Quasi tutte le PMI che mi scrivono in queste settimane fanno la stessa domanda sbagliata. Chiedono in quale categoria di rischio ricade il loro sistema di intelligenza artificiale, ma è una domanda a cui si può rispondere solo in un secondo momento.
La prima domanda è sul ruolo che si ricopre per l’AI Act. Il Regolamento europeo assegna obblighi diversi a chi sviluppa un sistema e a chi lo usa, e assegna anche scadenze diverse. Sbagliare l’attribuzione significa lavorare sui documenti sbagliati, oppure convincersi di avere più tempo del dovuto per mettersi a norma.
Il 2 agosto 2026 è il giorno in cui questa distinzione ha smesso di essere teorica.
Il 2 agosto non è il giorno in cui parte l’AI Act
Il Regolamento si applica per fasi. Dal 2 febbraio 2025 valgono i divieti dell’articolo 5, dal 2 agosto 2025 gli obblighi sui modelli per finalità generali.
Il 2 agosto 2026 è la data generale di applicazione, rimasta ferma anche dopo il pacchetto di semplificazione approvato quest’estate. Da quel giorno sono diventati esigibili gli obblighi di trasparenza dell’articolo 50, che riguardano un numero di imprese molto più ampio di quanto si creda.
Indice degli argomenti
Aziende e AI Act: come capire quale ruolo si ha
Il 20 luglio la Commissione ha pubblicato le Linee guida sull’attuazione dell’articolo 50, che si affiancano al Codice di buone pratiche sulla trasparenza dei contenuti generati dall’AI. L’adesione al Codice è volontaria, ma chi non aderisce deve dimostrare di aver adottato misure equivalenti, e davanti a un controllo parte con più domande a cui rispondere.
La domanda giusta è che ruolo hai per l’AI Act
Il Regolamento riconosce due figure principali.
- Sei provider se sviluppi un sistema, se lo immetti sul mercato con il tuo marchio, se lo modifichi in modo sostanziale o se ne cambi la finalità prevista.
- Sei deployer se usi sotto la tua responsabilità un sistema costruito da altri.
Qui risolvo il primo malinteso, perché molti founder pensano che usare lo strumento di qualcun altro li sollevi da tutto. L’unica esclusione riguarda le persone fisiche che usano l’intelligenza artificiale in attività personali non professionali.
Un’azienda che usa anche solo un assistente conversazionale al proprio interno è un deployer a tutti gli effetti, con obblighi suoi.
Sull’altro asse, c’è il livello del rischio e su questo devo chiarire che la maggior parte degli strumenti che una PMI usa ogni giorno resta fuori dall’alto rischio. Le due voci dell’Allegato III che intercettano davvero una piccola impresa sono la selezione e la gestione del personale e la valutazione del merito creditizio.
Come una startup diventa provider senza accorgersene
Il passaggio da deployer a provider non richiede di addestrare un modello da zero. Bastano tre situazioni che nelle startup italiane sono ordinarie:
- rivendi o distribuisci con il tuo marchio un sistema costruito da altri;
- lo modifichi in modo sostanziale;
- ne cambi la finalità prevista.
La qualificazione la determinano i fatti, non quello che avete scritto nel contratto.
Un caso a parte è il fine tuning di un modello per finalità generali. Chi mette mano al modello entra nel Capo V del Regolamento, che si applica dal 2 agosto 2025. Non è una scadenza futura, ma un arretrato.
Il malinteso della proroga di dicembre
Su questo punto in queste settimane circola parecchia confusione.
Il pacchetto di semplificazione ha introdotto un termine al 2 dicembre 2026. Riguarda i fornitori di sistemi che generano contenuti sintetici che erano già sul mercato prima del 2 agosto 2026, ai quali viene concesso tempo fino a dicembre per implementare la marcatura leggibile dalle macchine.
È una proroga tecnica in capo a chi fornisce il sistema, non a chi pubblica i contenuti.
Se la tua agenzia usa uno strumento generativo per produrre gli asset che consegna ai clienti, quella proroga non ti riguarda. Sei un deployer e per te la data è il 2 agosto.
Se sei deployer, cosa è cambiato il 2 agosto?
Gli obblighi del deployer pesano meno di quelli del provider, ma esistono e sono concreti.
- Se pubblichi un’immagine, un video o un audio che ritrae persone o eventi in modo realistico ma non autentico, devi dichiarare che il contenuto è artificiale.
- Se pubblichi testi generati dall’AI per informare il pubblico su questioni di interesse pubblico vale lo stesso, salvo che ci sia stata revisione umana e qualcuno si assuma la responsabilità editoriale.
