AI Act 2026: cosa devono fare davvero professionisti e PMI

Il regolamento europeo adotta un approccio basato sul rischio. Molti utilizzi quotidiani ricadono in aree a rischio limitato o minimo e non sono soggetti agli stessi adempimenti previsti per i sistemi ad alto rischio. Usare un assistente per riorganizzare appunti, predisporre una bozza o riassumere materiale non equivale automaticamente a impiegare un sistema che decide l’accesso al lavoro, al credito o a un servizio essenziale.

La prima attività utile è quindi classificare i casi d’uso, evitando sia la sottovalutazione sia l’idea che ogni impiego richieda lo stesso livello di controllo.

Gli obblighi cambiano a seconda che un soggetto sviluppi un sistema, lo immetta sul mercato, lo distribuisca oppure lo utilizzi sotto la propria autorità. La maggior parte delle PMI e dei professionisti sarà soprattutto utilizzatore, definito dal regolamento come deployer, di strumenti forniti da terzi. Questo non elimina le responsabilità: occorre usare il sistema secondo la sua finalità, comprendere le istruzioni del fornitore e governare le persone che lo impiegano.

Tuttavia è diverso dal progettare o commercializzare un modello di AI. Confondere i ruoli porta facilmente ad applicare obblighi che non appartengono al proprio caso o, al contrario, a ignorare quelli effettivamente rilevanti.

L’articolo 4 richiede a fornitori e utilizzatori di adottare misure affinché il personale e le altre persone che operano per loro conto possiedano un livello sufficiente di alfabetizzazione sull’AI. Non esiste un unico corso valido per tutti. La preparazione deve tenere conto delle competenze delle persone, del contesto d’uso e dei soggetti sui quali il sistema può produrre effetti.

Per una PMI questo può tradursi in regole semplici ma documentate: strumenti autorizzati, dati che non devono essere inseriti, limiti delle risposte, obbligo di verifica, gestione degli errori e referente al quale segnalare un problema.

Se un sistema è destinato a interagire direttamente con una persona, questa deve essere informata che sta dialogando con un sistema di intelligenza artificiale, salvo che ciò sia evidente nel contesto. Un chatbot di assistenza non dovrebbe quindi presentarsi come un operatore umano.

La comunicazione deve arrivare al momento giusto e con parole comprensibili. Una formula nascosta nelle condizioni generali può non raggiungere l’obiettivo: l’utente deve comprendere la natura dell’interazione prima di attribuire al sistema aspettative o responsabilità proprie di una persona.

L’AI Act definisce deepfake il contenuto di immagine, audio o video generato o manipolato dall’AI che assomiglia a persone, oggetti, luoghi, entità o avvenimenti esistenti e può apparire falsamente autentico. In questi casi la natura artificiale deve essere dichiarata. Un grafico astratto, uno schema di processo o un’infografica che non pretende di documentare la realtà non diventa automaticamente un deepfake.

La scelta corretta non è quindi apporre la scritta «AI generated» su ogni elemento grafico, ma verificare se il contenuto possa indurre una persona a considerare autentica una rappresentazione artificiale.

Per i testi generati o manipolati dall’AI e pubblicati per informare il pubblico su questioni di interesse pubblico è prevista una disclosure. Il regolamento contempla però un’eccezione quando il contenuto è sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica mantiene la responsabilità della pubblicazione.

Questo passaggio è importante: utilizzare l’AI come supporto non elimina la responsabilità di chi firma, verifica e pubblica. L’organizzazione deve poter spiegare chi ha controllato il contenuto, su quali fonti e secondo quali criteri.

In Italia la legge 132/2025 ha affiancato al quadro europeo disposizioni nazionali. Per le professioni intellettuali stabilisce che l’AI sia utilizzata per attività strumentali e di supporto, mantenendo prevalente il lavoro intellettuale del professionista, e prevede un’informazione chiara, semplice ed esaustiva al cliente sui sistemi utilizzati. Il punto non è elencare ogni funzione automatica contenuta nei software, ma rendere trasparente l’impiego dell’AI quando incide concretamente sulla prestazione professionale e sul rapporto fiduciario.

La conformità all’AI Act non sostituisce il GDPR, gli obblighi di riservatezza o la protezione delle informazioni aziendali. Prima di inserire dati in un servizio generativo bisogna sapere dove vengono trattati, se vengono conservati, se possono essere utilizzati per migliorare il servizio e quali impostazioni contrattuali sono disponibili.

Nomi di clienti, listini, documenti contabili, sorgenti, credenziali e informazioni progettuali non dovrebbero essere trasferiti in uno strumento soltanto perché rende più veloce una singola attività. L’utilità deve essere valutata insieme alla legittimità e alla sicurezza.

La revisione umana è efficace soltanto se chi controlla possiede competenza, tempo e autorità per modificare o rifiutare il risultato. Copiare una risposta, leggerla velocemente e inoltrarla non costituisce un controllo sostanziale.

Serve verificare fatti, calcoli, riferimenti, tono, dati personali e coerenza con il contesto. Nei processi più delicati è utile stabilire quali risultati richiedano una seconda verifica e quali decisioni non possano essere delegate al sistema.

Prima di adottare un nuovo strumento non basta controllare il prezzo o la qualità apparente delle risposte. Occorre capire chi è il fornitore, quali dati riceve, quale ruolo dichiara, come gestisce sicurezza e aggiornamenti, quali funzioni possono cambiare e quali garanzie offre.

È inoltre necessario distinguere l’ambiente gratuito, spesso destinato a un uso individuale, dalle versioni professionali che possono prevedere condizioni differenti per dati, amministrazione e controllo degli accessi. Le dichiarazioni commerciali devono diventare requisiti verificabili.

Una regola aziendale sull’AI è utile, ma rischia di restare astratta. Un registro essenziale permette invece di sapere quale strumento viene utilizzato, da quali persone, per quale finalità, con quali categorie di dati, quale risultato produce, chi lo controlla e quale rischio è stato riconosciuto.

Non serve trasformarlo in un progetto infinito. Si può iniziare dai casi già presenti: scrittura, riunioni, analisi documentale, assistenza, selezione, marketing e automazioni. La mappa rende visibili gli usi non autorizzati e consente di assegnare priorità.

Una PMI può iniziare con sette azioni: censire strumenti e casi d’uso; identificare responsabili e persone coinvolte; vietare l’inserimento non autorizzato di dati riservati; classificare i casi in base a impatto e rischio; definire controlli umani proporzionati; formare il personale con esempi reali; predisporre informative e segnalazioni dove necessarie. A queste attività va aggiunta una revisione periodica, perché strumenti, condizioni contrattuali e modalità d’uso cambiano rapidamente. La conformità non è un documento da archiviare, ma un processo da mantenere.

Il rischio maggiore per molte organizzazioni non è l’assenza di una lunga procedura formale. È l’uso frammentato dell’AI: account personali, dati inseriti senza criterio, risultati non verificati e nessuna responsabilità esplicita. L’AI Act può diventare l’occasione per fare ordine.

Una governance proporzionata collega persone, strumenti, dati, controlli e comunicazioni. In questo modo l’impresa non rinuncia all’innovazione e non la subisce: costruisce le condizioni per utilizzarla con consapevolezza.