In due righe
- La tua PMI è quasi sempre un deployer: usi l'IA, non la sviluppi.
- Gli obblighi già in vigore sono due: alfabetizzare il personale ed evitare le pratiche vietate.
- Dal 2 agosto 2026 scattano la trasparenza e la vigilanza. I sistemi ad alto rischio arrivano solo nel 2027.
- La prima mossa è mappare i sistemi di IA che usi e in quale ruolo.
Se la tua PMI usa l'intelligenza artificiale, quasi certamente sei un deployer: un utilizzatore, non uno sviluppatore. Per te l'AI Act ha un calendario preciso. Da subito devi garantire l'alfabetizzazione del personale (art. 4) ed evitare le pratiche vietate (art. 5). Dal 2 agosto 2026 scattano gli obblighi di trasparenza (art. 50). I sistemi ad alto rischio ti riguardano solo dal 2 dicembre 2027 o dal 2 agosto 2028. La prima mossa concreta è una sola: mappare quali sistemi di IA usi e in quale ruolo.
Parti dal ruolo: la tua PMI è quasi sempre un deployer
Il deployer è chi utilizza un sistema di IA nell'ambito della propria attività professionale, sotto la propria autorità. Il fornitore è chi sviluppa o fa sviluppare un sistema di IA e lo immette sul mercato o in servizio con il proprio nome o marchio.
Se usi ChatGPT per scrivere email, un CRM con funzioni di IA per il punteggio dei lead o un chatbot sul sito, sei un deployer su tutti e tre. E questo cambia tutto: i deployer hanno molti meno obblighi dei fornitori. Capire il ruolo decide quali articoli dell'AI Act ti toccano e quali invece sono un problema di chi vende il software.
Anche un agente AI costruito su misura per la tua azienda va inserito nell'inventario dei sistemi che usi, perché anche in quel caso sei tu il deployer.
Il calendario che conta per chi usa l'IA
Per chi usa l'IA, tre date pesano già. Il 2 febbraio 2025 sono entrati in vigore il divieto delle pratiche vietate e l'obbligo di alfabetizzazione del personale. Il 2 agosto 2025 riguarda i modelli GPAI, cioè i modelli addestrati su grandi quantità di dati, capaci di svolgere un'ampia gamma di compiti, come ChatGPT o Gemini: obblighi che toccano chi sviluppa modelli generali, non chi li usa. Il 2 agosto 2026 porta trasparenza e vigilanza.
Non cadere nell'errore di attribuirti obblighi da fornitore: se compri un software con IA, il fornitore ha obblighi che tu non hai. La vigilanza lo sa, e non verifica su di te quello che spetta al venditore.
La tabella mette in fila le date e ti dice se ci sei dentro.
| Data |
Cosa scatta |
Ti riguarda se usi l'IA? |
| 2 febbraio 2025 |
Pratiche vietate (art. 5) e alfabetizzazione del personale (art. 4) |
Sì, subito |
| 2 agosto 2025 |
Governance e obblighi per i modelli GPAI |
No, riguarda chi sviluppa modelli generali |
| 2 agosto 2026 |
Applicabilità generale, trasparenza (art. 50) e avvio della vigilanza |
Sì, se usi chatbot, deepfake o testi di interesse pubblico |
| 2 dicembre 2026 |
Divieto delle app di 'nudificazione' e marcatura dei sistemi immessi prima di agosto 2026 |
Solo se fornisci sistemi generativi |
| 2 dicembre 2027 |
Regole per i sistemi ad alto rischio (allegato III) |
Sì, se usi IA per selezione, credito, istruzione |
| 2 agosto 2028 |
Regole per i sistemi ad alto rischio nei prodotti (allegato I) |
Solo se integri IA in prodotti regolamentati |
Obbligo 1, già in vigore: alfabetizzare chi usa l'IA (art. 4)
Dal 2 febbraio 2025 chi usa sistemi di IA deve adottare misure per alfabetizzare il personale sull'IA. Non servono certificati e non è richiesto un livello sufficiente misurabile, soprattutto dopo le modifiche introdotte dall'AI Omnibus.
Bastano una sessione di formazione e una policy di una pagina: cosa si può fare, cosa non si può fare, come riconoscere un output sbagliato. La policy deve dire quali sistemi si possono usare, quali dati non bisogna inserire e come verificare un output prima di usarlo. Va tenuto un registro interno delle iniziative fatte. Non aspettare la vigilanza del 2 agosto 2026 per partire: la vigilanza verifica che le misure ci siano, non che siano perfette.
Obbligo 2, dal 2 agosto 2026: la trasparenza (art. 50)
L'articolo 50 riguarda i chatbot che parlano con le persone, i deepfake e i testi pubblicati per informare il pubblico. Per chi usa un chatbot di terzi, il controllo sta nel verificare che lo strumento segnali la natura artificiale della conversazione.
Se pubblichi deepfake o testi informativi generati dall'IA, devi dichiararlo. Non pubblicare un deepfake senza marcatura: anche se il tuo intento non è ingannare, l'obbligo scatta sul fatto che il contenuto sembri autentico. La verifica è semplice: guarda le impostazioni del tuo chatbot e i tuoi canali di pubblicazione.
