AI Act in azienda: requisiti, livelli di rischio e conformità

La prima legge al mondo sull’intelligenza artificiale è già in vigore. Comprendi i quattro livelli di rischio, quali obblighi ti riguardano, quali scadenze devi rispettare e come adeguarti senza bisogno di un dipartimento legale interno. Il AI Act Il Regolamento europeo sull’intelligenza artificiale è la prima legislazione completa al mondo sull’IA. È entrato in vigore il 1º agosto 2024 e i suoi obblighi vengono introdotti gradualmente tra il 2025 e il 2027. Non è una normativa futura: è una realtà giuridica che sta già influenzando il modo in cui le aziende europee possono utilizzare l’intelligenza artificiale. Se hai una PMI, un ecommerce o un’azienda di medie dimensioni che utilizza strumenti di IA, anche solo un chatbot per l’assistenza clienti, un motore di raccomandazioni o un assistente per generare contenuti, l’AI Act ti riguarda. La buona notizia è che la maggior parte di questi utilizzi rientra nelle categorie di rischio minimo o limitato, i cui obblighi sono gestibili se sai cosa fare. In questo articolo ti spieghiamo l’AI Act in modo pratico: quale classificazione dei rischi stabilisce, quali obblighi comporta ogni livello, quali scadenze devi rispettare e come preparare la tua azienda con una checklist concreta.

Cos’è l’AI Act e perché ti riguarda anche se sei una PMI

L’AI Act regola l’uso dei sistemi di intelligenza artificiale nell’Unione Europea utilizzando un approccio basato sul rischio. Non regola la tecnologia in sé, ma piuttosto come viene utilizzata e quale impatto ha sulle persone. Questo significa che lo stesso modello di IA può avere obblighi diversi a seconda dell’uso che ne fai. La logica è simile a quella del GDPR per i dati personali: non vieta l’uso dell’IA, ma richiede di farlo con governance, trasparenza, prove documentali e supervisione umana proporzionate al rischio. L’AI Act non opera da solo. Si inserisce in un quadro normativo più ampio che include:

GDPR: Protezione dei dati personali. Qualsiasi sistema di IA che tratti dati personali deve rispettare il GDPR (DPIA, base giuridica, consenso, diritti dell’interessato).
NIS2: Sicurezza delle reti e dei sistemi informativi. Se la tua IA opera su infrastrutture critiche, si applica la NIS2.
DMA/DSA: Regolamentazione dei mercati e dei servizi digitali. Rilevante se operi in marketplace o piattaforme digitali.

Punto chiave per le PMI L’AI Act prevede misure di sostegno specifiche per le PMI: sandbox regolatori, sanzioni ridotte in modo proporzionale e documentazione semplificata. Non sei solo davanti alla normativa.

I quattro livelli di rischio: la decisione che determina tutto

La classificazione del rischio è la decisione centrale dell’AI Act. Determina tutto tutti gli obblighi che si attivano. Si stabilisce rispondendo a quattro domande: riguarda le persone? Produce effetti legali o significativi? In quale contesto viene utilizzata? Quale ruolo ha la tua azienda: fornitore, deployer o distributore?

Rischio inaccettabile (vietato)

Sistemi che non possono essere messi in servizio in nessuna circostanza. Non ammettono controlli né mitigazione.

Manipolazione subliminale che causa un danno significativo.
Social scoring (punteggio sociale) da parte delle autorità pubbliche.
Categorizzazione biometrica basata su attributi sensibili (razza, religione, orientamento sessuale).
Riconoscimento delle emozioni negli ambienti di lavoro o di istruzione.
Identificazione biometrica in tempo reale negli spazi pubblici (con specifiche eccezioni per le forze dell’ordine).

Sanzione: Fino a 35 milioni di euro o al 7% del fatturato globale.

