AI Act per le PMI: cosa cambia dal 2 agosto 2026 e cosa fare adesso
ChatGPT o Copilot per preparare la bozza di un’email. Gemini o Claude per riassumere un documento. Un generatore di immagini per creare un post sui social. Un chatbot sul sito per rispondere alle domande dei clienti. Una funzione di intelligenza artificiale integrata nel CRM o nel software che l’azienda utilizza ogni giorno.
L’intelligenza artificiale è già entrata nelle piccole e medie imprese italiane, spesso attraverso strumenti molto semplici e accessibili. E non è necessario che l’azienda abbia acquistato una costosa piattaforma enterprise: l’utilizzo può avvenire anche attraverso account gratuiti o personali dei singoli collaboratori.
Questo è un punto importante. Il fatto che un dipendente utilizzi la versione gratuita di ChatGPT, Copilot, Gemini, Claude o di un’altra piattaforma non rende quell’utilizzo automaticamente estraneo all’AI Act. Ciò che conta è come e per quale finalità il sistema di intelligenza artificiale viene utilizzato nel contesto dell’attività aziendale.
Account gratuiti, personali e aziendali possono invece offrire condizioni differenti per quanto riguarda trattamento dei dati, privacy, amministrazione degli accessi e garanzie contrattuali. Sono quindi aspetti che l’impresa dovrebbe valutare separatamente.
Con l’AI Act, il regolamento europeo sull’intelligenza artificiale, il tema non riguarda più soltanto quali strumenti utilizzare o quanto tempo possono far risparmiare. Entrano in gioco anche trasparenza, formazione, gestione dei dati e responsabilità.
Una delle date da conoscere è il 2 agosto 2026, la data che rende applicabile gran parte delle disposizioni del regolamento e data da cui possono scattare eventuali sanzioni. Alcuni obblighi, però, sono già operativi: tra questi c’è quello relativo all’AI literacy, applicabile dal 2 febbraio 2025.
Per una PMI, quindi, una delle prime domande da porsi è molto concreta:
sappiamo quali strumenti di intelligenza artificiale vengono utilizzati nella nostra azienda, da chi e per quali attività?
L’AI Act riguarda anche le piccole e medie imprese?
Uno degli equivoci più comuni è pensare che l’AI Act riguardi soprattutto le grandi aziende tecnologiche o chi sviluppa modelli di intelligenza artificiale.
Non è così!
Il regolamento distingue diversi soggetti e responsabilità. Per molte PMI è particolarmente importante il concetto di deployer, cioè chi utilizza un sistema di intelligenza artificiale sotto la propria autorità.
Un’impresa, quindi, non deve necessariamente aver sviluppato una propria AI per essere interessata dalla normativa.
Pensiamo ad alcune situazioni ormai comuni:
- il reparto marketing utilizza ChatGPT, Microsoft Copilot, Gemini, Claude o altre piattaforme di AI generativa;
- uno o più dipendenti utilizzano questi servizi attraverso account gratuiti o personali per svolgere attività lavorative;
- l’azienda genera immagini, audio o video attraverso strumenti di intelligenza artificiale;
- sul sito è presente un chatbot o un assistente virtuale;
- alcuni dipendenti utilizzano funzionalità AI integrate nei software aziendali;
- vengono introdotte automazioni che utilizzano modelli di intelligenza artificiale.
Gli scenari sono molteplici ed è necessaria una mappatura per informare e avere il giusto controllo aziendale.
Non è quindi il tipo di abbonamento a stabilire, da solo, se l’AI Act entra in gioco. Un account gratuito non rappresenta un’esenzione dalla normativa, così come un account personale utilizzato per finalità lavorative non rende l’utilizzo “privato” per il solo fatto che l’account appartenga al dipendente.
Questo non significa che ogni utilizzo comporti gli stessi obblighi. Ed è proprio qui che entra in gioco uno dei principi fondamentali dell’AI Act.
Non conta solo se utilizzi l’AI: conta come la utilizzi
L’approccio del regolamento europeo è basato sul rischio.
In termini semplici, utilizzare un sistema AI per aiutare il marketing a preparare una prima bozza di un testo non è equivalente a utilizzare un sistema che interviene nella selezione dei candidati per un posto di lavoro.
L’impatto sulle persone cambia e, di conseguenza, cambiano anche gli obblighi.
Per molte PMI che utilizzano l’intelligenza artificiale per attività come comunicazione, produzione di contenuti o assistenza ai clienti, uno degli aspetti più rilevanti riguarda la trasparenza.
