può influenzare;
• controllo umano previsto;
• data dell'ultima verifica.

La colonna più importante è «decisione influenzata». Se l'output resta una bozza, il rischio è contenuto. Se diventa un punteggio che orienta un'assunzione, cambia tutto.

2. Una regola d'uso comprensibile

Una policy di quaranta pagine non protegge nessuno se il team non la legge. Per iniziare, scrivi una pagina con esempi concreti:

• si possono usare gli strumenti approvati per bozze, traduzioni e sintesi;
• non si inseriscono segreti commerciali, credenziali, dati sanitari o documenti dei clienti in account non autorizzati;
• una risposta AI non è una fonte e va verificata;
• le decisioni su persone non possono essere delegate a un output non controllato;
• errori, esposizioni di dati e risultati discriminatori vanno segnalati subito a un referente nominato.

3. Una scheda per valutare i fornitori

Il pulsante «versione business» non risolve automaticamente la conformità. Prima di adottare un servizio, chiedi dove sono trattati i dati, per quanto tempo vengono conservati, se sono usati per addestrare i modelli, quali subfornitori intervengono e come viene notificato un incidente.

Chiedi anche ciò che ti serve per controllare il processo: versione del modello, log disponibili, possibilità di cancellazione ed esportazione, livelli di servizio, limiti dichiarati, misure di sicurezza e responsabilità contrattuali. Se il sistema potrebbe diventare ad alto rischio, il fornitore deve essere in grado di spiegare il proprio ruolo ai sensi dell'AI Act e il percorso di conformità previsto.

4. Una procedura di revisione umana

«C'è una persona nel processo» non basta. Quella persona deve avere competenza, tempo e autorità per cambiare il risultato. Se deve approvare cento decisioni in cinque minuti, il controllo è soltanto formale.

Scrivi chi controlla, cosa deve controllare, quali fonti usa, quando deve fermare il processo e dove registra un'anomalia. Per le decisioni importanti, conserva anche le ragioni della decisione finale.

5. Un registro minimo di formazione e incidenti

L'articolo 4, come modificato nel 2026, chiede a fornitori e utilizzatori professionali di adottare misure che sostengano lo sviluppo dell'alfabetizzazione AI, considerando competenze, esperienza, contesto e persone coinvolte. Non impone lo stesso corso a tutti.

Una persona che usa un assistente per scrivere email ha bisogno di riconoscere allucinazioni, rischi sui dati e limiti delle fonti. Chi usa un sistema nel recruiting deve capire bias, supervisione, diritto del lavoro e possibilità di contestazione. Conserva programma, partecipanti, data e materiali. La Commissione chiarisce che la misura deve essere proporzionata al contesto.

Nello stesso registro, o in uno separato, annota incidenti e quasi incidenti: dati inviati per errore, output falsi arrivati a un cliente, discriminazioni sospette, uso di strumenti non approvati. È il modo più semplice per imparare prima che il problema si ripeta.

Trasparenza: quando devi dire che c'è un'AI

Dal 2 agosto 2026 l'articolo 50 entra nel lavoro quotidiano. Le situazioni principali sono queste.

La Commissione europea conferma l'eccezione per il testo sottoposto a controllo umano. Ma attenzione: controllo umano non significa correggere due virgole. Le linee guida sull'articolo 50 parlano di esame sostanziale da parte di persone con competenza e giudizio, verifica delle fonti, potere di modificare o rifiutare il contenuto e assunzione della responsabilità editoriale.

Questa distinzione è utile anche oltre la conformità. Ti costringe a decidere dove finisce l'automazione e dove comincia la tua firma.

Professionisti: il cliente va informato

Per avvocati, commercialisti, consulenti, ingegneri, architetti e altri professionisti italiani esiste un livello ulteriore. L'articolo 13 della legge italiana 132/2025 consente l'uso dell'AI per attività strumentali e di supporto, mantenendo prevalente il lavoro intellettuale del professionista. Chiede inoltre che le informazioni sui sistemi usati siano comunicate al cliente in modo chiaro, semplice ed esauriente.

Questa informazione non coincide con l'etichetta pubblica dell'articolo 50. Un professionista potrebbe non dover etichettare un articolo sottoposto a vero controllo editoriale e, allo stesso tempo, dover informare il proprio cliente dell'uso dell'AI nell'incarico professionale.

