Immagina di essere un lanaiolo nella Firenze di fine Duecento. Hai telai, garzoni, clienti che aspettano i tuoi panni. E un giorno qualcuno ti dice: «Hai letto lo statuto dell'Arte?». Ecco, l'AI Act è un po' questo. Vediamo insieme cosa dice davvero per una piccola o media impresa, senza allarmismi e senza scorciatoie.
Una bottega fiorentina e il suo statuto
Nella Firenze medievale chi lavorava la lana non lo faceva da solo: apparteneva all'Arte della Lana, una delle grandi corporazioni cittadine. Per esercitare bisognava essere iscritti alla matricola, il registro dei membri. L'Arte aveva i suoi consoli, che giudicavano le controversie, e soprattutto aveva uno statuto scritto: regole sulla qualità dei panni, sui controlli, sulle sanzioni per chi imbrogliava. Gli statuti non erano scolpiti nella pietra: venivano rivisti e aggiornati nel tempo, man mano che il mestiere cambiava.
E voi direte: ma cosa c'entra un lanaiolo con ChatGPT? C'entra, perché quegli statuti facevano una cosa molto moderna. Non vietavano di lavorare la lana; dicevano a quali condizioni il cliente poteva fidarsi di ciò che compravi. Più la lavorazione era delicata, più erano severi i controlli. E il lanaiolo che conosceva lo statuto dormiva sonni tranquilli, mentre quello che lo ignorava viveva nel timore dell'ispezione.
Ecco: la tua azienda oggi è in quella stessa bottega. Lo statuto si chiama Regolamento (UE) 2024/1689, per tutti AI Act.
Che cos'è l'AI Act, in due righe
L'AI Act è il regolamento europeo sull'intelligenza artificiale, pubblicato su EUR-Lex ed entrato in vigore il 1° agosto 2024. È un regolamento, quindi si applica direttamente in tutti gli Stati membri, Italia compresa, senza bisogno di una legge di recepimento.
La sua idea centrale è la stessa degli statuti delle Arti: regole proporzionate al rischio. Il regolamento distingue quattro livelli:
- Pratiche vietate: usi dell'AI considerati inaccettabili, come il social scoring o le tecniche manipolative che sfruttano le vulnerabilità delle persone.
- Sistemi ad alto rischio: per esempio l'AI usata per selezionare il personale, valutare i lavoratori o decidere l'accesso al credito delle persone. Qui gli obblighi sono pesanti.
- Rischio limitato: sistemi che richiedono soprattutto trasparenza, come i chatbot (le persone devono sapere che parlano con una macchina) e i contenuti generati o manipolati.
- Rischio minimo: la grande maggioranza degli usi quotidiani, come filtri antispam, correttori, assistenti per scrivere una bozza. Nessun obbligo specifico.
Il regolamento distingue anche tra chi sviluppa un sistema di AI (il fornitore) e chi lo usa nella propria attività (il deployer, cioè l'utilizzatore). Quasi tutte le PMI italiane sono nella seconda categoria: usano strumenti fatti da altri.
Il calendario: cosa si applica già
L'AI Act entra in applicazione a tappe. Ecco quelle principali previste dal testo:
- 2 febbraio 2025: si applicano i divieti delle pratiche inaccettabili e l'obbligo di alfabetizzazione in materia di AI (articolo 4): chi usa sistemi di AI deve fare in modo che il personale abbia competenze sufficienti per usarli con consapevolezza.
- 2 agosto 2025: si applicano le regole per i modelli di AI per finalità generali (quelli che stanno dietro ai grandi assistenti), la struttura di governance e il sistema delle sanzioni.
- 2 agosto 2026: si applica la maggior parte delle restanti disposizioni, tra cui gli obblighi di trasparenza.
- 2 agosto 2027: si applicano le regole per l'AI ad alto rischio integrata in prodotti già regolati (macchinari, dispositivi medici e simili).
Una nota onesta: per gli obblighi sui sistemi ad alto rischio l'Unione europea ha avviato un percorso di semplificazione e di possibile rinvio delle scadenze, legato alla disponibilità delle norme tecniche. Prima di pianificare investimenti importanti, verifica sempre il calendario aggiornato sul sito della Commissione europea. Il Professore ama la storia, ma le date di legge si controllano alla fonte.
