AI Act per le PMI: cosa vale già oggi e cosa slitta al 2027

Dal 27 luglio 2026 l'AI Act ha un calendario nuovo. Chi in azienda usa l'AI per leggere un capitolato o proporre un riordino vuole sapere cosa deve fare adesso, e trova soprattutto testi scritti per chi l'AI la produce.

La risposta corta. Una PMI che usa l'AI senza produrla oggi ha pochi obblighi, e concreti. Dal 2 febbraio 2025 deve prendere misure per formare chi la usa, senza bisogno di certificati. Dal 2 agosto 2026 vale la trasparenza verso clienti e pubblico, e la legge italiana 132/2025 chiede di informare i dipendenti quando l'AI incide sul loro lavoro. Gli obblighi sui sistemi ad alto rischio, come l'AI che seleziona o valuta il personale, slittano al 2 dicembre 2027. Per rispettarli serve sapere quale AI si usa, dove e chi la controlla.

Le date dell'AI Act dopo il Regolamento (UE) 2026/1744

Per una PMI che usa l'AI le date che contano sono tre: 2 febbraio 2025, 2 agosto 2026 e 2 dicembre 2027. Il Regolamento (UE) 2024/1689, l'AI Act, è in vigore dal 1° agosto 2024 e si applica a tappe. Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus, è in vigore dal 27 luglio 2026 e ha spostato alcune di quelle tappe.

Dal 2 febbraio 2025 valgono la formazione del personale (articolo 4) e i divieti delle pratiche inaccettabili (articolo 5). Dal 2 agosto 2025 valgono le regole sui modelli per finalità generali, quelli dietro agli assistenti di chat, e le norme su autorità e sanzioni. Dal 2 agosto 2026 si applica la trasparenza (articolo 50), e le autorità nazionali vigilano anche sulla formazione. Il 2 dicembre 2026 arrivano due nuovi divieti, sulle immagini intime false e sul materiale pedopornografico, e chi fornisce sistemi generativi già sul mercato prima di agosto 2026 deve marcarne i contenuti come artificiali. Il 2 dicembre 2027 tocca ai sistemi ad alto rischio dell'Allegato III, fra cui quelli usati per il personale; il 2 agosto 2028 a quelli dentro prodotti già regolati da norme europee di sicurezza (Allegato I).

Prima del rinvio, l'alto rischio dell'Allegato III sarebbe partito il 2 agosto 2026 insieme alla trasparenza, e a slittare è stato solo il primo. La confusione sulle regole ha un peso misurato. Fra le imprese con almeno 10 addetti che hanno valutato l'AI senza adottarla, il 47,3% indica fra i freni la scarsa chiarezza delle norme, seconda voce dopo le competenze (ISTAT, Imprese e ICT 2025).

Fornitore o utilizzatore: quasi tutte le PMI usano l'AI fatta da altri

Gli obblighi dipendono prima di tutto dal ruolo. Il fornitore sviluppa un sistema di AI, o lo fa sviluppare, e lo vende con il proprio nome. Il deployer, come lo chiama la versione italiana del regolamento, lo usa sotto la propria autorità in un'attività professionale (articolo 3). Una PMI che compra le licenze di un assistente o usa la previsione dei fabbisogni dentro il gestionale è un'utilizzatrice.

Le PMI italiane l'AI la comprano già fatta. Secondo l'Osservatorio Artificial Intelligence del Politecnico di Milano (comunicato del 5 febbraio 2026), il 9% delle piccole e medie imprese usa strumenti di AI generativa a pagamento e un altro 9% strumenti gratuiti. Il comunicato non indica il campione.

Documentazione tecnica, gestione dei rischi, marcatura dei contenuti generati, registrazione dei sistemi ad alto rischio: restano al fornitore. L'utilizzatore risponde di come usa il sistema, cioè di chi lo usa, per cosa e con quale controllo.

Il ruolo si può cambiare senza accorgersene. Un'azienda che mette il proprio marchio su un sistema ad alto rischio, lo modifica in modo sostanziale o cambia la finalità di un sistema qualunque fino a renderlo ad alto rischio passa fra i fornitori (articolo 25). Il caso tipico è uno strumento generico, comprato per scrivere testi, che qualcuno in casa mette a valutare il personale.

Cosa deve fare oggi una PMI che usa l'AI: formazione e trasparenza

Oggi a una PMI che usa l'AI toccano quattro cose: la formazione di chi la usa, la trasparenza dove l'AI incontra clienti e pubblico, l'informativa ai dipendenti quando l'AI incide sul loro lavoro, e una cautela in più quando l'AI lavora sul personale, un uso ad alto rischio con obblighi dal 2 dicembre 2027.