Alto rischio

Sistemi che prendono decisioni che incidono sui diritti fondamentali. Esistono due tipi: Alto rischio per utilizzo (stand-alone): Selezione del personale (assunzione, licenziamento), ammissione all’istruzione, valutazione accademica, accesso a servizi essenziali (aiuti pubblici, assicurazioni, prestiti), applicazione della legge e giustizia. Alto rischio incorporato: Componenti di sicurezza come dispositivi medici con IA, sistemi industriali di arresto di emergenza e Obblighi: Gestione dei rischi documentata, supervisione umana obbligatoria, log di tracciabilità, documentazione tecnica completa, valutazione d’impatto sui diritti fondamentali (FRIA), monitoraggio post-commercializzazione. Sanzione: Fino a 15 milioni di euro o il 3% del fatturato globale.

Rischio limitato

Sistemi che non sono ad alto rischio ma richiedono obblighi di trasparenza:

Informare l’utente che sta interagendo con un sistema di IA (chatbot, assistenti virtuali).
Etichettare chiaramente i contenuti generati dall’IA (testo, immagini, video, audio).
Includere filigrane o metadati di rilevabilità nei contenuti sintetici.

Sanzione: Fino a 7,5 milioni di euro o l'1% del fatturato globale.

Rischio minimo

La grande maggioranza degli utilizzi dell’IA in una PMI: filtri antispam, motori di raccomandazione dei prodotti, automazioni interne senza impatto diretto sulle persone, IA nei videogiochi. Non hanno restrizioni speciali oltre al rispetto generale delle leggi.

Importante: Los modelos de propósito general (GPAI) como ChatGPT, Gemini o Claude no son un nivel de riesgo: son una categoría aparte. Sus obligaciones recaen sobre el proveedor del modelo (OpenAI, Google, Anthropic), no sobre ti. Lo que define si tu caso es ad alto rischio es el uso que haces en tu empresa, no el modelo que usas.

Quali sistemi che utilizzi già sono interessati?

Fai un inventario rapido. Questi sono gli utilizzi più comuni nelle PMI e la loro classificazione probabile:

Chatbot di assistenza clienti: Rischio limitato. Devi informare l’utente che sta parlando con un’IA.
Motore di raccomandazione dei prodotti Rischio minimo. Senza obblighi speciali.
Assistente per la generazione di contenuti (testo, immagini): Rischio limitato. Devi etichettare il contenuto come generato dall’IA.
Strumento di scoring creditizio o di valutazione della solvibilità: Alto riesgo. Requiere expediente técnico completo y FRIA.
Sistema di selezione dei candidati basato sull’IA: Alto rischio. Stesso regime.
Automazione delle email di marketing: Rischio minimo.
IA per l’analisi dei dati interni: Rischio minimo, salvo che tratti dati personali (si applica il GDPR).
Filtri antispam e rilevamento delle frodi: Rischio minimo.

La maggior parte delle PMI opererà nelle aree di rischio minimo e limitato. Ma è fondamentale effettuare formalmente questa classificazione, perché è il primo artefatto obbligatorio previsto dall’AI Act: la scheda di classificazione del rischio.

FRIA e documentazione tecnica: cosa sono e quando ti serve ciascuna di esse

Documentazione tecnica

È il documento centrale dell’AI Act per ogni sistema di IA ad alto rischio. Un documento vivo che descrive cosa fa il sistema, con quali dati, come viene controllato, come viene supervisionato, quali rischi presenta e come vengono mitigati. Deve includere almeno: finalità e limiti del sistema, dataset e governance dei dati, metriche e soglie di qualità, rischi e salvaguardie, supervisione umana, log e tracciabilità, sicurezza e gestione delle modifiche. È la principale prova documentale negli audit. Se la tua IA è ad alto rischio e non hai la documentazione tecnica, non sei conforme.

FRIA (valutazione d’impatto sui diritti fondamentali)

Integra la DPIA del GDPR. Non valuta la privacy, ma piuttosto impatti sui diritti fondamentali: istruzione, lavoro, non discriminazione, presunzione di innocenza. È obbligatoria per i sistemi ad alto rischio che riguardano le persone in ambiti come aiuti sociali, edilizia residenziale pubblica, valutazione educativa o preselezione dei candidati.