Una formula utile non deve essere teatrale. Può spiegare quali attività sono assistite, quali dati vengono trattati, quali controlli effettua il professionista e che la responsabilità del risultato resta sua. La forma concreta va adattata all'incarico e alle regole deontologiche applicabili.

AI sul lavoro: non basta dirlo nella privacy policy

La legge italiana 132/2025, articolo 11, collega l'uso dell'AI nel lavoro alla sicurezza, alla dignità e alla tutela della riservatezza. Quando vengono usati sistemi decisionali o di monitoraggio integralmente automatizzati che incidono su assunzione, gestione, assegnazione dei compiti, sorveglianza, valutazione o cessazione del rapporto, si applicano gli obblighi informativi previsti dal decreto legislativo 152/1997.

Non significa che ogni dipendente debba ricevere una circolare ogni volta che si usa un correttore automatico. Significa che un sistema che valuta, assegna o sorveglia le persone non può essere introdotto come una normale funzione software. Vanno spiegati finalità, funzionamento rilevante, dati usati, controlli, misure di sicurezza e possibili effetti. Devono essere considerate anche le relazioni sindacali e le altre norme sul controllo a distanza.

Se stai acquistando un software HR con funzioni AI, coinvolgi prima chi segue lavoro, privacy e sicurezza. Farlo dopo il contratto ti lascia meno margine per ottenere dati, log e garanzie dal fornitore.

AI Act e GDPR: due controlli diversi sullo stesso processo

L'AI Act non sostituisce il GDPR. Un uso può essere a rischio minimo per l'AI Act e trattare comunque dati personali in modo illecito. Al contrario, un sistema può non usare dati personali e ricadere ugualmente in un obbligo di trasparenza sui contenuti.

Per ogni uso chiediti:

1. Ho una base giuridica per trattare questi dati?
2. Sto inserendo più dati di quelli necessari?
3. Il fornitore usa i dati per finalità proprie o addestramento?
4. Dove vengono trasferiti e quanto a lungo restano disponibili?
5. Il trattamento può creare un rischio elevato per diritti e libertà?
6. Una decisione è basata esclusivamente sul trattamento automatizzato e produce effetti giuridici o analogamente significativi?

L'articolo 22 del GDPR tutela le persone dalle decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi, salvo specifiche condizioni e garanzie. L'articolo 35 richiede una valutazione d'impatto privacy prima dei trattamenti che possono presentare un rischio elevato. Non ogni progetto AI richiede una DPIA, ma non va neppure esclusa soltanto perché il fornitore è famoso.

Il Comitato europeo per la protezione dei dati ha ribadito che anonimato, interesse legittimo e uso di dati trattati illecitamente vanno valutati caso per caso.

Un piano realistico in 30 giorni

Non serve aspettare la certezza assoluta su ogni linea guida. In un mese puoi costruire una base proporzionata e utile.

Settimana 1: fai emergere l'AI invisibile

Raccogli gli usi reali con una riunione breve e un modulo. Chiedi alle persone cosa usano davvero, non soltanto cosa è stato acquistato dall'azienda. Sospendi subito eventuali pratiche vietate e gli inserimenti di dati particolarmente delicati in servizi non autorizzati.

Settimana 2: assegna una priorità

Classifica ogni uso con il triage precedente. Verifica privacy e contratti per i casi ambra. Porta a legale, DPO o consulente specializzato i casi rossi, soprattutto lavoro, credito, salute, istruzione, biometria e servizi essenziali.

Settimana 3: forma e informa

Fai una sessione breve per tutti e una più specifica per chi lavora sui processi sensibili. Prepara gli avvisi per chatbot e contenuti, le informazioni per i clienti professionali e, dove necessario, quelle per i lavoratori.

Settimana 4: rendi il controllo verificabile

Approva gli strumenti ammessi, assegna i responsabili, definisci revisione ed escalation, completa le domande ai fornitori. Simula un incidente: se domani un documento riservato finisse nel servizio sbagliato, chi se ne accorgerebbe, chi chiamerebbe il vendor e chi informerebbe privacy e direzione?

Tre errori che costano più della compliance

«È un prodotto famoso, quindi siamo coperti»

Il fornitore risponde del proprio servizio. Tu rispondi del modo in cui lo usi, dei dati che gli affidi e delle decisioni che costruisci attorno all'output. Un buon contratto non rende sensato un processo sbagliato.

