AI Act per le PMI: obblighi, scadenze e cosa fare dopo il rinvio

Nel 2026 il quadro sull'intelligenza artificiale è cambiato due volte. A luglio l'Unione europea ha approvato il Digital Omnibus, che rinvia gli obblighi sui sistemi ad alto rischio. A ottobre l'Italia ha completato le regole nazionali con il decreto legislativo 179/2026, in vigore dal 23 ottobre. Molti imprenditori hanno letto solo la prima notizia e hanno concluso che c'è tempo fino al 2027.

Non è così. Il rinvio riguarda una parte specifica del regolamento. Alfabetizzazione del personale, pratiche vietate, trasparenza e le nuove regole italiane sul lavoro si applicano già. Questo articolo mette in ordine le date e indica cosa deve fare una PMI che usa l'AI, non chi la sviluppa.

Fornitore o utilizzatore: che ruolo ha la vostra PMI nell'AI Act

Il Regolamento (UE) 2024/1689 distingue soprattutto due figure. Il fornitore sviluppa un sistema di AI e lo immette sul mercato con il proprio nome. Il deployer, che qui chiamiamo utilizzatore, usa un sistema di AI sotto la propria autorità nell'attività professionale.

Una PMI che usa un assistente di scrittura, un software per il servizio clienti o uno strumento di analisi dei CV è utilizzatore. Diventa fornitore se sviluppa un sistema e lo vende o lo mette a disposizione con il proprio marchio, oppure se modifica in modo sostanziale un sistema di terzi o ne cambia la finalità verso un uso ad alto rischio. Gli obblighi del fornitore sono molto più pesanti: conviene sapere da che parte si sta prima di firmare un progetto.

Le scadenze AI Act dopo il Digital Omnibus

Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull'AI, è stato pubblicato in Gazzetta ufficiale dell'UE il 24 luglio 2026. Ha spostato le date dell'alto rischio e riscritto l'obbligo di alfabetizzazione. Le altre scadenze restano quelle originali.

Gli obblighi che valgono già oggi

Alfabetizzazione AI del personale (art. 4)

Fornitori e utilizzatori devono adottare misure per sviluppare l'alfabetizzazione AI del personale e di chi usa i sistemi per loro conto. Il Digital Omnibus ha riscritto l'articolo: l'obbligo resta, ma è un obbligo di impegno. Non serve garantire un livello predefinito di competenza per ogni persona; le misure vanno proporzionate a ruolo, esperienza, contesto d'uso e rischio del sistema.

In pratica una PMI dovrebbe poter mostrare chi usa quali strumenti, quale formazione ha ricevuto, quali regole interne valgono e quando sono state aggiornate. Non serve un attestato specifico: conta che la formazione sia adatta all'uso reale. Le domande e risposte della Commissione europea sull'alfabetizzazione AI danno indicazioni utili. I percorsi di formazione di apulia.ai partono proprio dai ruoli e dai processi dell'azienda.

Pratiche vietate (art. 5)

Alcuni usi sono vietati dal 2 febbraio 2025. Per una PMI i casi da controllare sono soprattutto questi:

• riconoscimento delle emozioni sul luogo di lavoro, salvo motivi medici o di sicurezza;
• tecniche manipolative o subliminali che alterano in modo significativo il comportamento delle persone e possono causare danni;
• sfruttamento delle vulnerabilità legate a età, disabilità o situazione economica;
• punteggi sociali che portano a trattamenti sfavorevoli in contesti diversi da quelli in cui i dati sono stati raccolti;
• raccolta indiscriminata di immagini di volti da internet o da telecamere per creare banche dati di riconoscimento facciale.

Dal 2 dicembre 2026 il Digital Omnibus aggiunge il divieto dei sistemi che generano immagini intime non consensuali e materiale pedopornografico. Sono usi lontani dall'attività di una PMI, ma rafforzano un principio: lo strumento acquistato da terzi non sposta la responsabilità di come lo si usa.

Trasparenza (art. 50)

Dal 2 agosto 2026 chi usa l'AI per creare deepfake, cioè immagini, audio o video che sembrano autentici, deve dichiararlo. Lo stesso vale per i testi generati con l'AI e pubblicati per informare il pubblico su questioni di interesse pubblico, salvo che un essere umano li abbia rivisti e ne abbia la responsabilità editoriale. Chi usa sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone esposte.

Per un chatbot sul sito, l'obbligo di far capire che si parla con una macchina ricade sul fornitore. La PMI deve però verificare che lo strumento sia configurato in questo modo e che l'avviso resti visibile.

Alto rischio: quando una PMI ci rientra

La maggior parte degli usi in una PMI non è ad alto rischio: bozze di email, sintesi di documenti, classificazione dei ticket, analisi delle vendite. L'eccezione più frequente riguarda il personale. Sono ad alto rischio, tra gli altri, i sistemi usati per selezionare candidati, filtrare CV, valutare colloqui, decidere promozioni o cessazioni, assegnare compiti in base al comportamento e monitorare le prestazioni.

