AI Act per PMI: la checklist operativa per mettersi in regola nel 2026

Il ruolo delle PMI nell'AI Act: Deployer vs Fornitore

Il primo passo fondamentale per un imprenditore o un manager di PMI è comprendere la propria qualifica giuridica ai sensi dell'art. 3 del Regolamento (UE) 2024/1689:

• Deployer (utilizzatore): è qualsiasi persona fisica o giuridica che utilizza un sistema di IA sotto la propria autorità nell'ambito della propria attività professionale. La stragrande maggioranza delle PMI italiane appartiene a questa categoria (es. utilizzo di CRM con IA, assistenti di scrittura, software contabili con machine learning).
• Fornitore (provider): è chi sviluppa un sistema di IA o lo immette sul mercato con il proprio marchio. Ha gli obblighi più pesanti (marcatura CE, fascicolo tecnico, conformità).

La Checklist in 6 passi per le PMI

Per raggiungere una conformità solida e difendibile senza appesantire l'operatività aziendale, consigliamo di seguire questo percorso strutturato:

1. Censimento degli strumenti (Lotta allo Shadow AI)

Molti dipendenti utilizzano già strumenti di IA sui propri dispositivi personali o browser aziendali all'insaputa del management. È necessario avviare una breve indagine interna per mappare tutti gli applicativi utilizzati:

• Generative AI di testo (ChatGPT, Claude, Gemini, Copilot);
• Strumenti grafici o multimediali (Midjourney, Canva AI, ElevenLabs);
• Funzionalità IA integrate nei software gestionali, ERP, HR o contabili;
• Chatbot sul sito web aziendale o sui canali WhatsApp/Telegram.

2. Redazione del Registro dei Sistemi di IA

Sebbene il registro formale sia obbligatorio ex lege solo per i sistemi ad alto rischio, istituire un registro interno degli strumenti di IA è la prassi raccomandata dall'art. 4 per dimostrare di conoscere gli strumenti adottati e averne valutato i rischi.

3. Adozione di una Policy di Utilizzo (Regolamento Aziendale)

Nessun dipendente dovrebbe utilizzare l'IA senza chiare linee guida aziendali. La policy deve chiarire in modo inequivocabile:

• Il divieto assoluto di inserire nei prompt dati personali di clienti, dati sanitari o segreti industriali coperti da NDA;
• L'obbligo del controllo umano finale (human-in-the-loop) su qualsiasi testo o codice generato da IA prima della pubblicazione;
• Le modalità corrette di dichiarazione quando l'output è condiviso con clienti o all'esterno.

È possibile utilizzare il nostro modello pronto di policy interna per velocizzare la redazione.

4. Percorso di alfabetizzazione del personale (Art. 4 AI Act)

L'art. 4 dell'AI Act richiede che le organizzazioni adottino misure volte a sostenere lo sviluppo dell'alfabetizzazione in materia di IA del proprio personale. La formazione deve coprire:

• Principi di base e funzionamento dei modelli;
• Allucinazioni, bias e limiti tecnici;
• Sicurezza informatica, phishing potenziato da IA e tutela dei dati;
• Istruzioni specifiche per i ruoli aziendali più esposti (amministrazione, marketing, HR).

Scopri il catalogo corsi conformi all'Art. 4 per formare l'intero organico con attestati tracciabili.

5. Obblighi di trasparenza verso l'esterno (Art. 50 AI Act)

Se la PMI espone al pubblico un chatbot o un assistente virtuale per i clienti, deve avvisare chiaramente l'utente che sta interagendo con un sistema di intelligenza artificiale. Lo stesso vale per contenuti sintetici (audio, video, immagini generate) che devono recare opportuni disclaimer o marcatura digitale.

6. Integrazione con DVR e Modello 231

In Italia, il D.Lgs. 179/2026 all'art. 42 coordina l'impiego dell'IA con il Testo Unico sulla Sicurezza sul Lavoro (D.Lgs. 81/2008), imponendo di considerare i rischi da stress lavoro-correlato o ergonomici derivanti da algoritmi di monitoraggio. Per le aziende dotate di Modello 231, è opportuno integrare le procedure per prevenire reati informatici o violazioni di copyright tramite IA.

Riepilogo delle priorità per le PMI

Contenuto a scopo informativo: non costituisce consulenza legale. Le norme possono essere modificate da interventi successivi; verifica sempre i testi ufficiali.