Che cos’ l’AI ACT, il regolamento europeo che disciplina i sistemi di intelligenza artificiale nell’EU

In questo articolo

L’AI Act è il regolamento europeo che disciplina lo sviluppo, l’immissione sul mercato e l’utilizzo dei sistemi di intelligenza artificiale nell’Unione Europea. Introduce un approccio basato sul rischio, dove alcune pratiche sono vietate, altre sono considerate ad alto rischio e richiedono obblighi più stringenti, mentre gli usi a basso impatto restano soggetti a regole più leggere.

Per le aziende, PMI comprese, l’AI Act permetterà di governare l’AI con criteri chiari grazie a:

• mappatura e classificazione dell’utilizzo dell’AI
• trasparenza verso utenti e lavoratori
• supervisione umana
• documentazione
• sicurezza
• formazione del personale

L’obiettivo è rendere l’adozione dell’AI più affidabile e coerente con diritti fondamentali e responsabilità aziendale.

L’AI Act imporrà anche alle PMI di usare l’intelligenza artificiale con metodo. L’AI Act (Regolamento UE 2024/1689) è entrato in vigore il 1º agosto 2024, ma prevede un’applicazione graduale ed entrerà nella sua piena applicabilità il 2 agosto 2026.

Una piccola o media impresa deve capire dove usa l’AI, con quali dati, per quale finalità e con quale impatto su clienti, lavoratori o candidati. La priorità è costruire una governance minima con inventario, classificazione del rischio, formazione, trasparenza, log e controllo umano.

IN BREVE
Per essere pronte all’AI Act, le PMI devono mappare i casi d’uso AI, distinguere tra sistemi vietati, high-risk, soggetti a trasparenza o a rischio minimo, formare il personale, chiedere documentazione ai fornitori e definire chi sono i responsabili degli output.

L’AI Act riguarda le PMI perché molte aziende stanno già usando sistemi di intelligenza artificiale in HR, marketing, customer service, amministrazione, cybersecurity, produzione e gestione documentale, spesso senza nemmeno chiamarli “sistemi AI”.

Un chatbot sul sito, un AI Assistant interno, un tool che analizza CV, un software che genera testi commerciali o un sistema che suggerisce priorità operative possono rientrare nel perimetro del regolamento. È un tema più “legal” che di governance aziendale, dove la discriminante è l’uso concreto della tecnologia mentre la dimensione dell’impresa è relativa.

I CONCETTI CHIAVE LEGATI ALL’AI ACT
L’Unione Europea, la Commissione europea, l’AI Office, l’Allegato III, il GDPR, i concetti di provider, deployer, GPAI, high-risk, trasparenza, human oversight, logging, AI literacy, cybersecurity, HR e gestione dei lavoratori diventeranno termini con cui avere familiarità.
L’AI Act entra nel business model, nel procurement, nei processi interni e nella relazione con i fornitori.

GPAI
GPAI significa General-Purpose Artificial Intelligence, cioè intelligenza artificiale per finalità generali.
Nell’AI Act, indica modelli di AI capaci di svolgere molte attività diverse, non progettati per un solo uso specifico.
Per esempio: generare testi, riassumere documenti, scrivere codice, tradurre, analizzare informazioni o supportare chatbot e AI Assistant. 

Per una PMI, la distinzione più importante è tra provider e deployer. Il provider è chi sviluppa o immette sul mercato un sistema di AI o un modello GPAI con il proprio nome o marchio. Il deployer è invece chi usa un sistema di AI sotto la propria autorità, fuori da un uso personale.

Molte PMI che acquistano un AI Assistant, un chatbot o un software HR saranno deployer.

Il ruolo può cambiare se l’azienda modifica in modo sostanziale il sistema, lo rivende, lo mette sul mercato con il proprio brand o ne cambia la finalità prevista. Questo passaggio è strategico nel procurement perchè prima di firmare, l’azienda deve chiarire chi è responsabile di cosa. L’errore classico è pensare di “essere coperti” grazie al fornitore. Se si utilizza l’AI nei propri processi, una quota di governance sarà comunque a carico dell’azienda.