Dal 2 dicembre 2027 l'utilizzatore di un sistema ad alto rischio dovrà, in sintesi: usarlo secondo le istruzioni del fornitore; affidare la sorveglianza a persone competenti e con autorità; verificare che i dati inseriti siano pertinenti; monitorarne il funzionamento e segnalare i problemi; conservare i log generati automaticamente per almeno sei mesi; informare i rappresentanti dei lavoratori e i lavoratori interessati prima di metterlo in uso; informare le persone soggette a decisioni prese con il supporto del sistema.

Il rinvio dà tempo per scegliere fornitori in grado di fornire documentazione e istruzioni adeguate. Chi adotta oggi uno strumento HR basato sull’AI dovrebbe chiederle subito, nel contratto.

Le regole italiane: legge 132/2025 e decreto legislativo 179/2026

La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, ha affiancato l'AI Act con regole nazionali. Ha designato l'Agenzia per la cybersicurezza nazionale (ACN) come autorità di vigilanza del mercato e l'AgID come autorità di notifica. Chiede ai professionisti, come commercialisti, avvocati e consulenti del lavoro, di informare i clienti quando usano l'AI nella prestazione.

Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre 2026 e in vigore dal 23 ottobre, rende queste regole operative. Per i datori di lavoro privati contano soprattutto due articoli:

• Art. 41: le decisioni su assunzione, modifica e cessazione del rapporto, i provvedimenti disciplinari e le valutazioni delle prestazioni non possono basarsi solo su un sistema automatico. La decisione finale spetta a una persona con potere effettivo e autonomo. I lavoratori vanno informati prima dell'uso e possono chiedere una spiegazione comprensibile del ruolo avuto dall'AI. Le decisioni prese in violazione sono nulle.
• Art. 42: se l'AI incide su organizzazione, ritmi o modalità di lavoro, va considerata nella valutazione dei rischi e i lavoratori vanno informati e formati sui rischi specifici.

La differenza rispetto all'AI Act è che queste regole non aspettano il 2027. Una PMI che usa già uno strumento per valutare le prestazioni o organizzare i turni deve verificarle oggi.

Le sanzioni per una PMI

Le sanzioni arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate, fino a 15 milioni o al 3% per la violazione degli altri obblighi di fornitori e utilizzatori, fino a 7,5 milioni o all'1% per informazioni inesatte fornite alle autorità. Per le PMI l'AI Act applica la soglia più bassa tra importo fisso e percentuale; il Digital Omnibus ha esteso un trattamento analogo alle imprese a media capitalizzazione fino a 750 dipendenti.

Le cifre servono a capire le proporzioni, non a creare allarme. Per una PMI il rischio più concreto oggi è un altro: una decisione sul personale annullata, un reclamo di un cliente o di un lavoratore, un fornitore che non sa spiegare come funziona il proprio sistema.

Cosa fare nei prossimi 90 giorni

1. Settimane 1-3: inventario degli strumenti di AI in uso, con reparto, finalità, dati trattati, fornitore e responsabile interno. Includete gli abbonamenti personali usati per lavoro.
2. Settimane 3-5: classificazione di ogni uso: vietato, alto rischio, obblighi di trasparenza, uso ordinario. Segnate in rosso tutto ciò che riguarda il personale.
3. Settimane 5-8: policy interna di una pagina e formazione per ruolo, con registro di chi l'ha seguita. Per gli strumenti che toccano il personale: informativa ai lavoratori, decisione finale umana documentata e aggiornamento della valutazione dei rischi.
4. Settimane 8-12: richiesta ai fornitori di documentazione, istruzioni d’uso e impegni contrattuali sull’AI Act; verifica degli avvisi di trasparenza su chatbot e contenuti pubblicati; data di revisione del registro.

Il registro dei casi d'uso è lo stesso strumento che serve per scegliere e misurare i progetti: lo descriviamo nel piano in 90 giorni per introdurre l'AI in una PMI. Gli aggiornamenti normativi settimana per settimana sono nella sezione AI Act di apulia.ai.

Errori comuni delle PMI sull'AI Act

Il primo è leggere il rinvio come una proroga generale. Il rinvio riguarda l'alto rischio; alfabetizzazione, divieti, trasparenza e regole italiane sul lavoro valgono già.

Il secondo è pensare che l'AI Act riguardi solo chi sviluppa software. Chi usa l'AI ha obblighi propri, e può diventare fornitore se modifica o rivende un sistema.

Il terzo è ridurre l'alfabetizzazione a un corso uguale per tutti. Chi usa l'AI per scrivere testi e chi la usa per valutare persone hanno bisogno di formazione diversa.

Il quarto è non sapere quali strumenti si usano. Senza inventario non si può classificare nulla, e gli strumenti più a rischio sono spesso quelli adottati da un singolo reparto senza passare dalla direzione.