Buone notizie per le PMI: Se la tua IA opera a rischio minimo o limitato, non hai bisogno della documentazione tecnica né di una FRIA. Ciò di cui hai bisogno è la scheda di classificazione del rischio e il rispetto degli obblighi di trasparenza, se applicabili. Sono documenti semplici che possono essere preparati in poche ore, non in mesi.

Calendario di applicazione: quali scadenze devi rispettare

Febbraio 2025 (già in vigore): Pratiche di IA vietate e obblighi di alfabetizzazione sull’IA.
Agosto 2025 (già in vigore): Regole per i modelli di IA di uso generale (GPAI). Gli Stati membri designano le autorità nazionali e creano sandbox regolatori.
Agosto 2026: Entrata in vigore della maggior parte delle regole. Sistemi ad alto rischio (Allegato III) e obblighi di trasparenza (Articolo 50). Questa è la data critica per la maggior parte delle aziende.
Agosto 2027: Applicazione completa. I modelli di IA già implementati prima di agosto 2025 devono essere conformi entro questa data.

Periodo di grazia: Periodo di grazia: Se la tua azienda aveva già sistemi di IA in funzione prima di agosto 2025, hai tempo fino ad agosto 2027 per adeguarli. Ma se implementi un nuovo sistema ad alto rischio a partire da agosto 2026, deve essere conforme fin dal primo giorno.

I ruoli previsti dall’AI Act: quale ruolo svolge la tua azienda?

L’AI Act non regola solo la tecnologia: regola chi fa cosa. Il tuo ruolo determina i tuoi obblighi:

Fornitore: Chi sviluppa il sistema di IA o apporta modifiche sostanziali. Deve fornire gestione dei rischi, documentazione tecnica, supervisione umana, log e monitoraggio post-commercializzazione.
Responsabile dello schieramento: L’azienda che utilizza il sistema. Deve validarlo in un ambiente reale, gestirlo con supervisione umana, registrare gli incidenti, gestire le modifiche e ritirare il sistema se si degrada. Questo è probabilmente il tuo ruolo.
Importatore/Distributore: Quando il sistema proviene da fuori dell’UE o viene rietichettato.

Se utilizzi ChatGPT, Shopify Magic o qualsiasi IA di terze parti, sei deployer. OpenAI, Shopify o Google sono i fornitori. Ma tu sei responsabile di come utilizzi questi strumenti nel tuo contesto aziendale.

Le sanzioni: quanto può costarti non essere conforme

L’AI Act stabilisce un regime sanzionatorio graduato in base alla gravità della violazione:

Pratiche vietate (rischio inaccettabile): Fino a 35 milioni di euro o al 7% del fatturato annuo globale, a seconda di quale importo sia più elevato.
Mancato rispetto degli obblighi per i sistemi ad alto rischio: Fino a 15 milioni di euro o il 3% del fatturato globale.
Altre violazioni (trasparenza, documentazione): Fino a 7,5 milioni di euro o l'1% del fatturato globale.

Per le PMI, le sanzioni sono limitate alla percentuale o all’importo fisso, a seconda di quale sia inferiore. Questo significa che una PMI con 2 milioni di euro di fatturato si troverebbe ad affrontare un massimo di 140.000 euro per una violazione relativa a un sistema ad alto rischio (3%), non 15 milioni. Ma resta comunque un importo che può compromettere seriamente l’attività.

Contesto: Oltre alle sanzioni economiche, il mancato rispetto dell’AI Act può comportare il ritiro obbligatorio del sistema di IA dal mercato, danni reputazionali e perdita di fiducia da parte di clienti e partner. Il costo reale della non conformità supera sempre il costo della preparazione.