«Mettiamo sempre una persona che approva»

Se quella persona non sa cosa controllare o non può contestare il sistema, l'approvazione è una formalità. L'intervento umano richiesto dal GDPR e la sorveglianza prevista dall'AI Act devono essere effettivi.

«Aspettiamo il 2027»

Il rinvio degli obblighi ad alto rischio concede tempo, ma trasparenza, pratiche vietate, formazione e GDPR sono già attuali. Inoltre, cambiare un sistema HR dopo averlo integrato in contratti, workflow e valutazioni costa molto più che valutarlo prima.

E le sanzioni?

Esistono e possono essere importanti. L'AI Act prevede massimali diversi in base alla violazione, fino a 35 milioni di euro o al 7 per cento del fatturato mondiale per le pratiche vietate. Per altre violazioni i massimali scendono. Per le PMI viene considerato il limite più basso tra cifra fissa e percentuale, e il testo aggiornato del 2026 consente agli Stati membri di prevedere anche avvertimenti e misure non pecuniarie.

Il punto, però, non è usare la multa come tecnica di vendita. Per una piccola impresa il danno più probabile nasce prima: perdita di dati riservati, decisione ingiusta su una persona, contenuto falso pubblicato con il proprio nome, dipendenza da un fornitore che non restituisce log o documentazione. Le stesse misure che riducono il rischio normativo riducono questi problemi operativi.

La checklist finale

Prima di considerare governato un uso AI, verifica che queste dieci risposte siano scritte e non soltanto nella testa di qualcuno:

• Sappiamo che cosa fa il sistema nel processo reale.
• Sappiamo chi è il fornitore e quali condizioni contrattuali si applicano.
• Sappiamo quali dati ricevono il sistema e i suoi subfornitori.
• Abbiamo escluso una pratica vietata.
• Abbiamo verificato se incide su una decisione importante riguardo a persone.
• Una persona competente può controllare, correggere e fermare il risultato.
• Gli utenti, i lavoratori o i clienti ricevono le informazioni dovute.
• Le persone che lo usano hanno una formazione adatta al loro ruolo.
• Esiste un modo semplice per segnalare errori e incidenti.
• Riesamineremo l'uso quando cambiano modello, dati, finalità o integrazione.

Se oggi ne spunti sei, non sei «fuori legge». Hai una fotografia onesta del lavoro da fare. Parti dalle quattro caselle mancanti, dando precedenza a persone, dati sensibili e decisioni difficili da correggere.

Chi vigila in Italia

La legge 132/2025 ha individuato AgID e ACN come autorità nazionali per l'intelligenza artificiale, con funzioni diverse. AgID segue, tra l'altro, notifiche, accreditamento e promozione; ACN svolge funzioni di vigilanza del mercato, ispezione e sanzione, oltre al ruolo di punto di contatto unico. Restano ferme le competenze del Garante per la protezione dei dati personali, di AGCOM e delle autorità di settore come Banca d'Italia, CONSOB e IVASS.

Per una piccola impresa questo significa una cosa pratica: il referente dipende dal problema. Una violazione di dati resta materia privacy. Un sistema finanziario può coinvolgere un'autorità di settore. Non è necessario conoscere l'intero organigramma istituzionale prima di partire, ma serve sapere chi segue internamente privacy, sicurezza, lavoro e fornitori.

La conclusione meno giuridica

Applicare bene l'AI Act significa riportare l'AI alla sua dimensione reale: uno strumento inserito in un processo umano e aziendale.

Non devi prevedere ogni errore possibile. Devi poter spiegare perché hai scelto quello strumento, quali limiti conosci, chi controlla il risultato e come reagisci quando qualcosa va storto. È una disciplina ragionevole anche se domani il regolamento cambiasse di nuovo.

Comincia dall'inventario. In un'ora scoprirai probabilmente che l'AI è già più presente di quanto pensassi. E che governarla è meno spaventoso di quanto sembrasse, purché qualcuno se ne assuma davvero la responsabilità.

Articolo aggiornato al 4 agosto 2026 sulla base del Regolamento UE 2024/1689, del Regolamento UE 2026/1744, delle linee guida della Commissione europea e della legge italiana 132/2025. Ha finalità informativa e non sostituisce un parere legale sul caso concreto.