EU AI Act per le PMI: obblighi, scadenze, to-do

La legge UE sull'IA (Regolamento sull'IA, Regolamento (UE) 2024/1689) regola l'uso dell'intelligenza artificiale nell'UE in base al rischio. Per la maggior parte delle piccole e medie imprese che utilizzano solo strumenti di IA come chatbot, assistenti di dattilografia o assistenti telefonici, due obblighi sono oggi cruciali: dal 2 febbraio 2025, le aziende devono adottare misure che supportino la competenza in materia di IA dei propri dipendenti. Dal 2 agosto 2026, l'obbligo di trasparenza è in vigore: le persone devono essere in grado di riconoscere di interagire con un sistema di IA. Gli obblighi rigorosi per l'IA ad alto rischio riguardano solo alcune aree di applicazione e si applicheranno solo a partire da dicembre 2027.

Questo articolo classifica ciò che riguarda la tua azienda e si conclude con una checklist. Non sostituisce la consulenza legale. A ottobre 2026.

Fornitore o operatore: qual è il ruolo della vostra azienda?

Gli obblighi del Regolamento sull'IA dipendono dal ruolo:

I fornitori sviluppano un sistema di IA o lo fanno sviluppare e commercializzare a loro nome, ad esempio un produttore di software.
Gli operatori utilizzano un sistema di IA sotto la propria responsabilità, ad esempio un'azienda artigianale che utilizza un assistente telefonico AI o un ufficio che progetta testi con un modello linguistico.

La stragrande maggioranza delle PMI sono operatori. Tuttavia, chiunque offra o modifichi significativamente un sistema di IA di terze parti sotto il proprio marchio può diventare fornitore a sua volta. Questo è particolarmente rilevante per le case di software e le agenzie.

I livelli di rischio della Regolamentazione dell'IA

Livello di rischio	Esempi	Conseguenze
Rischio inaccettabile	Punteggio sociale, tecniche manipolative, riconoscimento delle emozioni sul posto di lavoro (con eccezioni)	bannato dal 2 febbraio 2025
Alto rischio	IA nella selezione del personale, affidabilità creditizia, accesso all'istruzione, infrastrutture critiche	obblighi severi, per l'Allegato III dal 2 dicembre 2027
Rischio di trasparenza	Chatbot, assistenti telefonici, immagini, testi, voci generate dall'IA	Segna dal 2 agosto 2026
Rischio minimo	Filtraggio antispam, correzione ortografica, ricerca documenti	Nessun obbligo speciale se non la competenza nell'IA

Le tipiche applicazioni d'ufficio nelle PMI, come la stesura di messaggi, la ricerca di documenti, l'ordinamento delle richieste o la risposta alle chiamate, rientrano nei livelli di "trasparenza" o "minimo". Attenzione nella gestione dei candidati: l'IA che ordina o valuta le domande è una delle applicazioni ad alto rischio.

Cosa è in vigore da febbraio 2025: competenza dell'IA e divieti

Secondo l'art. 4, i fornitori e gli operatori devono adottare misure per supportare lo sviluppo della competenza in IA del proprio personale e di altre persone che utilizzano i sistemi IA per loro conto. Dalla modifica tramite l'Omnibus Digitale (in vigore dal 27 luglio 2026), non è obbligato a garantire un certo livello di competenza per le singole persone – rimane l'obbligo di agire. Vengono tenute in considerazione conoscenze pregresse, formazione, contesto di implementazione e le persone interessate dall'uso dell'IA. Ciò che ciò significa in termini concreti è spiegato nell'articolo Competenza IA secondo l'Art. 4: Cosa significa l'obbligo di formazione.

Dalla stessa data, alcune pratiche di IA sono state anch'esse vietate (Art. 5). Per le normali applicazioni PMI, esse svolgono praticamente nessun ruolo.

Cosa è in vigore da agosto 2026: Obblighi di trasparenza

Dal 2 agosto 2026 sono in vigore gli obblighi di trasparenza previsti dall'art. 50. Due casi in particolare sono rilevanti per le PMI:

Chatbot e assistenti telefonici: Chiunque parli o scriva a un sistema di IA deve imparare al più tardi all'inizio che si tratta di un'IA, a meno che ciò non sia comunque ovvio. Una frase come "Stai parlando con l'assistente digitale di ..." di solito è sufficiente.
Deepfake e testi AI su temi di interesse pubblico: Immagini, video e registrazioni sonore generati o manipolati artificialmente che sembrano reali devono essere dichiarati come generati dall'IA. Questo vale anche per testi su argomenti di interesse pubblico, a meno che un essere umano non li abbia controllati editorialmente e ne sia responsabile.

Se usi un chatbot AI o un assistente telefonico AI, dovresti quindi integrare fermamente la nota nel saluto.

