AI Act e PMI italiane: cosa cambia davvero nel 2026 e come mettersi in regola
L'AI Act PMI italiane conformità 2026 è già in vigore: ecco gli obblighi concreti, le sanzioni e la checklist pratica per le imprese che usano strumenti AI. Max 160 caratteri.
Dal 2 agosto 2026 il Regolamento UE 2024/1689 — l'AI Act — è pienamente applicabile. Se usi strumenti AI in azienda, hai obblighi precisi. Per l'AI Act PMI italiane conformità 2026 non è una questione riservata alle grandi imprese: chi acquista e usa un sistema AI è classificato come deployer e risponde delle sue modalità d'uso.
Secondo i dati ISTAT del 2025, solo il 16,4% delle imprese italiane con almeno dieci addetti usa già tecnologie di intelligenza artificiale. Ma il numero cresce rapidamente, e con l'adozione arrivano le responsabilità. Il 90% delle PMI italiane ancora non sa che l'AI Act le riguarda già, oggi.
Le quattro categorie di rischio: dove si colloca la tua azienda
L'AI Act divide i sistemi AI in quattro livelli. La categoria determina gli obblighi, non le intenzioni di chi usa il tool.
Rischio inaccettabile — vietato
Sistemi che manipolano le persone a loro insaputa, punteggio sociale generalizzato, riconoscimento facciale in tempo reale negli spazi pubblici. Vietati dal 2 febbraio 2025. Nessuna PMI italiana dovrebbe avere questi sistemi, ma se usi strumenti di analisi biometrica di dipendenti o clienti senza consenso esplicito documentato, rischi di finire in quest'area.
Alto rischio — ammesso con obblighi pesanti
Questa è la categoria che tocca di più le PMI. Rientrano qui i sistemi HR e recruiting (software che filtra CV o valuta candidati), lo scoring creditizio e assicurativo, l'AI nei processi produttivi critici in settori regolamentati, e l'AI in ambito sanitario.
Buona notizia: il Digital Omnibus (Regolamento UE 2026/1744) ha spostato la maggior parte degli obblighi per l'alto rischio al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I). Il tempo c'è, ma non va sprecato.
Rischio limitato — obblighi di trasparenza
Chatbot, sistemi di raccomandazione prodotto, generatori di contenuto AI. Dal 2 agosto 2026 devi rispettare l'art. 50: informare l'utente che sta interagendo con un'AI. Se sul tuo sito c'è un assistente virtuale, deve dichiararlo. Se generi contenuti con AI e li pubblichi, devono essere etichettati.
Rischio minimo — nessun obbligo specifico
La maggior parte degli strumenti di produttività usati internamente: Copilot per redigere email, filtri spam avanzati, traduzione automatica. Nessun obbligo normativo specifico.
La tabella degli obblighi per tipo di tool
| Tool usato dalla PMI | Categoria di rischio | Obbligo principale | Scadenza |
|---|---|---|---|
| Chatbot sul sito (assistenza clienti) | Limitato | Dichiarare che è AI (art. 50) | 2 agosto 2026 ✅ |
| Software recruiting AI (screening CV) | Alto rischio | Documentazione, supervisione umana, registro | 2 dicembre 2027 |
| Scoring clienti o credito automatico | Alto rischio | Valutazione d'impatto, registro sistemi AI | 2 dicembre 2027 |
| AI per controllo qualità in produzione | Alto rischio (Allegato I) | Conformità, certificazione | 2 agosto 2028 |
| Raccomandazioni prodotto (e-commerce) | Limitato | Trasparenza all'utente | 2 agosto 2026 ✅ |
| Copilot / ChatGPT per uso interno | Minimo | Nessuno specifico | — |
| Contenuti sintetici pubblicati (testo, immagini) | Limitato | Etichettatura | 2 dicembre 2026 |
Caso concreto: un'azienda metalmeccanica con 40 dipendenti
Un'impresa manifatturiera di Brescia usa tre strumenti AI: un chatbot per il sito (risponde a domande su prodotti e spedizioni), un software HR SaaS con funzione di screening automatico dei CV, e un sistema di visione artificiale per il controllo qualità sulla linea.
Situazione al novembre 2026:
Il chatbot è già a norma: basta una riga nella finestra di chat che dichiari "Stai parlando con un assistente AI". Fatto in dieci minuti, zero costi.
Il software HR rientra nell'alto rischio (Allegato III): l'obbligo formale scatta il 2 dicembre 2027. Ma già oggi nessuna assunzione dovrebbe essere decisa sulla base del solo verdetto automatico del software. L'azienda può iniziare a documentare chi usa il sistema e come vengono revisionate le scelte generate dall'AI.
Il sistema di visione artificiale dipende dal contesto. Se l'azienda opera in un settore con normative di sicurezza prodotto (macchine, dispositivi medici, automotive), rientra nell'Allegato I con obbligo al 2028. Se è un settore generico senza regolamentazioni di sicurezza specifiche, probabilmente è rischio minimo.
Totale impatto immediato: aggiornare il chatbot. Impatto entro il 2027: documentare il processo HR. Nessun investimento legale straordinario necessario ora.