L’AI Act segue una logica basata sul rischio e non tutti gli strumenti sono trattati allo stesso modo. Alcune pratiche sono vietate, come manipolazione dannosa, social scoring, scraping non mirato per creare database di riconoscimento facciale o sistemi di riconoscimento delle emozioni nel luogo di lavoro e nell’istruzione, salvo limitate eccezioni mediche o di sicurezza.

I sistemi high-risk, invece, non sono vietati ma hanno requisiti più stringenti.

L’AI Act classifica i sistemi di intelligenza artificiale in base al livello di rischio, con un approccio proporzionato: più alto è l’impatto su sicurezza, diritti fondamentali e persone, più stringenti sono gli obblighi per aziende, provider e deployer.

• Rischio inaccettabile: comprende pratiche vietate perché considerate incompatibili con i diritti fondamentali, come manipolazione dannosa, social scoring o riconoscimento delle emozioni sul luogo di lavoro.
• Alto rischio: riguarda sistemi AI utilizzati in ambiti sensibili, come selezione del personale, gestione dei lavoratori, istruzione, credito, servizi essenziali o prodotti regolamentati. Qui servono gestione del rischio, documentazione tecnica, supervisione umana, logging, monitoraggio e controlli.
• Rischio legato alla trasparenza: include chatbot, deepfake, contenuti sintetici o sistemi che interagiscono direttamente con utenti e clienti. L’obbligo principale è informare chiaramente le persone che stanno interagendo con un sistema AI o con contenuti generati artificialmente.
• Rischio minimo o nullo: comprende molti usi ordinari dell’AI, come strumenti di produttività, suggerimenti testuali o analisi interne a basso impatto. In questi casi non ci sono obblighi specifici aggiuntivi dell’AI Act, ma restano validi GDPR, cybersecurity, policy aziendali e buon senso operativo.

Per le PMI, il caso più concreto è l’HR: strumenti che analizzano candidature, filtrano CV, valutano candidati, supportano promozioni, assegnano task o monitorano performance rientrano nell’area “employment, workers, management and access to self-employment” dell’Allegato III.

Un tool marketing interno, ad esempio, sarà invece spesso a rischio più basso, salvo che generi contenuti generati o modificati artificialmente da un sistema AI mostrati al pubblico o interagisca direttamente con persone. Il rischio, insomma, dipende dal contesto d’utilizzo.

L’AI Act si applica a tutti i soggetti che sviluppano, immettono sul mercato, distribuiscono, importano o utilizzano sistemi di intelligenza artificiale nell’Unione Europea. Per le PMI, i ruoli più importanti sono due: provider e deployer. Il provider è chi sviluppa o commercializza un sistema AI, anche con il proprio marchio mentre il deployer è invece chi utilizza un sistema AI sotto la propria responsabilità, ad esempio un’azienda che acquista un AI Assistant per HR, marketing, customer service o IT.

Sono coinvolti anche importatori, distributori, rappresentanti autorizzati, produttori che integrano AI nei propri prodotti e persone interessate dagli output del sistema. Una PMI che compra un software AI da un fornitore è spesso deployer, ma può diventare provider se modifica in modo sostanziale il sistema, lo rivende o ne cambia la finalità. Qui il punto è semplice: non basta dire “lo usa il fornitore”. Se l’AI entra nei processi aziendali, una parte della responsabilità resta in azienda.

Una PMI dovrebbe partire da una matrice operativa semplice, utile per avere una dashboard sempre pronta all'uso sull'AI in azienda. 

• Step 1: elenco dell'utilizzo dell'AI, con funzione aziendale, finalità, dati trattati, utenti coinvolti, fornitore e modello sottostante.
  
• Step 2: classificazione del rischio, distinguendo tra pratiche vietate, high-risk, trasparenza e rischio minimo.
  
• Step 3: formazione del personale, perché l'AI literacy è richiesta a provider e deployer in base a competenze, contesto d'uso e persone coinvolte.
  