IA ad alto rischio: posticipata a dicembre 2027

Originariamente, gli obblighi per l'IA ad alto rischio previsti dall'Allegato III dovevano applicarsi da agosto 2026. Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus, ha posticipato questa data al 2 dicembre 2027; per l'IA nei prodotti dell'Allegato I (come macchinari o dispositivi medici), si applica il 2 agosto 2028. Chiunque utilizzi o preveda di utilizzare l'IA nella selezione del personale, nella valutazione delle prestazioni o nei controlli del credito dovrebbe impiegare il tempo, poiché gli obblighi per gli operatori (art. 26) includono, tra le altre cose, la supervisione umana, la registrazione e l'informazione dei colpiti.

Chi controlla, e cosa minaccia?

In Germania, secondo la legge sulla sorveglianza del mercato e la promozione dell'innovazione dell'IA (KI-MIG) del 22 luglio 2026, l'Agenzia Federale delle Rete è generalmente l'autorità di sorveglianza del mercato; autorità specialistiche come BaFin sono responsabili di determinati ambiti. Le multe sono regolate dall'art. 99 dell'Ordinanza sull'IA. Le violazioni degli obblighi di trasparenza possono essere punite con fino a 15 milioni di euro o il 3% del fatturato globale annuo; le PMI sono soggette al valore inferiore dei due. Il regolamento non prevede una multa separata per la competenza dell'IA ai sensi dell'art. 4. Tuttavia, la mancanza di formazione può essere un penale in caso di errori e questioni di responsabilità.

Checklist per le PMI

Stocktaking: Quali strumenti di IA vengono utilizzati in azienda, ufficialmente e ufficiosamente? Quest'ultimo in particolare è comune, vedi l'IA ombra all'interno dell'azienda.
Classifica: Per ogni strumento, registra il ruolo (operatore/fornitore) e il livello di rischio.
Garantire la competenza dell'IA: La formazione per tutti coloro che utilizzano l'IA è documentata e adattata ai compiti.
Implementa trasparenza: notifiche in chatbot, assistenti telefonici e immagini o video generati dall'IA.
Regole di definizione: Una breve linea guida sull'IA chiarisce quali strumenti sono ammessi e quali dati non appartengono a essi.
Controlla la protezione dei dati: Il regolamento sull'IA non sostituisce il GDPR. I dati personali necessitano ancora di una base legale e di contratti per l'elaborazione degli ordini.
Annota l'alto rischio: chi utilizza l'IA nelle risorse umane pianifica i requisiti per dicembre 2027.

La consulenza e l'implementazione accompagnata sono idonee al finanziamento: attraverso il coaching INQA, il governo federale copre l'80% dei costi di consulenza fino a 1.200 € al giorno per un massimo di 12 giorni, cioè fino a 11.520 € di sussidio. Nel Meclemburgo-Pomerania Occidentale e negli altri nuovi stati federali, anche il finanziamento BAFA per la consulenza è idoneo all'80% fino al 31.12.2026 (50% nei vecchi stati federali). Il finanziamento è previsto per la consulenza, non per il software. Il controllo dei finanziamenti mostra quale programma si adatta.

Domande Frequenti

La legge UE sull'IA si applica anche alle piccole imprese?

Sì. Il Regolamento sull'IA si applica a tutti coloro che utilizzano o offrono sistemi di IA in modo professionale, indipendentemente dalla dimensione dell'azienda. Ci sono facilitazioni per le PMI, come limiti massimi più bassi per le multe e documentazione semplificata per i fornitori, ma non esistono eccezioni generali.

Devo etichettare ChatGPT all'interno dell'azienda?

Se i dipendenti usano ChatGPT internamente per progettare testi, non devono essere etichettati ovunque. I chatbot in contatto con il cliente, immagini, video e voci IA ingannevolmente reali, e testi AI su argomenti di interesse pubblico senza revisione editoriale umana sono soggetti a etichetta.

Da quando si applica l'obbligo di fornire formazione ai sensi dell'AI Act?

L'obbligo, ai sensi dell'art. 4, di adottare misure sulla competenza dell'IA si applica a tutte le aziende che utilizzano sistemi IA dal 2 febbraio 2025. Da luglio 2026 è stato chiarito che non è necessario garantire un livello specifico di competenza.

Chi è responsabile dell'AI Act in Germania?

Secondo il KI-MIG, la Federal Network Agency è generalmente l'autorità responsabile per la sorveglianza dei mercati. BaFin è responsabile dell'IA nel settore finanziario, e le rispettive autorità specialistiche sono responsabili di alcuni prodotti.

Quando si applicano gli obblighi per l'IA ad alto rischio?

Per sistemi ad alto rischio secondo l'Allegato III, come nell'area delle risorse umane, dal 2 dicembre 2027. Per l'IA nei prodotti regolamentati secondo l'Allegato I dal 2 agosto 2028. Entrambe le date sono state posticipate dal Regolamento (UE) 2026/1744.

Passo successivo

Se vuoi sapere quali delle tue applicazioni AI attivano quali obblighi, la nostra consulenza AI ti supporterà. Per l'obbligo di formazione, offriamo formazione AI su misura per i tuoi strumenti e compiti.

Fonti: art. 4, art. 50, art. 99 e art. 113 del Regolamento sull'AI; Regolamento (UE) 2026/1744; KI-MIG.