Cosa devi fare adesso se usi sistemi ad alto rischio
Se la tua azienda usa software HR con AI, sistemi di scoring o AI in processi critici, non aspettare il 2027. I requisiti formali arriveranno, ma le pratiche di base vanno costruite ora.
Fai l'inventario. Censisci tutti i tool AI attivi: software gestionali con funzioni predittive, CRM con scoring automatico, HR tool. Includi i SaaS acquistati da terzi — anche se non li hai sviluppati, come deployer sei responsabile del loro utilizzo.
Chiarisci il tuo ruolo. Per ogni sistema: sei il provider (sviluppi il sistema) o il deployer (lo usi)? Come deployer hai meno obblighi del provider, ma devi garantire supervisione umana e formare chi usa il sistema.
Garantisci la supervisione umana. I sistemi ad alto rischio non possono operare in modalità completamente automatica su decisioni che impattano le persone. Un essere umano deve poter intervenire, contestare e correggere il risultato dell'AI.
Inizia il registro. Dal 2027 è obbligatorio un registro dei sistemi AI ad alto rischio con documentazione del loro utilizzo. Iniziare ora significa non trovarsi impreparati — e avere prove concrete di utilizzo responsabile in caso di ispezione.
Se vuoi un audit dei sistemi AI in uso nella tua azienda con una valutazione del livello di rischio AI Act e una roadmap operativa per la conformità, è esattamente questo il lavoro che facciamo con le PMI italiane.
Le sanzioni: quanto rischiano le PMI italiane
L'AI Act prevede tre livelli di sanzione. Per PMI e micro-imprese si applica sempre il valore più basso tra importo fisso e percentuale di fatturato:
- Pratiche vietate (rischio inaccettabile): fino a 35 milioni di euro o 7% del fatturato globale annuo
- Violazione degli altri obblighi: fino a 15 milioni o 3% del fatturato
- Informazioni false all'autorità di vigilanza: fino a 7,5 milioni o 1,5% del fatturato
Una PMI con 2 milioni di fatturato che non rispetta gli obblighi di trasparenza su un chatbot rischia al massimo 60.000 euro (3% di 2 milioni), non 15 milioni. Non è poco, ma è proporzionale e gestibile con le misure giuste.
L'autorità di vigilanza nazionale designata è l'AgID (Agenzia per l'Italia Digitale), supportata dal Garante Privacy per i casi che incrociano il GDPR. I decreti attuativi della legge delega 132/2025 stanno definendo i dettagli operativi nel corso del 2026.
La checklist pratica per le PMI italiane
Da fare entro fine 2026:
- Aggiungi "Stai parlando con un assistente AI" su tutti i chatbot del sito o del servizio clienti
- Etichetta eventuali contenuti generati da AI se pubblicati pubblicamente
- Fai il censimento di tutti i tool AI in uso in azienda, inclusi i SaaS
Da fare entro la prima metà del 2027:
- Per i tool HR con AI: verifica che nessuna decisione su assunzione o licenziamento venga presa automaticamente senza revisione umana
- Inizia a tenere un registro interno dei sistemi AI con note su funzione, utilizzo e responsabili
- Forma i referenti interni sui requisiti di base dell'AI Act
Non necessario adesso:
- Avvocati specializzati in AI compliance (prematuro per la maggior parte delle PMI nel 2026)
- Certificazioni costose (richieste solo per i provider di sistemi ad altissimo rischio, non per i deployer tipici)
FAQ
Cos'è l'AI Act e da quando è in vigore per le PMI italiane? L'AI Act (Regolamento UE 2024/1689) è il regolamento europeo sull'intelligenza artificiale. Dal 2 agosto 2026 è pienamente applicabile. Gli obblighi di trasparenza valgono già ora; gli obblighi più pesanti per i sistemi ad alto rischio sono stati spostati al 2027-2028 dal Digital Omnibus (Regolamento UE 2026/1744).
Se uso solo ChatGPT o Copilot per le email interne, devo fare qualcosa? No. I tool di produttività AI per uso esclusivamente interno, senza impatto su terze parti, rientrano nella categoria a rischio minimo e non hanno obblighi normativi specifici. L'obbligo di dichiarazione scatta quando il sistema AI interagisce con un utente esterno: cliente, candidato o fornitore.
Le micro-imprese sotto i 10 dipendenti sono escluse dall'AI Act? No, non esistono esenzioni basate sulle dimensioni aziendali. Ci sono però sanzioni proporzionate: per le PMI si applica sempre il valore più basso tra importo fisso e percentuale di fatturato. E gli obblighi di trasparenza valgono indipendentemente dalle dimensioni.
Ho un software di recruiting con AI: cosa devo fare adesso? Gli obblighi formali per i sistemi HR ad alto rischio scattano il 2 dicembre 2027. Ma già oggi nessuna decisione di assunzione o licenziamento dovrebbe essere presa sulla base esclusivamente automatica di un sistema AI. Inizia a documentare come il tool viene usato, da chi, e come vengono revisionate le sue raccomandazioni.
Chi controlla la conformità all'AI Act in Italia? L'autorità di vigilanza nazionale è l'AgID (Agenzia per l'Italia Digitale), con il supporto del Garante per la Privacy per i casi che incrociano il GDPR. I decreti attuativi della legge delega 132/2025 stanno definendo i dettagli operativi nel corso del 2026.