La formazione riguarda tutte le aziende che usano l'AI, qualunque sia l'uso. Il Regolamento 2026/1744 ha riscritto l'articolo 4: fornitori e utilizzatori «adottano misure volte a sostenere lo sviluppo dell'alfabetizzazione» del personale, senza un livello specifico da garantire. Le domande e risposte della Commissione europea, aggiornate il 27 luglio 2026, dicono che non serve un certificato e basta un registro interno delle iniziative. Vale anche per chi usa un assistente generico per scrivere o tradurre: va informato dei rischi, a cominciare dalle risposte inventate. Fra le PMI italiane una formazione strutturata sull'AI l'ha avviata il 7% (Osservatorio Innovazione Digitale nelle PMI del Politecnico di Milano, maggio 2026, campione non indicato).

Immagina un'azienda di quaranta persone a Forlì che lavora a commessa, dove l'ufficio tecnico usa l'AI per riassumere i capitolati dei clienti e la qualità per classificare le non conformità. Chi legge il riassunto deve sapere che il sistema può saltare una tolleranza o inventarne una. Chi accetta la classificazione deve sapere quando dubitarne, soprattutto se i dati della qualità li scrivono tre persone con tre vocabolari. Per la Commissione una sanzione può diventare più probabile quando un incidente nasce dalla mancanza di formazione.

La trasparenza (articolo 50) riguarda i punti in cui l'AI incontra qualcuno fuori dall'azienda. Chi parla con un assistente sul sito deve sapere che parla con una macchina: l'obbligo è del fornitore, ma il cliente lo incontra sul sito dell'azienda, ed è lì che conviene controllare. Immagini, audio e video generati che sembrano persone, luoghi o fatti reali vanno dichiarati.

Dei divieti in vigore, per un'azienda normale ne conta soprattutto uno: dedurre con l'AI le emozioni delle persone sul luogo di lavoro, salvo motivi medici o di sicurezza (articolo 5). Un sistema che legge l'umore di chi lavora in reparto va visto con un legale prima di accenderlo.

Lo stesso strumento cambia classe di rischio a seconda dell'uso

L'AI Act guarda a cosa si fa con l'AI, e lo stesso strumento può stare in classi diverse. Riassumere documenti, prevedere i riordini, classificare le non conformità sono usi a rischio minimo: basta la formazione. Un assistente che risponde ai clienti sul sito ricade nella trasparenza. Selezionare i candidati e valutare i dipendenti sono usi ad alto rischio, come assegnare compiti in base al comportamento delle persone o monitorarne le prestazioni (Allegato III, punto 4).

In produzione il confine passa dentro lo stesso reparto. Un sistema che propone la sequenza delle commesse in base a scadenze e capacità dei reparti lavora su dati di processo, a rischio minimo. Lo stesso sistema, se assegna le lavorazioni alle persone in base a quanto ciascuna ha reso nelle settimane precedenti, assegna compiti in base al comportamento individuale: è un uso ad alto rischio, con obblighi dal 2 dicembre 2027. A separare i due casi può bastare un'impostazione scelta da chi ha configurato il sistema.

La tabella mette in fila gli usi più comuni in una PMI manifatturiera e cosa comportano.

Per gli usi ad alto rischio, dal 2 dicembre 2027 l'utilizzatore deve seguire le istruzioni del fornitore, affidare la sorveglianza a persone con competenza e autorità per intervenire, conservare per almeno sei mesi i registri del sistema e informare lavoratori e rappresentanti prima di metterlo in servizio (articolo 26). Chi ha l'autorità per fermare un sistema è una questione di deleghe e ruoli, come scrivevamo parlando di agenti AI per le PMI e delle candidature scartate dalla macchina.

La legge italiana sull'AI per chi ha dipendenti: legge 132/2025 e decreto 160/2026

Per chi ha dipendenti la legge italiana aggiunge un obbligo che vale già. La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, all'articolo 11 chiede al datore di lavoro di informare il lavoratore dell'uso dell'AI nei casi dell'articolo 1-bis del decreto legislativo 152/1997: sistemi decisionali o di monitoraggio integralmente automatizzati che incidono su assunzione, compiti, sorveglianza, valutazione e prestazioni. Restano fermi i limiti dello Statuto dei lavoratori sui controlli a distanza.

Il perimetro somiglia a quello dell'alto rischio europeo, ma l'informativa vale da un anno. Il sistema che assegna le lavorazioni in base al rendimento può richiederla già adesso: dipende da quanto decide da solo, ed è una domanda per il consulente del lavoro.

Dal 30 settembre 2026 c'è un secondo motivo per sapere quale AI gira in azienda. Il decreto legislativo 9 settembre 2026, n. 160 ha inserito nel decreto 231/2001 l'articolo 25-vicies: l'azienda risponde di due reati commessi con l'AI. Il primo è il nuovo articolo 437-bis del codice penale: omettere misure di sicurezza o sorveglianza umana su un sistema ad alto rischio, anche da parte di chi lo usa per lavoro e lo fa di proposito, quando ne deriva un pericolo per le persone. Il secondo è la diffusione illecita di contenuti generati o alterati con l'AI (articolo 612-quater). Per un'azienda con un modello organizzativo 231 è un capitolo da aggiungere.

