Spesso si associa l'AI Act ai grandi gruppi tecnologici e a chi sviluppa IA. In realtà il regolamento europeo sull'intelligenza artificiale (regolamento (UE) 2024/1689) si applica a qualsiasi organizzazione, PMI e startup comprese, che utilizza, impiega o immette sul mercato sistemi di IA che riguardano persone nell'Unione. Se usate l'IA per selezionare il personale, assistere i clienti, concedere credito o produrre contenuti, con ogni probabilità siete coinvolti.
La buona notizia: l'AI Act è proporzionato. Gli obblighi dipendono dal livello di rischio di ciascun sistema. Un chatbot che mostra un avviso informativo non ha nulla a che vedere con uno strumento di diagnosi medica soggetto a valutazione della conformità. Questa checklist aiuta le PMI a capire a che punto sono e da dove cominciare.
Le vostre due date chiave: gli obblighi di trasparenza dell'articolo 50 (chatbot, contenuti generati dall'IA, riconoscimento delle emozioni) si applicano dal 2 agosto 2026. Gli obblighi completi per i sistemi di IA ad alto rischio (allegato III) si applicheranno dal 2 dicembre 2027. Entrambi riguardano anche i deployer, non solo chi sviluppa l'IA.
La checklist AI Act in 7 passi per le PMI
1. Fate l'inventario dei vostri sistemi di IA
Non si può gestire ciò che non si è censito. Iniziate elencando tutti gli strumenti che usano l'IA nella vostra organizzazione, compresi i software SaaS e i servizi di terzi in cui l'IA è solo una funzionalità tra le altre:
- un CRM con punteggio automatico dei contatti;
- una piattaforma di recruiting che seleziona i CV o analizza i colloqui;
- un chatbot di assistenza clienti;
- un assistente di scrittura usato per contenuti pubblicati;
- uno strumento di analisi che formula raccomandazioni automatiche;
- qualsiasi strumento che tratta dati biometrici (foto, voce, video).
Per ogni strumento annotate: il fornitore, cosa fa l'IA, chi riguarda, e se l'IA prende o orienta decisioni sulle persone.
2. Classificate ogni sistema in base al rischio
L'AI Act distingue quattro livelli di rischio. Applicateli a ogni sistema del vostro inventario:
- Rischio inaccettabile: pratiche vietate (punteggio sociale, tecniche manipolative, riconoscimento delle emozioni sul lavoro o a scuola, identificazione biometrica remota in tempo reale negli spazi pubblici a fini di contrasto, salvo eccezioni limitate). Se ne usate una, interrompetela subito.
- Alto rischio: sistemi dell'allegato III (selezione del personale, credito, istruzione, forze dell'ordine, infrastrutture critiche, biometria, controllo delle frontiere, giustizia). Serve un programma di conformità completo entro dicembre 2027.
- Rischio limitato: chatbot, deepfake, riconoscimento delle emozioni. L'obbligo di informare le persone si applica dal 2 agosto 2026.
- Rischio minimo: tutto il resto (filtri antispam, raccomandazioni, la maggior parte degli strumenti di produttività). Nessun obbligo specifico, ma una documentazione di buona pratica resta consigliabile.
Per fare prima, passate ogni sistema nel nostro strumento gratuito di diagnosi AI Act: indica livello di rischio, obblighi e scadenze in circa 10 minuti.
3. Mettete in atto gli avvisi di trasparenza dell'articolo 50
Se alcuni dei vostri sistemi rientrano nel «rischio limitato», gli avvisi sono obbligatori dal 2 agosto 2026. Se non li avete ancora predisposti, è l'intervento più rapido e la vostra esposizione legale più immediata:
- indicate «State parlando con un'IA» all'inizio di ogni conversazione con un chatbot;
- segnalate immagini, video e contenuti audio generati dall'IA;
- informate le persone quando usate un sistema di riconoscimento delle emozioni o di categorizzazione biometrica;
- verificate i contratti SaaS: chi è responsabile degli avvisi quando usate lo strumento di IA di un terzo?
La nostra verifica articolo 50 controlla questi punti a prezzo fisso.
4. Rivedete i contratti con i fornitori
La maggior parte delle PMI non sviluppa IA: la acquista. Questo non le esonera dagli obblighi. In quanto deployer, dovete assicurarvi che i sistemi che usate rispettino l'AI Act.
- Chiedete ai fornitori la loro roadmap di conformità all'AI Act.
- Verificate che gli strumenti ad alto rischio abbiano documentazione tecnica e valutazione della conformità.
- Assicuratevi che i contratti ripartiscano chiaramente la responsabilità degli avvisi di trasparenza e della segnalazione degli incidenti.