In Italia, poi, è in vigore dal 10 ottobre 2025 la legge 132/2025 sull'intelligenza artificiale, che affianca il regolamento europeo con principi e regole nazionali, per esempio per le professioni intellettuali, la sanità e il lavoro.
Cosa cambia davvero per una PMI che usa l'AI
Facciamo un esempio concreto. Immagina un'azienda di 20 persone che usa un assistente AI per scrivere email e preventivi, un chatbot sul sito per le domande dei clienti e un software che riassume i verbali delle riunioni. Cosa deve fare?
1. Formare le persone. L'obbligo di alfabetizzazione è già applicabile. Non serve un master: serve che chi usa l'AI sappia cosa fa lo strumento, dove sbaglia, quali dati non deve inserire e quando serve un controllo umano. Una formazione pratica, documentata, adatta al ruolo.
2. Essere trasparenti. Se il chatbot del sito risponde ai clienti, le persone devono capire che stanno parlando con un sistema automatico. Se pubblichi immagini o testi generati o manipolati che possono sembrare autentici, in molti casi va dichiarato.
3. Controllare di non sconfinare nell'alto rischio. Qui sta il punto che molti sottovalutano. Usare l'AI per scrivere un'email è rischio minimo. Usarla per scremare i curriculum o valutare le prestazioni dei dipendenti rientra tra i casi ad alto rischio. In quel caso chi la usa ha obblighi precisi: seguire le istruzioni del fornitore, garantire una sorveglianza umana competente, conservare i registri, informare i lavoratori.
4. Non dimenticare il GDPR. L'AI Act non sostituisce il Regolamento generale sulla protezione dei dati: lo affianca. Se nello strumento entrano dati personali di clienti o dipendenti, valgono tutte le regole di sempre: base giuridica, informativa, contratti con i fornitori, sicurezza.
E le sanzioni?
Le sanzioni dell'AI Act sono importanti: per le pratiche vietate si arriva fino a 35 milioni di euro o al 7% del fatturato mondiale annuo. Per le PMI, però, il regolamento prevede che si applichi l'importo più basso tra la cifra fissa e la percentuale. Il messaggio non è «fai attenzione o chiudi»: è «fai le cose con ordine». Proprio come lo statuto dell'Arte: chi lavorava bene non temeva i consoli.
Gli errori più comuni
- Pensare che l'AI Act riguardi solo le big tech. I fornitori hanno gli obblighi più pesanti, ma anche chi usa l'AI ha i suoi.
- Comprare strumenti senza fare l'inventario. Molte aziende non sanno quanti strumenti AI usano davvero i propri collaboratori, spesso con account personali.
- Usare l'AI per decisioni sulle persone senza accorgersene. Un filtro automatico sui curriculum «per risparmiare tempo» è esattamente il caso da non improvvisare.
- Fare formazione una volta e basta. Gli strumenti cambiano ogni mese: anche le regole interne vanno aggiornate, come gli statuti medievali.
Come ti può aiutare Penzai
Il nostro lavoro parte sempre dalle persone e dai processi, non dagli strumenti. In un percorso di strategia AI mappiamo gli usi attuali, li classifichiamo per livello di rischio e scriviamo con te regole interne semplici. Con la formazione AI costruiamo l'alfabetizzazione che il regolamento chiede, su misura per i ruoli della tua azienda. Se vuoi capire come scegliere gli strumenti con criterio, leggi anche Non automatizziamo tutto. Automatizziamo ciò che ha senso, oppure guarda la pagina dedicata alle PMI.
Cosa fare lunedì mattina
- Fai l'inventario. Chiedi a ogni reparto quali strumenti di AI usa, per cosa e con quali dati. Una tabella con tre colonne basta.
- Cerca l'alto rischio. Controlla se qualche strumento interviene su selezione del personale, valutazione dei dipendenti o decisioni sui clienti. Se sì, fermati e approfondisci prima di andare avanti.
- Pianifica la formazione. Fissa una sessione pratica per chi usa l'AI ogni giorno e annota cosa avete fatto: è il primo passo per l'alfabetizzazione richiesta dall'articolo 4.
Vuoi farlo con qualcuno che lo ha già fatto? Prenota una call conoscitiva gratuita: in mezz'ora capiamo insieme dove si trova la tua azienda rispetto all'AI Act.
Il Professore di Penzai