Per adeguarsi all'AI Act serve sapere quale AI si usa, dove e chi la controlla

Tutti gli obblighi visti finora partono dalla stessa informazione: l'elenco degli usi dell'AI in azienda, con un responsabile per ciascuno. Per l'Osservatorio Artificial Intelligence del Politecnico di Milano (febbraio 2026), più di un'azienda su due ha avviato iniziative di alfabetizzazione, ma solo il 15% ha un progetto strutturato di adeguamento all'AI Act. Il comunicato non indica il campione, e il passaggio in cui compare il dato parla soprattutto delle grandi imprese.

In una PMI l'AI entra di solito dal basso. Il commerciale usa un assistente per le offerte, l'ufficio tecnico per leggere le norme dei clienti, il magazzino trova la previsione dei riordini nel gestionale aggiornato. Nessuno ha l'elenco. In Romagna l'86,2% delle cooperative di Legacoop Romagna non ha ancora regolato l'uso dell'AI (maggio 2026, numero di risposte non indicato), come abbiamo raccontato parlando di intelligenza artificiale nelle PMI della Romagna.

Il rischio più concreto sta nei passaggi di mano. Il riassunto di un capitolato fatto con l'AI passa dal commerciale all'ufficio tecnico, poi arriva in reparto come scheda di lavoro. Se una tolleranza è sparita al primo passaggio, al terzo nessuno la cerca più, perché ognuno pensa che l'abbia controllata quello prima. Nessuna norma dice chi deve controllare in quel punto. Lo decide l'azienda, oppure nessuno.

Nessun articolo dell'AI Act chiede a una PMI con usi a rischio minimo una policy aziendale sull'AI. Un regolamento interno serve lo stesso: è il posto dove l'elenco degli usi, il registro delle formazioni e i nomi di chi controlla stanno insieme. Quali usi ammettere è una scelta di strategia e organizzazione dell'azienda, prima che del reparto informatico.

Ricostruire l'elenco è il primo tempo del nostro lavoro. Prima l'ordine: mappatura e priorità, con un'analisi fatta a mano insieme a chi lavora in ufficio e in reparto, e l'AI la usiamo noi per analizzare. Poi l'automazione: costruzione e consolidamento, e l'AI la usa l'azienda ogni giorno. Si chiude quando il sistema regge senza di noi. Perché si parte dai processi lo spieghiamo in come introdurre l'intelligenza artificiale in azienda.

Al 2 dicembre 2027 manca poco più di un anno. Un'azienda che sa già quale AI usa e chi la controlla ha davanti un adeguamento; una che non lo sa deve prima ricostruire i propri flussi, che è lo stesso lavoro da cui parte l'automazione dei processi aziendali.

Fonti

• Regolamento (UE) 2024/1689 sull'intelligenza artificiale: articoli 3, 4, 5, 25, 26, 50 e 113, allegato III, punto 4.
• Regolamento (UE) 2026/1744 dell'8 luglio 2026, pubblicato nella Gazzetta ufficiale dell'Unione europea il 24 luglio 2026 e in vigore dal 27 luglio 2026: nuovo articolo 4, nuovi divieti dell'articolo 5 dal 2 dicembre 2026, nuove date dell'articolo 113.
• Commissione europea, AI literacy, questions and answers, aggiornamento del 27 luglio 2026.
• Commissione europea, linee guida sulle pratiche di AI vietate, 4 febbraio 2025 (non vincolanti).
• Legge 23 settembre 2025, n. 132, Gazzetta Ufficiale n. 223 del 25 settembre 2025, in vigore dal 10 ottobre 2025: articolo 11.
• Decreto legislativo 9 settembre 2026, n. 160, Gazzetta Ufficiale n. 214 del 15 settembre 2026, in vigore dal 30 settembre 2026: articolo 437-bis del codice penale e articolo 25-vicies del decreto legislativo 231/2001.
• ISTAT, Imprese e ICT, anno 2025, comunicato del 15 dicembre 2025. Perimetro: imprese con almeno 10 addetti.
• Politecnico di Milano, Osservatorio Artificial Intelligence, comunicato del 5 febbraio 2026, e Osservatorio Innovazione Digitale nelle PMI, comunicato del 21 maggio 2026. Nessuno dei due comunicati indica il campione.
• Legacoop Romagna, indagine del Centro studi, 19 maggio 2026.

Fonti verificate il 9 ottobre 2026. Le norme sull'AI stanno cambiando in fretta: se un uso dell'AI nella tua azienda rientri fra quelli ad alto rischio, o richieda l'informativa ai dipendenti, lo stabiliscono caso per caso un legale o il consulente del lavoro.