- Se usi sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, devi informare le persone esposte.
Attenzione all’ultimo punto, perché il riconoscimento delle emozioni sul luogo di lavoro non è solo materia di trasparenza, è vietato dal febbraio 2025, ma alcuni strumenti di analisi delle performance o dei colloqui in video ci finiscono dentro senza che nessuno se ne sia accorto.
Resta poi il capitolo dei dati, che l’articolo 50 non tocca. Quello che immetti nello strumento continua a rispondere al GDPR, quindi, vale la pena sapere se il fornitore usa i tuoi input per addestrare e se hai una base giuridica per i dati dei clienti che ci finiscono dentro.
Se sei provider a rischio limitato
Se il tuo prodotto integra un chatbot, un generatore di contenuti o un assistente rivolto a utenti esterni, gli obblighi diventano di progettazione, non di comunicazione.
- L’utente deve sapere che sta interagendo con un sistema di AI, salvo che la cosa sia evidente.
- I contenuti sintetici che il sistema produce vanno marcati in un formato leggibile dalle macchine.
Le Linee guida del 20 luglio insistono sul fatto che la trasparenza non debba essere un’etichetta da applicare al prodotto finito, ma una scelta di architettonica su cui costruire.
Il contratto con il fornitore decide il tuo ruolo
Molte PMI comprano intelligenza artificiale in un abbonamento e non hanno mai letto cosa il fornitore dichiara di essere.
Tre domande da fare prima del prossimo rinnovo:
- quale ruolo si attribuisce il fornitore e quale attribuisce a te;
- se il sistema rispetta la marcatura dell’articolo 50, paragrafo 2, e con quale standard;
- quali istruzioni per l’uso ti consegna, perché è su quelle che si misura il tuo utilizzo conforme.
Se il fornitore non risponde, hai comunque ottenuto un’informazione utile per operare le tue scelte.
Essere piccoli conta?
La dimensione della tua azienda non è un’esenzione, è più un’attenuante, diciamo una corsia agevolata.
- Per PMI e startup la sanzione è il minore fra la percentuale sul fatturato e l’importo fisso, non il maggiore. Il pacchetto di semplificazione ha esteso la stessa regola alle piccole imprese a media capitalizzazione.
- La documentazione tecnica dei sistemi ad alto rischio può essere prodotta in forma semplificata, su un modello che la Commissione deve predisporre e che gli organismi notificati sono tenuti ad accettare.
- Il sistema di gestione della qualità va proporzionato alle dimensioni dell’organizzazione.
- Gli spazi di sperimentazione istituiti a livello europeo prevedono accesso prioritario per PMI e start-up.
Chi lavora su un prodotto ad alto rischio ha inoltre più tempo, perché le scadenze sono slittate al 2 dicembre 2027 per i sistemi dell’Allegato III e al 2 agosto 2028 per quelli incorporati in prodotti già regolati. Il rinvio, però, serve a costruire tutto ciò che serve, non ad attendere l’ultimo minuto.
Le verifiche da avviare adesso
- Elenca gli strumenti di AI realmente in uso, compresi quelli che i singoli hanno adottato per conto proprio.
- Attribuisci un ruolo a ciascuno, provider o deployer, mettilo per iscritto con la motivazione.
- Verifica le tre situazioni dell’articolo 25, perché sono quelle che spostano un prodotto dalla parte del fornitore.
- Controlla i contenuti che pubblichi e stabilisci caso per caso quando la dichiarazione serve.
- Documenta la formazione. Il nuovo testo dell’articolo 4 chiede misure a sostegno dello sviluppo delle competenze, non un livello garantito per ogni persona, quindi, ciò che conta è la traccia di quello che avete fatto.
- Monitora sempre i dati. Chi vuole testare i propri strumenti per individuare e correggere le distorsioni può contare su una base giuridica introdotta quest’estate, disponibile da subito ed estesa anche ai deployer.
La sanzione è il costo minore
Nella pratica di questi mesi il rischio più concreto, per una piccola impresa, non arriva dall’autorità di vigilanza. Il vero costo è un cliente business che, prima di firmare, chiede come funziona il sistema, chi risponde di cosa, dove sta scritto e decide di non firmare il contratto.
Chi ha già attribuito i ruoli e tenuto traccia delle scelte risponde in mezza giornata, ma chi non lo ha fatto scopre di dover ricostruire tutto mentre la trattativa si raffredda.
La domanda per settembre non è “Quanto rischio di essere sanzionato?”, ma “Quante trattative sto perdendo solo perché non so rispondere dei miei sistemi?”.
Partecipa alla community