- Diffidate dei fornitori che non sanno rispondere alle domande di base sulla loro conformità.
5. Impostate una documentazione semplice
Anche per i sistemi a basso rischio, documentare è una buona pratica e dimostra la vostra buona fede alle autorità. Per i sistemi ad alto rischio è obbligatorio. Partite in modo semplice:
- un registro dei sistemi di IA (il vostro inventario del passo 1, formalizzato);
- la finalità, i dati in ingresso e i risultati di ciascun sistema;
- il responsabile interno di ciascun sistema;
- quando e come è stato riesaminato ciascun sistema;
- eventuali incidenti, errori o risultati inattesi.
6. Nominate un responsabile della conformità IA
L'AI Act non impone un «responsabile IA» dedicato alla maggior parte delle PMI, ma qualcuno deve occuparsene. Nella pratica è spesso il DPO (se lo avete), la funzione legale o compliance, oppure un dirigente che supervisiona le scelte tecnologiche.
Il suo ruolo: tenere aggiornato l'inventario, seguire l'evoluzione delle norme (l'AI Act continua a essere precisato da atti delegati e linee guida) e fare da riferimento per fornitori e consulenti esterni.
7. Preparate la conformità per l'alto rischio (se serve)
Se uno dei vostri sistemi è ad alto rischio, vi serve un programma di conformità strutturato. Non aspettate il 2027. I principali cantieri sono:
- Sistema di gestione dei rischi: individuare e documentare i rischi lungo tutto il ciclo di vita dell'IA.
- Governance dei dati: verificare distorsioni, lacune e pertinenza dei dati di addestramento.
- Documentazione tecnica: descrivere come funziona il sistema e come è stato validato.
- Sorveglianza umana: permettere a delle persone di monitorare il sistema e di intervenire.
- Valutazione della conformità: autovalutazione interna o verifica di terzi, a seconda del tipo di sistema.
- Registrazione nella banca dati dell'UE: registrare il sistema prima della messa in servizio.
Ogni cantiere richiede in genere da 2 a 4 mesi. Partite da una gap analysis per misurare la distanza tra la vostra situazione e i requisiti.
Il vostro calendario di conformità
| Data | Cosa serve | Chi riguarda |
|---|---|---|
| Da subito | Inventario dell'IA e classificazione del rischio | Ogni organizzazione che usa l'IA |
| 2 ago 2026 | Avvisi di trasparenza in atto | Chatbot, contenuti generati dall'IA, riconoscimento delle emozioni |
| 2 dic 2026 | Marcatura dei contenuti per i sistemi immessi sul mercato prima di agosto 2026, e divieto delle app «nudifier» | Media, marketing, piattaforme di contenuti IA |
| 2 dic 2027 | Conformità completa per l'IA ad alto rischio | Selezione del personale, credito, istruzione, forze dell'ordine… |
| 2 ago 2028 | IA ad alto rischio nei prodotti regolamentati | Dispositivi medici, macchine, veicoli… |
Le misure dedicate alle PMI
L'AI Act prevede diverse misure per alleggerire il carico delle realtà più piccole:
- Spazi di sperimentazione normativa (sandbox): le autorità nazionali devono istituirli per permettere di sviluppare e testare un'IA sotto la loro supervisione prima della diffusione.
- Accesso prioritario: le PMI hanno accesso prioritario alle sandbox e al supporto delle autorità competenti.
- Tariffe proporzionate: le tariffe per la valutazione della conformità devono tenere conto delle dimensioni della PMI e della sua quota di mercato.
- Documentazione semplificata: per alcuni sistemi, le PMI possono usare un modello semplificato di documentazione tecnica.
- Tetti alle sanzioni più bassi: per PMI e startup, ogni sanzione è limitata al minore dei due importi (importo fisso o percentuale del fatturato).
Queste misure riducono costi e attriti, non i requisiti: se il vostro sistema è ad alto rischio, tutti gli obblighi si applicano, qualunque sia la dimensione dell'azienda.
Il legame con il GDPR: molti obblighi dell'AI Act, in particolare su governance dei dati, documentazione e diritti delle persone, si sovrappongono al GDPR. Se la vostra conformità GDPR funziona, partite avvantaggiati: il vostro DPO e il registro dei trattamenti sono una base preziosa per l'AI Act.
Volete andare più veloci? Il nostro servizio di inventario e classificazione dell'IA censisce e classifica ogni funzionalità di IA della vostra azienda, con la motivazione, nel vostro registro IA.
Non sapete a che punto siete?
Il nostro strumento gratuito classifica i vostri sistemi di IA e indica gli obblighi e le scadenze applicabili, in circa 10 minuti.
Provate lo strumento gratuito