L’articolo 50 dell’AI Act, per esempio, disciplina diversi obblighi di trasparenza relativi ai sistemi e ai contenuti AI.
Un caso facile da comprendere è quello dei chatbot: quando una persona interagisce direttamente con un sistema di intelligenza artificiale, deve essere informata del fatto che sta dialogando con una macchina, salvo che ciò sia già evidente dalle circostanze e dal contesto.
Ci sono poi regole specifiche per alcuni contenuti sintetici o manipolati, compresi determinati deepfake e testi generati o manipolati dall’AI pubblicati con lo scopo di informare il pubblico su questioni di interesse pubblico.
“… eh, mai io utilizzo Gemini con la mia app sullo smartphone…”
La normativa, quindi, non si traduce nella semplice regola “ogni cosa fatta con l’AI deve avere un’etichetta”. Occorre valutare che cosa fa il sistema, come viene utilizzato e in quale contesto.
Il primo problema per molte PMI: sapere quali strumenti vengono utilizzati
Prima ancora di chiedersi quali adempimenti siano necessari, c’è un passaggio molto più semplice: fare una fotografia della situazione.
In una piccola impresa può succedere che il titolare utilizzi ChatGPT, una persona dell’amministrazione usi Copilot, il marketing abbia iniziato a lavorare con Gemini o Claude e un commerciale stia provando un altro assistente AI attraverso un account gratuito.
La direzione potrebbe non essere nemmeno a conoscenza di tutti questi utilizzi.
È il fenomeno che spesso viene definito “Shadow AI”: strumenti di intelligenza artificiale introdotti e utilizzati per il lavoro senza un processo aziendale di autorizzazione, censimento o controllo.
Ed è proprio qui che la distinzione tra account gratuito e a pagamento rischia di portare fuori strada e incorrere in sanzioni.
Dal punto di vista organizzativo, la domanda non è soltanto “abbiamo acquistato strumenti AI?”, ma anche “quali strumenti AI vengono utilizzati per lavorare?”
Una prima mappatura serve proprio a rispondere a questa domanda.
Non occorre partire da un sistema complicato. È possibile creare un registro interno che indichi, per ogni strumento:
- quale applicazione viene utilizzata;
- da quale reparto o persona;
- per quale finalità;
- se viene utilizzato un account aziendale, personale o gratuito;
- quali categorie di informazioni vengono inserite;
- chi è responsabile del controllo del processo.
Questo semplice esercizio può far emergere rapidamente utilizzi che la direzione non aveva ancora considerato.
Un esempio: l’AI utilizzata dal reparto marketing
Immaginiamo una PMI nella quale il reparto marketing utilizza ChatGPT e Claude per preparare le prime bozze dei contenuti, mentre Copilot viene utilizzato per altre attività quotidiane.
Un collaboratore accede attraverso un account aziendale. Un altro utilizza la versione gratuita di uno strumento con il proprio indirizzo email personale. Nel frattempo vengono generate alcune immagini per i social e sul sito è stato attivato un chatbot per gestire le richieste più semplici.
L’azienda “usa l’intelligenza artificiale”, ma questa definizione dice poco.
Le domande utili sono altre.
Quali informazioni vengono inserite negli strumenti? Sono presenti dati personali o informazioni riservate? Quali condizioni prevede il servizio utilizzato? Il chatbot comunica chiaramente all’utente che sta interagendo con un sistema automatico? Chi controlla i contenuti prima della pubblicazione? Il personale conosce limiti e rischi degli strumenti che utilizza?
Ecco perché l’adeguamento all’AI Act non può essere affrontato soltanto installando un nuovo software o aggiungendo una frase al sito.
Serve prima di tutto un processo interno comprensibile e formazione (obbloigatoria).
AI Act e formazione: un obbligo già applicabile
Un altro punto importante per le PMI riguarda la formazione.
L’articolo 4 dell’AI Act prevede che provider e deployer adottino misure per garantire, per quanto possibile, un livello sufficiente di alfabetizzazione in materia di intelligenza artificiale delle persone che operano con i sistemi AI per loro conto.
Questa disposizione si applica dal 2 febbraio 2025.
Non significa che ogni dipendente debba diventare un tecnico specializzato in machine learning.
La formazione deve essere valutata considerando, tra le altre cose, le conoscenze e l’esperienza delle persone coinvolte, il contesto nel quale vengono utilizzati i sistemi e le persone o i gruppi sui quali questi sistemi possono incidere.
