Negli ultimi giorni l'AI Act è tornato sui giornali, e come spesso accade le versioni in circolazione sono due. Quella allarmistica: multe milionarie dietro l'angolo per chiunque apra ChatGPT. E quella liquidatoria: tanto è tutto rinviato, non cambia niente. Come quasi sempre, la verità sta nel mezzo — e per una PMI è più gestibile di quanto sembri, a patto di sapere quali pezzi la riguardano davvero.
Il regolamento europeo sull'intelligenza artificiale è in vigore dall'agosto 2024, ma si applica a tappe. I divieti sulle pratiche più pericolose e il principio di «alfabetizzazione AI» valgono già da febbraio 2025. Il 2 agosto 2026 scatta la parte che si sente di più: vigilanza e sanzioni diventano operative, insieme agli obblighi di trasparenza. La parte più pesante — i requisiti sui sistemi cosiddetti «ad alto rischio» — è stata invece rinviata a fine 2027 dal pacchetto europeo di semplificazione, il Digital Omnibus. Chi ti racconta solo una metà di questo calendario, ti sta raccontando metà della storia.
La domanda giusta: che uso fai dell'AI?
L'AI Act distingue tra chi i sistemi di intelligenza artificiale li costruisce e li vende, e chi semplicemente li usa. La stragrande maggioranza delle PMI sta nella seconda categoria: un assistente AI per scrivere e riassumere, qualche strumento dentro il gestionale, magari un chatbot sul sito. Quasi mai tutto questo rientra nell'«alto rischio», che riguarda ambiti specifici come selezione del personale, credito, biometria. Per l'azienda tipica, quindi, niente panico: gli adempimenti pesanti di cui parlano i titoli non sono i suoi. Ma «non sono i miei» non significa «non ho niente da fare».
L'obbligo che ti riguarda davvero: persone che sanno quello che fanno
L'articolo 4 del regolamento chiede alle aziende che usano l'AI di garantire che chi la usa abbia un livello sufficiente di competenza: capire cosa lo strumento sa fare, dove sbaglia, quali dati è prudente affidargli e quali no. Il Digital Omnibus ha ammorbidito la formula — oggi non è un obbligo direttamente sanzionabile — ma la responsabilità operativa resta in capo all'azienda, e la mancanza di formazione pesa come aggravante se qualcosa va storto su altri fronti, dalla protezione dei dati in giù. La sostanza è semplice: se in azienda si usa l'AI, l'Europa si aspetta che nessuno la usi alla cieca. E se un domani qualcuno chiede conto, quello che vale è la documentazione: un programma, delle ore, un attestato con i nomi.
Trasparenza: dire quando parla una macchina
Dal 2 agosto 2026 diventano operativi anche gli obblighi di trasparenza. Tradotti per una PMI: se sul sito c'è un chatbot, chi scrive deve poter capire che sta parlando con un software; se pubblichi contenuti generati dall'AI in certi contesti, va detto. Sono adempimenti leggeri, più questione di correttezza verso clienti e fornitori che di burocrazia. Ma vanno saputi, perché costano pochissimo prima e molto dopo.
Cosa fare, in pratica
Tre mosse, nessuna delle quali richiede un ufficio legale. Primo: un censimento onesto degli strumenti AI che girano in azienda, compresi quelli che i collaboratori usano senza averlo mai detto a nessuno — ce ne sono quasi sempre. Secondo: poche regole scritte su cosa si può affidare all'AI e cosa no, a partire dai dati di clienti e dipendenti. Terzo: formazione vera e documentata, con la supervisione umana al centro — l'AI propone, una persona verifica e decide. È il pezzo che sistema anche i primi due, perché persone formate censiscono meglio e sbagliano meno. E il costo, spesso, non è nemmeno un tema: per molte aziende la formazione rientra nei piani finanziati dai fondi interprofessionali, soldi già accantonati che si perdono se non si usano.
Se vuoi partire dal pezzo più concreto — persone che sanno usare l'AI con criterio, e le carte che lo dimostrano — è esattamente quello che facciamo nel corso di AI per le PMI: una giornata pratica, con test iniziale e finale e attestato nominale. E se prima vuoi solo capirci di più, una call di mezz'ora non costa niente.