Se nella tua azienda qualcuno usa ChatGPT per scrivere un'email, Copilot per riassumere una riunione o un tool di grafica per una campagna, l'AI Act ti riguarda. Non perché tu stia costruendo sistemi di intelligenza artificiale, ma perché li usi: il Regolamento chiama questa figura deployer e le assegna alcuni obblighi, pochi ma concreti. Questa guida li mette in fila, con le date, e indica da dove partire.
1. Cosa riguarda davvero una PMI
L'AI Act (Regolamento UE 2024/1689) distingue tra chi sviluppa e immette sul mercato sistemi di AI (provider) e chi li utilizza nell'ambito della propria attività (deployer). La maggior parte delle PMI italiane rientra nella seconda categoria. Per i deployer gli obblighi dipendono dal livello di rischio del sistema che usano:
Pratiche vietate art. 5
Ad esempio il riconoscimento delle emozioni sul posto di lavoro o il social scoring. Non si possono usare, punto.
Ad esempio il riconoscimento delle emozioni sul posto di lavoro o il social scoring. Non si possono usare, punto.
Sistemi ad alto rischio art. 6 e Allegato III
Selezione dei candidati, valutazione o monitoraggio dei lavoratori, accesso al credito. L'art. 26 chiede sorveglianza umana, uso secondo le istruzioni, conservazione dei log e informativa ai lavoratori.
Selezione dei candidati, valutazione o monitoraggio dei lavoratori, accesso al credito. L'art. 26 chiede sorveglianza umana, uso secondo le istruzioni, conservazione dei log e informativa ai lavoratori.
Obblighi di trasparenza art. 50
Chatbot rivolti a clienti, contenuti generati o manipolati dall'AI. L'obbligo è dire che c'è l'AI di mezzo.
Chatbot rivolti a clienti, contenuti generati o manipolati dall'AI. L'obbligo è dire che c'è l'AI di mezzo.
Tutti gli altri usi art. 4
Nessun obbligo specifico, ma vale per tutti l'alfabetizzazione del personale.
Nessun obbligo specifico, ma vale per tutti l'alfabetizzazione del personale.
In pratica
Per una PMI tipica, con strumenti generativi usati in marketing, amministrazione e customer care, gli obblighi che pesano davvero sono tre: formare il personale (art. 4), sapere quali strumenti si usano e per cosa (premessa a qualsiasi classificazione), essere trasparenti quando l'AI parla con clienti o produce contenuti (art. 50).
2. Le date da segnare
Il Regolamento è entrato in vigore il 1° agosto 2024 e si applica a scaglioni (art. 113):
24
1 ago 2024
Entrata in vigoreIl regolamento è legge in tutta l'UE. Inizia il conto alla rovescia delle scadenze.
25
2 feb 2025
Divieti e formazione del personaleScattano i divieti (art. 5) e l'obbligo di alfabetizzazione del personale (art. 4). Già in vigore.
25
2 ago 2025
Governance, sanzioni, modelli generaliGovernance, autorità nazionali, sanzioni, obblighi per i modelli di AI per finalità generali. Già in vigore.
26
2 ago 2026
Trasparenza e alto rischio (All. III)Applicazione generale: obblighi di trasparenza (art. 50) e sistemi ad alto rischio dell'Allegato III, inclusi quelli per lavoro e selezione del personale.
27
2 ago 2027
Alto rischio nei prodotti (All. I)Sistemi ad alto rischio integrati in prodotti già soggetti a normativa di sicurezza (Allegato I).
| Data | Cosa si applica |
|---|---|
| 2 febbraio 2025 | Divieti (art. 5) e obbligo di alfabetizzazione del personale (art. 4). Già in vigore. |
| 2 agosto 2025 | Governance, autorità nazionali, sanzioni, obblighi per i modelli di AI per finalità generali. Già in vigore. |
| 2 agosto 2026 | Applicazione generale: obblighi di trasparenza (art. 50) e sistemi ad alto rischio dell'Allegato III, inclusi quelli per lavoro e selezione del personale. |
| 2 agosto 2027 | Sistemi ad alto rischio integrati in prodotti già soggetti a normativa di sicurezza (Allegato I). |
Attenzione
Il calendario è oggetto di proposte di modifica a livello europeo, in particolare sui tempi dell'alto rischio. Prima di pianificare su una data, verifica la versione consolidata del Regolamento su EUR-Lex. Gli obblighi del febbraio 2025 (divieti e formazione) non sono in discussione.
3. Gli obblighi già in vigore
Alfabetizzazione del personale (art. 4)
Provider e deployer devono adottare misure per garantire un livello sufficiente di alfabetizzazione in materia di AI al proprio personale e a chi usa i sistemi per loro conto, tenendo conto del contesto d'uso e delle persone coinvolte. Il Regolamento non fissa ore, programmi o attestati obbligatori: chiede che la formazione sia adeguata e che l'azienda sia in grado di dimostrarla.
Divieti (art. 5)
Per una PMI il punto di attenzione è soprattutto l'ambiente di lavoro: sono vietati i sistemi che inferiscono le emozioni dei lavoratori, salvo motivi medici o di sicurezza. Vale la pena verificare che nessuno strumento di monitoraggio o di videoconferenza abbia funzioni di questo tipo attive.