Per una PMI può quindi essere utile formare il personale su aspetti molto concreti: quali strumenti sono autorizzati, quali account possono essere utilizzati, quali dati non devono essere inseriti, quali risultati devono essere verificati da una persona e quali obblighi di trasparenza possono entrare in gioco.
L’obiettivo non è accumulare attestati. È mettere le persone nelle condizioni di utilizzare l’AI in modo consapevole.
AI Act e GDPR: attenzione a non confonderli
AI Act e GDPR vengono spesso citati insieme, ma regolano aspetti differenti.
Il GDPR riguarda la protezione e il trattamento dei dati personali. L’AI Act disciplina invece lo sviluppo, l’immissione sul mercato e l’utilizzo dei sistemi di intelligenza artificiale secondo un modello basato anche sul rischio.
Le due normative possono però incontrarsi.
Se un dipendente inserisce dati personali di clienti all’interno di ChatGPT, Copilot, Gemini, Claude o di un altro servizio AI, per esempio, non basta chiedersi se l’utilizzo sia compatibile con l’AI Act. Occorre verificare anche come quei dati vengono trattati.
Ed è qui che account gratuito, personale e aziendale non sono necessariamente equivalenti: possono cambiare le condizioni contrattuali, le impostazioni disponibili, la gestione dei dati e il controllo che l’organizzazione può esercitare sugli account.
Per questo una policy aziendale sull’intelligenza artificiale dovrebbe stabilire almeno quali strumenti possono essere utilizzati, quali tipologie di account sono autorizzate e quali informazioni non devono essere caricate senza le opportune verifiche e misure di protezione.
Da dove può iniziare una PMI?
Di fronte a un regolamento articolato come l’AI Act, il rischio è concentrarsi subito sulla documentazione e perdere di vista il punto di partenza.
Per molte imprese il percorso può iniziare con tre attività.
1. Mappare gli strumenti AI in uso.
Non soltanto quelli acquistati ufficialmente dall’azienda. La mappatura dovrebbe comprendere anche ChatGPT, Copilot, Gemini, Claude e altre piattaforme utilizzate tramite account gratuiti o personali, oltre a plugin, chatbot, generatori di immagini e funzionalità AI integrate in altri software.
2. Definire poche regole interne chiare.
Quali strumenti possono essere utilizzati? Sono ammessi account personali? Quali dati possono essere inseriti? Chi controlla gli output prima che vengano utilizzati o pubblicati?
3. Formare le persone.
La formazione deve essere coerente con gli strumenti utilizzati e con il ruolo svolto. Chi crea contenuti avrà esigenze diverse da chi utilizza l’AI nell’amministrazione, nelle risorse umane o nel customer care.
Sono tre passaggi che aiutano a trasformare un tema percepito come prevalentemente normativo in un percorso organizzativo più gestibile.
Dal regolamento alla pratica
L’AI Act per le PMI non dovrebbe essere affrontato soltanto come un nuovo adempimento.
Può essere anche l’occasione per capire come l’intelligenza artificiale è già entrata nell’organizzazione e stabilire alcune regole prima che gli strumenti si moltiplichino senza un coordinamento.
E il primo censimento non dovrebbe limitarsi alle licenze acquistate dall’impresa. Anche uno strumento gratuito o un account personale può essere utilizzato per un’attività aziendale.
Il punto di partenza è quindi semplice: mappare, capire, formare e definire responsabilità chiare.
Da lì è possibile valutare quali obblighi si applicano alla propria situazione e quali interventi hanno priorità.
Scarica la Guida pratica AI Act per le PMI
Utilizzi già ChatGPT, Copilot, Gemini, Claude, chatbot, generatori di immagini o altre piattaforme AI, anche attraverso account gratuiti o personali?
Livello Digitale ha preparato una Guida pratica all’AI Act pensata per PMI e professionisti, per aiutarti a comprendere i principali aspetti della normativa e iniziare a fare ordine nell’utilizzo dell’intelligenza artificiale in azienda.
All’interno trovi anche una checklist operativa in 5 passi per verificare strumenti, ruoli, trasparenza, formazione e regole interne.
[Scarica gratuitamente la Guida pratica AI Act per le PMI]
Questo articolo ha finalità informativa e divulgativa e non costituisce consulenza legale. L’applicazione dell’AI Act dipende dal ruolo dell’organizzazione, dai sistemi utilizzati e dal contesto specifico.