AI Act: cosa cambia davvero per una piccola azienda italiana
La notizia buona è che la quasi totalità degli usi che fa una PMI ricade nella classe a rischio minimo, dove gli obblighi sono pochi. La notizia da leggere bene è quali usi non ci ricadono.
Cristian Laporta17 agosto 202610 min di letturaIntelligenza artificiale
Il regolamento classifica i sistemi di AI in quattro livelli di rischio: inaccettabile (vietati), alto (obblighi stringenti), limitato (obbligo di trasparenza), minimo (nessun obbligo particolare). Gli usi tipici di una PMI — assistenti sui documenti, automazioni, analisi dei dati — ricadono quasi sempre nel rischio limitato o minimo: l'obbligo principale è dire alle persone che stanno interagendo con un'AI.
Il regolamento europeo sull'intelligenza artificiale ha generato molto allarme e poche informazioni utili a chi ha un'azienda di venti persone. Questa è la lettura pratica: cosa ti riguarda, cosa no, e cosa devi fare concretamente.
Un avvertimento onesto. Questa è una guida divulgativa scritta da chi sviluppa software, non da un legale. Serve a capire di cosa si parla e a farti le domande giuste. Per una valutazione sul tuo caso specifico — soprattutto se rientri nel rischio alto — serve un parere professionale.
Le quattro classi di rischio
| Classe | Esempi | Cosa comporta |
|---|---|---|
| Inaccettabile | Punteggio sociale, manipolazione, riconoscimento delle emozioni sul lavoro | Vietato |
| Alto | Selezione del personale, valutazione del merito creditizio, sicurezza dei prodotti | Valutazione di conformità, documentazione, sorveglianza umana, registri |
| Limitato | Chatbot, assistenti virtuali, contenuti generati | Obbligo di trasparenza: dichiarare che è un'AI |
| Minimo | Filtri antispam, suggerimenti, classificazione interna di documenti | Nessun obbligo particolare |
Dove ricade quello che fa una PMI
Gli usi che incontriamo nei progetti reali, e la classe in cui stanno:
- Assistente virtuale sul sito o interno → rischio limitato. Va dichiarato che è un'AI.
- Estrazione dati da fatture e documenti → rischio minimo. Nessun obbligo specifico.
- Smistamento automatico delle richieste → rischio minimo, finché non produce decisioni sulle persone.
- Previsioni di vendita o di scorte → rischio minimo.
- Bozze di testi generate → rischio limitato quando il contenuto viene pubblicato come informazione: va segnalata la generazione artificiale.
- Selezione automatica di candidati → rischio alto. Qui gli obblighi cambiano radicalmente.
- Valutazione automatica di affidabilità creditizia dei clienti → rischio alto.
Le ultime due righe sono quelle da leggere con attenzione. Un piccolo strumento che «legge i curriculum e li ordina» sembra un'automazione innocua ed è invece un sistema ad alto rischio, con obblighi di documentazione, sorveglianza umana e valutazione di conformità.
Gli obblighi concreti nel caso più comune
Se sei nel rischio limitato — cioè hai un assistente virtuale — quello che devi fare è poco e si fa in un pomeriggio:
- Dichiarare che è un'AI. Una riga all'apertura della conversazione: «Sono un assistente automatico. Per parlare con una persona, scrivi operatore».
- Offrire una via d'uscita verso una persona, visibile e non nascosta.
- Segnalare i contenuti generati quando vengono pubblicati come informazione al pubblico.
- Tenere una descrizione del sistema: cosa fa, su quali dati, chi lo ha fornito, chi ne risponde in azienda. Bastano due pagine.
L'obbligo che riguarda tutti: l'alfabetizzazione
C'è una previsione trasversale che si applica indipendentemente dalla classe di rischio: chi usa sistemi di AI deve assicurarsi che il personale che li utilizza abbia un livello di competenza adeguato. Non significa mandare tutti a un master: significa che le persone devono sapere cosa fa lo strumento, quali sono i suoi limiti e quando non fidarsi. Una sessione di formazione documentata, con un elenco dei partecipanti, copre l'adempimento e serve davvero.
Il calendario
| Quando | Cosa entra in vigore |
|---|---|
| Febbraio 2025 | Divieti sulle pratiche inaccettabili e obbligo di alfabetizzazione |
| Agosto 2025 | Regole sui modelli di uso generale e sulla governance |
| Agosto 2026 | Applicazione generale, compresi gli obblighi di trasparenza |
| Agosto 2027 | Ultimi obblighi per i sistemi ad alto rischio incorporati in prodotti regolamentati |
Il punto che si dimentica sempre: i dati
Il regolamento sull'AI si aggiunge, non sostituisce, alle regole sui dati personali. Se il tuo assistente legge documenti che contengono nomi di clienti, la disciplina sulla protezione dei dati si applica come sempre: base giuridica, informativa, tempi di conservazione, e un accordo scritto con chi tratta i dati per tuo conto. Nella pratica quotidiana è questo il vincolo che incontri per primo, molto prima di qualsiasi obbligo del nuovo regolamento.
Cosa fare, in ordine
- Fai l'elenco. Quali strumenti di AI usa già la tua azienda, compresi quelli che usano i singoli di loro iniziativa.
- Classificali. Per la quasi totalità sarà rischio minimo o limitato: mettilo per iscritto, così se qualcuno chiede hai una risposta.
- Sistema la trasparenza dove serve: la riga che dichiara l'assistente, la via verso una persona.
- Forma le persone e tieni traccia di averlo fatto.
- Controlla i contratti con i fornitori: dove stanno i dati, se vengono usati per l'addestramento, cosa succede alla scadenza.
Domande frequenti
L'AI Act si applica anche alle piccole aziende?
Sì, ma con obblighi proporzionati al rischio. Gli usi tipici di una PMI — assistenti virtuali, estrazione dati dai documenti, previsioni — ricadono quasi sempre nel rischio limitato o minimo, dove l'obbligo principale è dichiarare che si sta interagendo con un sistema automatico.
Devo dire ai clienti che il chatbot è un'intelligenza artificiale?
Sì. È l'obbligo di trasparenza previsto per i sistemi a rischio limitato: basta una riga chiara all'apertura della conversazione, accompagnata da un modo visibile per parlare con una persona.
Quali usi di AI sono considerati ad alto rischio in un'azienda normale?
I due che si incontrano più spesso senza aspettarselo sono la selezione automatica dei candidati e la valutazione automatica dell'affidabilità dei clienti. Sembrano automazioni innocue ma comportano obblighi di documentazione, sorveglianza umana e valutazione di conformità.
Cos'è l'obbligo di alfabetizzazione sull'AI?
È una previsione trasversale: chi usa sistemi di intelligenza artificiale deve assicurarsi che il personale che li utilizza sappia cosa fanno, quali limiti hanno e quando non fidarsi. Una sessione di formazione documentata, con l'elenco dei partecipanti, copre l'adempimento.
L'AI Act sostituisce le regole sulla privacy?
No, si aggiunge. Se un sistema di AI tratta dati personali, la disciplina sulla protezione dei dati continua ad applicarsi per intero: base giuridica, informativa, tempi di conservazione e accordo scritto con chi tratta i dati per tuo conto. Nella pratica è il vincolo che si incontra per primo.
Cosa devo fare per primo?
Fare l'elenco degli strumenti di AI già in uso in azienda, compresi quelli adottati dai singoli di loro iniziativa. Poi classificarli per rischio (quasi sempre minimo o limitato), sistemare la trasparenza dove serve, formare le persone e controllare i contratti con i fornitori su dove finiscono i dati.