Checklist di conformità per le PMI: 10 passaggi per prepararti

Crea un inventario dell’IA. Elenca tutti gli strumenti e gli utilizzi dell’IA nella tua azienda, inclusa la Shadow AI.
Classifica ogni sistema per livello di rischio. Utilizza la scheda di classificazione dell’AI Act: riguarda le persone? Produce effetti giuridici?
Identifica il tuo ruolo per ogni sistema. Sei un fornitore o un deployer?
Rispetta gli obblighi di trasparenza (rischio limitato). Aggiungi avvisi sull’IA nei chatbot ed etichette sui contenuti generati.
Prepara la documentazione tecnica (solo per i sistemi ad alto rischio). Documenta finalità, dati, controlli, metriche e supervisione umana.
Effettua una DPIA se tratti dati personali con l’IA. Un obbligo del GDPR che viene rafforzato dall’AI Act.
Effettua una FRIA se il tuo sistema è ad alto rischio. Valuta l’impatto sui diritti fondamentali.
Richiedi due diligence ai tuoi fornitori di IA. Scheda informativa, DPA che vieti il riaddestramento, SLA.
Implementa la supervisione umana (HITL). Definisci chi effettua la revisione, quando e come vengono registrati gli interventi.
Documenta tutto fin dal primo giorno. Registri, log, changelog, metriche, incidenti. La tracciabilità è la chiave di tutto l’AI Act.

"L’AI Act non è un ostacolo all’innovazione. È il quadro che trasforma la conformità normativa in un asset reputazionale e competitivo."

Come l’AI Act si integra nel tuo modello di governance

Se hai già, o stai creando, un AI Steering Committee con un sistema di Gate, l’AI Act si integra in modo naturale. Gli artefatti richiesti dalla normativa sono gli stessi che produci già in ogni porta decisionale:

Gate 0 (Ideazione): La scheda di classificazione del rischio richiesta dall’AI Act è il primo artefatto del Gate 0. Se classifichi il rischio all’inizio, sai esattamente quali obblighi si attivano.
Gate 1 (Pilota): El DPIA-lite, la FRIA (si aplica), los controles de grounding y la factsheet del modelo son las evidencias que necesitas tanto para el Gate 1 de tu gobernanza como para demostrar cumplimiento al regulador.
Gate 2 (Produzione): La documentazione tecnica, il runbook degli incidenti, il test di rollback e gli SLA sono requisiti dell’AI Act per i sistemi ad alto rischio e, allo stesso tempo, le evidenze del tuo Gate 2.

In altre parole: se segui il modello di governance basato sui Gate, stai già facendo l’80% del lavoro di conformità all’AI Act. La normativa non aggiunge nuova burocrazia; dà forma giuridica alle buone pratiche che dovresti già seguire.

La conclusione: prepararsi ora è più economico che adeguarsi dopo

L’AI Act non scomparirà e le scadenze sono ormai imminenti. Per la maggior parte delle PMI, gli obblighi sono ragionevoli: classificare gli utilizzi dell’IA, rispettare gli obblighi di trasparenza, effettuare due diligence sui fornitori e documentare ciò che fai. Le aziende che integrano la conformità nel proprio modello operativo fin dall’inizio — con un AI Steering Committee, un sistema di Gate e una Policy IA Lite — non solo eviteranno sanzioni: creeranno fiducia con clienti, partner e investitori. Perché nell’era dell’IA, la governance non è un freno. È la tua migliore vantaggio competitivo.

Hai bisogno di aiuto per classificare i tuoi sistemi di IA e rispettare l’AI Act? In Impulsa3 ti accompagniamo con una diagnosi pratica, la scheda di classificazione e la tua roadmap di conformità adattata al tuo business.

Fonti e riferimenti

Regolamento (UE) 2024/1689 — AI Act (Regolamento europeo sull’intelligenza artificiale)
Cronologia di attuazione dell’AI Act dell’UE (artificialintelligenceact.eu)
Guida per le piccole imprese all’AI Act (UE)
Istituto Europeo di Posgrado — Documentazione del Master in AI Transformation: AI Act per Manager I e II
GDPR (Regolamento generale sulla protezione dei dati)
NIS2 (Direttiva sulla sicurezza delle reti e dei sistemi informativi)
NIST AI Risk Management Framework (AI 100-1)

AI Act: cosa richiede la nuova regolamentazione europea sull’IA e come preparare la tua azienda senza complicazioni