• Step 4: controllo umano, soprattutto quando l'AI incide su persone o decisioni sensibili.
  
• Step 5: log e monitoraggio, con conservazione adeguata, almeno sei mesi per i sistemi high-risk quando i log sono sotto il controllo del deployer.
  
• Step 6: informative chiare verso lavoratori, utenti o persone soggette a decisioni assistite.  

Nella tabella di seguito vediamo alcuni esempi di utilizzo:

Nello stipulare un contratto con un fornitore AI, una PMI dovrebbe verificare:

• Classificazione del sistema: il sistema rientra nell’Allegato III o in un altro perimetro high-risk?
• Ruolo dell’azienda: la PMI resta deployer o può diventare provider in caso di white label, customizzazione sostanziale o cambio di finalità del sistema?
• Documentazione disponibile: quali istruzioni d’uso, limiti, rischi prevedibili e specifiche sui dati vengono consegnati prima del go-live?
• Controllo umano: come funzionano human oversight, override e blocco del sistema nei processi sensibili?
• Log e audit: quali log vengono generati, per quanto tempo sono conservati e con quale livello di esportabilità per audit o incident review?
• Modelli GPAI usati a monte: quali modelli di AI per finalità generali alimentano il sistema e quali informazioni vengono fornite sulla loro conformità?
• Policy operative: quali procedure esistono su copyright, sicurezza, versioni, aggiornamenti e incident management?

Le PMI devono prestare attenzione agli obblighi di trasparenza.

Se un sistema AI interagisce direttamente con persone, come un chatbot sul sito o un assistente nel portale clienti, gli utenti devono essere informati del fatto che stanno parlando con un sistema di intelligenza artificiale, salvo che non sia già evidente dal contesto. Se l’AI genera o manipola contenuti audio, immagini, video o testi, possono scattare obblighi di marcatura o disclosure, soprattutto per contenuti pubblicati con finalità informative su temi di interesse pubblico.

Per il marketing significa definire una policy editoriale: cosa può generare l’AI, chi revisiona, quando si dichiara l’uso dell’AI e chi mantiene la responsabilità finale per evitare che la comunicazione aziendale perda tracciabilità e controllo.

Immaginiamo una PMI manifatturiera di 30 persone: 10 addetti in produzione, 20 in ufficio e, tra questi, 10 con accesso a Copilot Pro aziendale per attività quotidiane. Il commerciale lo usa per preparare bozze di offerte, il marketing per rielaborare testi tecnici, l’amministrazione per estrapolare dati da documenti, l’ufficio acquisti per confrontare fornitori, il service desk per scrivere risposte più chiare ai clienti.

Fin qui, l’uso resta in una logica di supporto all’operatività, dove l’AI aiuta a produrre contenuti, organizzare informazioni e velocizzare attività, ma la decisione finale resta in mano alle persone. L’azienda, quindi, crea un inventario degli utilizzi, vieta l’inserimento di dati riservati o personali non necessari, forma i dipendenti e stabilisce chi valida gli output prima dell’invio esterno.

Diverso è il caso dell’HR che usa l’AI per filtrare CV o valutare candidati perchè in questo caso la risposta dell’AI può incidere sull’accesso al lavoro, sulla selezione di una persona o sulla sua esclusione da un’opportunità. Il rischio aumenta se entrano in gioco i diritti, non solo la produttività. Pur utilizzando lo stesso strumento l’impatto è diverso, ed è proprio l’impatto a cambiare gli obblighi.

Nel primo scenario, l’azienda usa Copilot Pro come strumento di produttività per bozze, sintesi, riformulazioni, supporto documentale. Gli obblighi AI Act restano proporzionati e prevedono formazione minima ma concreta delle persone che usano l’AI, regole interne su dati riservati e personali, controllo umano sugli output, attenzione alla trasparenza se i contenuti vengono pubblicati o se un utente esterno interagisce direttamente con un sistema AI.

