Dove viene usata?
Elenca strumenti, funzioni e automazioni. Includi gli usi spontanei di ChatGPT, Copilot e simili: la shadow AI è comunque un uso aziendale.
Guida operativa · aggiornata 28 luglio 2026
AI Act per le PMI: cosa fare adesso.
Non serve trasformarlo in un progetto legale infinito. Serve sapere dove l'AI entra nei processi, quali persone tocca e chi controlla ciò che decide o comunica.
Una guida per imprenditori e manager. Non sostituisce una consulenza legale.
La domanda giusta
Non “usiamo l'AI?”. Dove decide, comunica o tratta informazioni?
Una PMI può usare dieci strumenti AI senza averne mai acquistato uno come “sistema AI”: sono già dentro CRM, software HR, piattaforme marketing, assistenza clienti e applicazioni usate dai dipendenti.
Tocca persone o decisioni?
Selezione del personale, valutazioni, credito, sicurezza e accesso a servizi richiedono molta più attenzione di una bozza interna.
Chi vede e approva?
Definisci quando dichiarare che c'è un'AI, chi controlla l'output e quali azioni non possono partire senza una persona.
Le date che contano
La conformità è già iniziata. Le scadenze non arrivano tutte insieme.
Pratiche vietate e alfabetizzazione AI
Le organizzazioni devono evitare gli usi proibiti e sostenere una competenza adeguata al ruolo, al contesto e al rischio di chi usa l'AI.
Trasparenza e vigilanza
Chatbot e sistemi interattivi devono rendere chiaro che l'utente sta parlando con un'AI. Entrano inoltre in applicazione le regole di trasparenza previste dall'articolo 50.
Sistemi ad alto rischio dell'Allegato III
Diventano applicabili gli obblighi per usi come selezione e gestione del personale, credito e altri ambiti ad alto impatto.
AI dentro prodotti regolamentati
Scadenza per i sistemi ad alto rischio incorporati in prodotti soggetti a specifiche norme di sicurezza.
Calendario aggiornato dopo l'AI Omnibus entrato in vigore il 27 luglio 2026. Le date possono dipendere dal ruolo e dal caso d'uso.
Il tuo ruolo
Usare un software non è la stessa cosa che metterlo sul mercato
Se usi strumenti di terzi
Di solito sei un deployer: scegli il sistema e lo usi nei tuoi processi. Devi rispettarne le istruzioni, assegnare supervisione competente, controllare i dati in ingresso e monitorare gli effetti quando richiesto.
Se lo vendi col tuo nome
Se sviluppi, fai sviluppare o commercializzi un sistema sotto il tuo marchio — o ne cambi sostanzialmente scopo e funzionamento — potresti diventare provider, con responsabilità più ampie.
Rischio, in pratica
È il processo a determinare il rischio, non il nome del modello
Supporto interno e bozze
Riassunti, traduzioni, analisi iniziali e testi rivisti da una persona sono normalmente il punto di partenza più semplice. Restano da gestire dati, riservatezza e qualità.
Chatbot e contenuti rivolti al pubblico
Qui conta la trasparenza: l'interlocutore deve capire che sta interagendo con un sistema AI; alcuni contenuti sintetici devono essere identificabili.
Persone, credito e accesso a opportunità
Recruiting, valutazione dei lavoratori, scoring e decisioni che incidono sui diritti possono rientrare nell'alto rischio. Serve un'analisi specialistica prima di procedere.
Pratiche vietate
Manipolazione dannosa, sfruttamento di vulnerabilità, alcune forme di scoring sociale e specifici usi biometrici non sono un terreno da “testare”: vanno esclusi.
Piano operativo
Sette mosse gestibili, anche senza un ufficio compliance
- Nomina un responsabile interno.Una persona che tenga insieme direzione, IT o fornitori, privacy e chi usa davvero gli strumenti.
- Crea il registro degli usi AI.Strumento, scopo, reparto, dati usati, persone coinvolte, output e fornitore.
- Classifica per impatto.Prima le applicazioni che parlano con clienti, valutano persone o prendono decisioni.
- Scrivi una policy breve.Cosa si può inserire, cosa no, quali strumenti sono approvati e quando serve la revisione umana.
- Controlla i fornitori.Contratti, uso dei dati, sicurezza, documentazione, modifiche del servizio e possibilità di esportare o cancellare.
- Inserisci trasparenza e approvazioni.Avvisi chiari verso gli utenti e gate umani prima delle azioni sensibili o irreversibili.
- Forma per ruolo e conserva evidenze.Direzione, commerciale, HR e tecnico non hanno bisogno dello stesso corso. Registra cosa è stato fatto e aggiornalo.
Non aspettare il documento perfetto
Parti dal processo più esposto e rendilo governabile
Un buon assessment non produce cento pagine: produce una mappa degli usi, tre priorità, regole comprensibili e responsabilità assegnate.
Questa pagina ha finalità informativa e non costituisce parere legale. Per sistemi ad alto rischio, dati sensibili o settori regolamentati coinvolgiamo competenze legali e privacy specialistiche.
Fonti: Commissione europea — quadro normativo e calendario · AI literacy · obblighi di trasparenza dell'articolo 50.