AI Act per una PMI che usa ChatGPT: cosa si applica oggi, cosa è stato rinviato e cosa fare in 4 settimane

L’EU AI Act riguarda anche le PMI italiane?

Sì. Il Regolamento (UE) 2024/1689 è in vigore dall’agosto 2024 e si applica a chi sviluppa, distribuisce o utilizza sistemi AI nell’Unione europea, PMI incluse.

La maggior parte delle PMI italiane rientra nella categoria degli utilizzatori, non dei fornitori di sistemi ad alto rischio. Questo significa obblighi più leggeri, ma non zero obblighi.

Chi integra la governance AI prima che diventi un obbligo percepito ha un vantaggio competitivo reale.

Il riepilogo ufficiale di EUR-Lex chiarisce che definizioni, divieti di base e alfabetizzazione sull’AI si applicano dal 2 febbraio 2025. Per una PMI, quindi, non è più un tema “da osservare”. È un tema da organizzare.

La traduzione pratica

Per una PMI, questo significa una cosa semplice:

• non devi diventare esperto legale di AI
• devi evitare uso improvvisato dell’AI nei processi critici
• devi sapere spiegare come la stai usando

Cosa ha rinviato il Digital Omnibus?

Il Regolamento (UE) 2026/1744, detto Digital Omnibus, è dell’8 luglio 2026 ed è in vigore dal 27 luglio 2026. Ha spostato una cosa sola: le regole sui sistemi ad alto rischio.

Quelle dell’Allegato III, come selezione del personale o credito, passano al 2 dicembre 2027. Quelle dell’Allegato I, cioè l’AI integrata in prodotti regolati, passano al 2 agosto 2028.

Nelle regole rinviate ci sono anche gli obblighi degli utilizzatori di sistemi ad alto rischio (art. 26). Se usi ChatGPT o Copilot per scrivere, riassumere o analizzare, non rientri in quel perimetro. Cambia se lo usi per decidere su persone, per esempio per selezionare candidati.

Il quadro completo è nell’articolo AI Act, il rinvio ha toccato solo l’alto rischio.

Quali sono gli obblighi concreti per una PMI che usa l’AI?

Per le PMI che utilizzano sistemi AI (ChatGPT, Claude, Copilot, strumenti di analisi dati) gli obblighi già applicabili sono tre:

• Alfabetizzazione (art. 4): adottare misure per sostenere lo sviluppo delle competenze di chi usa l’AI per conto dell’azienda
• Divieti (art. 5): non usare le pratiche vietate, come le tecniche subliminali o manipolative che distorcono le decisioni di una persona
• Trasparenza (art. 50, dal 2 agosto 2026): dichiarare i deepfake e i testi generati dall’AI e pubblicati su temi di interesse pubblico senza revisione umana

Chi mette online un chatbot ha un obbligo in più: la persona deve sapere che sta parlando con un sistema AI. L’obbligo di progettazione, però, ricade sul fornitore del sistema.

Supervisione umana e documentazione non sono obblighi di ogni PMI che usa l’AI. Sono requisiti dei sistemi ad alto rischio, rinviati come visto sopra. Restano un buon metodo di lavoro: sapere dove l’AI è usata e chi valida gli output.

Non serve un team legale dedicato. Serve un sistema che integri questi principi nel modo in cui lavori.

Gli obblighi, in forma di checklist

Se vuoi ridurli all’osso, chiediti:

1. sappiamo dove l’AI è usata?
2. sappiamo chi valida gli output?
3. sappiamo quali output non devono uscire senza controllo?
4. sappiamo chi deve essere formato?

L’articolo 4 dell’AI Act, riscritto dal Digital Omnibus, chiede misure per sostenere lo sviluppo dell’alfabetizzazione di chi usa e gestisce i sistemi AI. Conta il contesto d’uso e la competenza di partenza.

Non è richiesto di garantire un livello specifico a ogni persona. Ma non basta aprire un account: serve preparare chi lo usa.

Perché la governance AI conta anche in vendita?

Quando un cliente, un partner o un bando chiede come governi l’AI, rispondere con un sistema tracciabile è più credibile che rispondere con un’opinione. Non perché la norma lo imponga a ogni PMI. Perché chi sa spiegare processo, confini e validazione appare più affidabile.

Ti permette anche di parlare di efficienza, rischio e affidabilità dentro un’unica architettura, non in tre progetti scollegati.