In pratica
Per l'art. 4 conta l'evidenza: chi ha seguito quale modulo, quando, con quale verifica. Un percorso breve per ruolo, un test finale e un attestato conservato in azienda sono una base ragionevole. Il contenuto va adattato: chi usa l'AI per i testi commerciali ha bisogno di regole diverse da chi la usa sui CV.
4. Cosa aggiunge la legge 132/2025
La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, è la cornice italiana che accompagna il Regolamento. Non lo sostituisce e non lo duplica: interviene su alcuni ambiti specifici. Per chi gestisce un'azienda o uno studio, gli articoli da conoscere sono due.
- Art. 11, lavoro. L'AI va impiegata per migliorare le condizioni di lavoro e tutelare l'integrità psicofisica delle persone; il datore di lavoro informa i lavoratori sull'uso di sistemi di AI nell'organizzazione del lavoro; non sono ammesse discriminazioni automatizzate.
- Art. 13, professioni intellettuali. L'AI può essere usata solo come supporto, con prevalenza del lavoro intellettuale del professionista, che deve informare il cliente con linguaggio chiaro sugli strumenti di AI utilizzati.
La legge designa inoltre AgID e ACN come autorità nazionali per l'AI e istituisce presso il Ministero del Lavoro un Osservatorio sull'adozione dell'AI nel mondo del lavoro (art. 12).
5. Da dove partire: tre passi
01
Censisci gli strumenti
Chiedi a ogni reparto quali tool AI usa, con quale account (aziendale o personale), per quali attività e con quali dati. È il passo che rende possibili tutti gli altri: senza un inventario non puoi classificare nulla né informare nessuno.
02
Scrivi le regole minime e comunicale
Una policy breve: quali strumenti sono approvati, quali dati non vanno mai caricati, chi autorizza un nuovo tool, come si segnala un problema. Raccogli la presa visione: serve sia per l'art. 4 che per l'informativa ai lavoratori prevista dalla legge italiana.
03
Forma le persone per ruolo e conserva le evidenze
Moduli brevi, test, attestati. Poi un calendario per tenerli aggiornati quando cambiano strumenti o normativa.
In pratica
Se dal censimento emerge un uso ad alto rischio (per esempio uno strumento che filtra i CV), fermati e valuta con un professionista prima dell'agosto 2026: l'art. 26 aggiunge obblighi specifici e, nei casi previsti dall'art. 27, una valutazione d'impatto sui diritti fondamentali.
6. Cosa non fare
- Non vietare l'AI in blocco: le persone continueranno a usarla, solo senza dirlo.
- Non comprare "la conformità all'AI Act" come prodotto: non esiste una certificazione di conformità per i deployer, e chi la promette va guardato con sospetto.
- Non trattare la policy come un documento legale da archiviare: se non è letta e capita, non protegge nessuno.
Attenzione
Questa guida descrive il quadro generale e non sostituisce una valutazione legale sul tuo caso. Per le questioni che riguardano dati personali, lavoratori o settori regolati, confrontati con un avvocato o con il tuo DPO.
La conformità non è un documento da archiviare: è sapere, in ogni momento, quali AI usa la tua azienda e perché.
Riferimenti normativi
Riferimenti normativi
Regolamento (UE) 2024/1689 (AI Act)
- Art. 3 — Definizioni (provider, deployer)
- Art. 4 — Alfabetizzazione in materia di AI
- Art. 5 — Pratiche di AI vietate
- Art. 6 e Allegato III — Classificazione dei sistemi ad alto rischio
- Art. 26 — Obblighi dei deployer di sistemi ad alto rischio
- Art. 27 — Valutazione d'impatto sui diritti fondamentali
- Art. 50 — Obblighi di trasparenza
- Art. 113 — Entrata in vigore e applicazione
Legge 23 settembre 2025, n. 132
- Art. 11 — Disposizioni sull'uso dell'AI in materia di lavoro
- Art. 12 — Osservatorio sull'adozione di sistemi di AI nel mondo del lavoro
- Art. 13 — Disposizioni in materia di professioni intellettuali
- Art. 20 — Autorità nazionali per l'intelligenza artificiale (AgID, ACN)
I numeri degli articoli della legge 132/2025 sono da verificare sul testo consolidato prima della pubblicazione.
Questo contenuto ha finalità informativa e non costituisce consulenza legale, certificazione di conformità o parere professionale.
Domande frequenti
L'AI Act si applica anche a una piccola azienda che usa solo ChatGPT?
Sì. Chi usa strumenti di AI al lavoro è un utilizzatore (deployer): dal febbraio 2025 deve formare le persone che li usano e, dal 2026, informare quando un contenuto o un'interazione è generata dall'AI.
Quante ore di formazione servono per l'articolo 4?
La norma non fissa un numero di ore: chiede competenze adeguate al ruolo. Per la maggior parte dei dipendenti bastano circa due ore con una verifica finale e un attestato.
Cosa rischia chi non si adegua?
Le sanzioni dell'articolo 99 arrivano fino al 3% del fatturato per le violazioni degli obblighi principali; per le PMI si applica l'importo più basso tra percentuale e cifra fissa.
Vuoi capire da dove partire nella tua azienda?
L'AI Checker è gratuito e richiede 2 minuti. Oppure confronta i pacchetti.
Questo contenuto ha finalità informativa e non costituisce consulenza legale, certificazione di conformità o parere professionale.