Lo strumento
Delera Agent AI costruisce agenti su misura sui processi che oggi ti portano via ore ogni settimana.
Scopri Delera Agent AI
Le pratiche vietate e i sistemi ad alto rischio: cosa non fare ora, cosa prepararsi per il 2027
Dal 2 febbraio 2025 sono vietate alcune pratiche, senza eccezioni per le PMI. Il riconoscimento delle emozioni sul posto di lavoro, la categorizzazione biometrica, il punteggio sociale e lo scraping di immagini facciali da Internet non si possono usare. Per una PMI il rischio concreto è usare il riconoscimento delle emozioni sui dipendenti o raccogliere immagini dal web per addestrare un modello. Non farlo.
I sistemi ad alto rischio, come la selezione del personale, il credito e l'istruzione, seguono un calendario rinviato. Le regole per chi li usa scattano il 2 dicembre 2027 per i settori dell'allegato III, e il 2 agosto 2028 per i prodotti dell'allegato I. Fino ad allora il compito è prepararsi, non adeguarsi.
Se la tua azienda usa l'IA per scremare i curriculum, rientri nell'allegato III. Dal 2 dicembre 2027 dovrai usare il sistema secondo le istruzioni del fornitore, garantire la sorveglianza umana, conservare i log per almeno sei mesi e informare i candidati. Anche qui, nessuna fretta: hai tempo per capire cosa farà davvero il fornitore.
La checklist in 5 passi e le sanzioni in proporzione
Esempio: un'azienda di 12 persone usa ChatGPT per email e testi, un CRM con punteggio lead e un chatbot sul sito. Ruolo: deployer su tutto. Sistemi ad alto rischio: nessuno, perché il punteggio lead non è selezione del personale.
La checklist in 5 passi per mettere in regola una PMI come questa:
- Mappa i sistemi di IA che usi, uno per uno.
- Definisci per ciascuno il ruolo: sei deployer o fornitore?
- Organizza una sessione di formazione interna e scrivi una policy di una pagina.
- Controlla che il chatbot dichiari di essere un sistema di IA.
- Segna sul calendario il 2 dicembre 2027 se un domani userai IA per selezione, credito o istruzione.
Le sanzioni sono proporzionate. Le pratiche vietate arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale; gli obblighi dei deployer e la trasparenza fino a 15 milioni o al 3%; le informazioni inesatte fino a 7,5 milioni o all'1%. Per le PMI si applica sempre l'importo inferiore tra tetto fisso e percentuale.
Il primo passo da fare domani mattina è mappare i sistemi di IA che usi e il ruolo che ricopri in ciascuno. Se ti serve una visione d'insieme di come l'IA si inserisce nel resto dell'azienda, l'ecosistema Delera per le PMI può aiutarti a inquadrare il contesto.
Domande frequenti
Devo rispettare l’AI Act se uso solo ChatGPT o un assistente AI?
Sì, ma con obblighi ridotti. Chi usa un sistema di IA è un deployer: deve garantire che il personale sia alfabetizzato sull’IA (art. 4) e non deve usare pratiche vietate (art. 5). Gli obblighi più pesanti, come quelli sui sistemi ad alto rischio, scattano nel 2027 o 2028. La trasparenza sui contenuti generati riguarda soprattutto chi fornisce il sistema.
Quando scattano davvero gli obblighi per una PMI?
Tre date contano. Dal 2 febbraio 2025 sono in vigore l’alfabetizzazione del personale e il divieto delle pratiche vietate. Dal 2 agosto 2026 si applicano gli obblighi di trasparenza e parte la vigilanza. I sistemi ad alto rischio seguono un calendario rinviato: 2 dicembre 2027 per i settori dell’allegato III, 2 agosto 2028 per i prodotti.
Devo nominare un responsabile AI, come il DPO per la privacy?
No. L’AI Act non impone alcuna figura specifica né una struttura di governance determinata. Il requisito base è che il personale che usa l’IA abbia competenze adeguate (art. 4) e, per i sistemi ad alto rischio, che la sorveglianza umana sia affidata a persone competenti. Un referente interno aiuta, ma non è obbligatorio.
La formazione del personale richiede un certificato?
No. L’obbligo di alfabetizzazione (art. 4) non richiede certificati né un livello minimo misurabile, soprattutto dopo le modifiche dell’AI Omnibus. Basta tenere un registro interno delle iniziative fatte, come una sessione di formazione o una guida interna, e adattarle al rischio dei sistemi usati.
Quali sono le sanzioni per chi non rispetta l’AI Act?
Si va fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate, fino a 15 milioni o 3% per gli obblighi dei deployer e la trasparenza, fino a 7,5 milioni o 1% per informazioni inesatte. Per le PMI si applica l’importo inferiore tra tetto fisso e percentuale.
Se uso l’IA per selezionare i curriculum, cosa cambia?
La selezione del personale rientra nei sistemi ad alto rischio (allegato III). Non è vietata, ma dal 2 dicembre 2027 chi li usa come deployer deve seguire le istruzioni del fornitore, garantire la sorveglianza umana, conservare i log per almeno sei mesi e informare i candidati. Fino ad allora hai tempo per prepararti.
Delera CRM
Delera Agent AI
UmanValue
PMI Speed Test