Perché questo conta commercialmente

Davanti a un board, a un partner o a un cliente strutturato, chi sa spiegare governance e responsabilità:

• appare più credibile
• è più difendibile in vendita
• è più forte nei contesti con requisiti di fornitura

Come trasformare la compliance in vantaggio competitivo?

La compliance può essere un costo o un investimento. La differenza sta nell’approccio.

Approccio costo:

• Aspettare che qualcuno chieda la documentazione
• Compilare checklist a posteriori
• Trattare l’EU AI Act come un adempimento burocratico

Approccio investimento:

• Costruire processi AI documentati e trasparenti fin dall’inizio
• Usare la governance come differenziatore nelle presentazioni ai clienti
• Posizionarsi come partner che sa governare l’AI, non solo usarla

Domanda chiave

Quando un cliente ti chiede “come state governando l’AI?”, oggi hai:

• un’opinione
• una policy
• o un sistema tracciabile?

Per un Fractional Manager, presentarsi con un framework di governance AI documentato è un vantaggio nella selezione da parte del cliente. Per un GM di PMI, è una risposta concreta al board quando chiede “come state gestendo il rischio AI”.

Inoltre, la Commissione europea collega in modo esplicito adozione, fiducia, competenze e implementazione dell’AI Act. Quindi la compliance fatta bene non è un freno. È una forma di affidabilità operativa spendibile.

Quali sono i rischi concreti di non conformità?

Le sanzioni sono fissate dall’art. 99. Fino a €35 milioni o al 7% del fatturato mondiale per le pratiche vietate. Fino a €15 milioni o al 3% per la maggior parte degli altri obblighi, trasparenza compresa.

Per le PMI vale il valore più basso tra importo e percentuale. Il rischio reputazionale, invece, resta identico.

Il rischio più concreto per una PMI italiana oggi non è la multa. È perdere un cliente o un bando perché non riesci a dimostrare che stai usando l’AI in modo responsabile.

Nella pratica, vediamo 3 rischi ricorrenti:

• uso dell’AI senza criteri di validazione
• assenza di tracciabilità su chi ha fatto cosa
• output supportati da AI senza supervisione chiara

Sono rischi reputazionali prima ancora che regolatori. Però diventano subito rischi commerciali quando un cliente o un partner ti chiede come governi il processo.

Il rischio più sottovalutato

Non è la multa teorica. È questo scenario:

• il team usa l’AI in modo disomogeneo
• un cliente chiede trasparenza
• tu non riesci a spiegare processo, confini e validazione

Cosa può fare una PMI nelle prossime 4 settimane

Non sono adempimenti di legge per ogni PMI. Sono il minimo per usare l’AI sotto controllo, e coprono anche la formazione dell’art. 4.

Il percorso minimo è questo:

1. mappare dove l’AI è già usata
2. definire quali output richiedono revisione umana
3. assegnare un owner interno
4. tracciare i casi d’uso critici
5. formare le persone che usano davvero i tool

Se parti solo da una policy scritta, la policy resterà sterile. Se costruisci prima il sistema, la policy diventa adottabile.

Piano minimo in 4 settimane

Per renderlo concreto:

1. settimana 1: mappa usi e processi
2. settimana 2: definisci i confini minimi
3. settimana 3: assegna ownership e validazione
4. settimana 4: forma chi usa davvero gli strumenti

Da dove può partire una PMI?

Il diagnostico PMI dura circa 7 minuti. Non è una verifica di conformità all’AI Act: ti dice dove si blocca il lavoro e quanto costa lo status quo. Ottieni:

• una prima diagnosi operativa
• il costo stimato dello status quo
• il prossimo passo più sensato

Non è un parere legale. È un punto di partenza per decidere dove l’AI va governata per prima: chi la usa, per cosa, chi valida gli output.

Se vuoi una versione ancora più pratica del problema, continua con Policy AI per PMI: checklist operativa per evitare caos oppure vai direttamente alla pagina Per Aziende.

“Governance ROI-operativa, non governance istituzionale. Controllo totale, non scatola nera.” — AIEH

Fonti primarie e riferimenti

• EUR-Lex - Regolamento (UE) 2026/1744, Digital Omnibus on AI
• EUR-Lex - Regolamento (UE) 2024/1689, testo consolidato al 27 luglio 2026
• EUR-Lex - Rules for trustworthy artificial intelligence in the EU
• Commissione europea - Quick facts: transparency rules for AI systems
• European Commission - European approach to artificial intelligence