Nel secondo scenario, invece, l’HR usa l’AI per filtrare CV, ordinare candidature o valutare candidati. Qui il sistema entra nel perimetro high-risk dell’Allegato III, perché può incidere sull’accesso al lavoro e sulle opportunità professionali di una persona. Gli obblighi cambiano passo e prevedono uso conforme alle istruzioni del provider, supervisione umana affidata a persone competenti, controllo della qualità dei dati di input, monitoraggio del funzionamento, conservazione dei log se disponibili sotto il controllo dell’azienda, informativa ai lavoratori o alle persone interessate quando sono soggette all’uso del sistema. Serve un processo tracciabile.

Le sanzioni dell’AI Act sono rilevanti, ma vanno lette con criterio. Per la violazione delle pratiche vietate, il tetto arriva fino a 35 milioni di euro o al 7% del fatturato annuo mondiale dell’esercizio precedente, scegliendo il valore più alto per le imprese. Per molte violazioni relative agli obblighi degli operatori, inclusi provider, deployer e trasparenza, il tetto arriva fino a 15 milioni di euro o al 3% del fatturato annuo mondiale. Per informazioni scorrette, incomplete o fuorvianti verso autorità o organismi notificati, il tetto arriva fino a 7,5 milioni di euro o all’1% del fatturato.

Per PMI e startup, il regolamento prevede una clausola più favorevole perchè si applica il minore tra importo fisso e percentuale.

Per le PMI, l’AI Act può diventare un vantaggio competitivo se viene gestito come leva di affidabilità.

Un’azienda che documenta i propri casi d’utilizzo, forma i team, controlla i fornitori, mantiene log, informa utenti e lavoratori e sa spiegare dove interviene l’essere umano è più credibile in audit, gare, supply chain e trattative enterprise. La Commissione europea prevede anche misure di supporto specifiche per PMI e startup, come l’accesso prioritario a sandbox regolatorie, cioè ambienti controllati in cui testare sistemi AI con il supporto delle autorità prima del lancio, oltre ad attività di formazione, canali dedicati, template standardizzati, piattaforme informative e riduzione proporzionata di alcuni costi di valutazione della conformità.

Una PMI che si muove già ora evita rincorse costose dopo e può vendere la propria AI governance come parte della value proposition.

Per le PMI adottare l’intelligenza artificiale va ben oltre l’attivazione di un tool e la distribuzione di qualche licenza. Significa valutare il livello di rischio, proteggere i dati, definire regole interne, formare le persone, mantenere controllo sugli output e scegliere gli scenari d’utilizzo corretti.

Con BeeAI, la business unit di Infor dedicata a portare la potenza dell’intelligenza artificiale generativa all’interno delle piccole e medie imprese italiane, il percorso parte da readiness e compliance, passando dalla progettazione di soluzioni AI sicure e personalizzate, fino ad arrivare alla fase di adoption e Managed AI Ops. In questo modo l’AI generativa diventa un acceleratore di business ma dentro un modello che preveda una governance per costruire un’adozione dell’AI che sia utile, scalabile, sostenibile nel tempo e in linea con le normative.

Regolamento (UE) 2024/1689 — Artificial Intelligence Act
Fonte ufficiale completa del regolamento europeo sull’intelligenza artificiale.
Link: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng

Commissione europea — AI Act: quadro normativo e livelli di rischio
Pagina istituzionale utile per spiegare approccio basato sul rischio, calendario applicativo, sistemi high-risk, trasparenza e rischio minimo.
Link: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

AI Act Service Desk — Allegato III: sistemi AI ad alto rischio
Fonte utile per capire gli ambiti high-risk, tra cui biometria, infrastrutture critiche, istruzione, occupazione, accesso a servizi essenziali, law enforcement, migrazione, asilo e controllo delle frontiere.
Link: https://ai-act-service-desk.ec.europa.eu/en/ai-act/annex-3

AI Act Service Desk — Articolo 26: obblighi dei deployer di sistemi high-risk
Fonte centrale per spiegare cosa deve fare un’azienda che utilizza sistemi AI ad alto rischio: uso secondo istruzioni, supervisione umana, monitoraggio, gestione dei dati di input, conservazione dei log e informative ai lavoratori.
Link: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-26