L'AI Act per una PMI manifatturiera: cosa cambia davvero e cosa no
Se la tua azienda usa l'intelligenza artificiale al proprio interno, per il regolamento europeo sei un utilizzatore, non un fornitore, e gli obblighi che ti riguardano sono due. Il primo è già in vigore e riguarda le persone: chi usa questi strumenti deve saperli usare. Il secondo riguarda la trasparenza: chi interagisce con un sistema di intelligenza artificiale deve saperlo.
Le regole pesanti, quelle sui sistemi ad alto rischio, non riguardano l'uso interno di un assistente sulla conoscenza aziendale o di uno strumento che aiuta a preventivare.
Questa distinzione fra chi costruisce e chi utilizza è la cosa che si perde più spesso nelle sintesi che circolano, ed è quella che cambia tutto.
Se vuoi capire quali dei due obblighi ti riguardano nel caso concreto che hai in mente, l'autovalutazione fa nove domande sul processo e restituisce un quadro in circa tre minuti.
Il primo obbligo: le persone che lo usano
Dal 2 febbraio 2025 è in vigore l'articolo 4, che chiede a fornitori e utilizzatori di garantire un livello sufficiente di alfabetizzazione sull'intelligenza artificiale al personale che usa i sistemi, calibrato sulle competenze e sul contesto d'uso.
Va letto per quello che dice, perché intorno a questa norma è nato un mercato di corsi. Non chiede un corso standard uguale per tutti: chiede misure proporzionate. Per un reparto di cinque persone che usano un assistente per ritrovare documenti, la misura proporzionata è che quelle cinque persone sappiano cosa il sistema può sbagliare e a chi chiedere quando succede. Non è un attestato: è una cosa che si fa in un pomeriggio e si scrive in mezza pagina.
Il modo più semplice per rispettarlo è anche quello che serve al lavoro: quando si mette in funzione uno strumento, si spiega a chi lo userà cosa fa, su quali dati, e cosa fare quando la risposta non convince.
Il secondo obbligo: dire che è un sistema automatico
Dal 2 agosto 2026 si applicano gli obblighi di trasparenza: chi interagisce con un sistema di intelligenza artificiale deve poterlo sapere.
Per un uso interno, dove le persone sanno già di avere davanti uno strumento, è un obbligo semplice. Diventa concreto quando il sistema parla con qualcuno fuori dall'azienda: un assistente che risponde ai clienti sullo stato di un ordine deve essere riconoscibile come automatico, e deve poter passare la conversazione a una persona.
Non è solo conformità: è anche la cosa che evita di far arrabbiare un cliente che si accorge da solo di aver parlato con un programma.
Cosa non si applica
Le regole sui sistemi ad alto rischio riguardano casi d'uso elencati nel regolamento, e sono cose come i dispositivi medici, la selezione del personale, l'accesso al credito, le infrastrutture critiche. Un assistente che cerca dentro i documenti aziendali o che prepara la bozza di un preventivo non rientra in quell'elenco.
Questo significa una cosa pratica: nessuno può venderti un prodotto dicendo che è obbligatorio per l'AI Act, se quel prodotto serve a un uso interno di questo tipo. Se lo sentite dire, è falso, e vale la pena chiedere l'articolo preciso.
Allo stesso modo, le scadenze che vengono usate per creare urgenza vanno guardate da vicino: riguardano obblighi specifici e categorie specifiche, non un adeguamento generale che tutte le aziende devono fare entro una data.
Il quadro che conta davvero resta un altro
Per la stragrande maggioranza delle PMI, la norma che pesa sull'uso dell'intelligenza artificiale non è l'AI Act: è il regolamento sulla protezione dei dati, che c'è da anni.
Le domande sono le stesse di sempre, e sono quelle che vanno risolte prima di qualunque progetto: quali dati escono dall'azienda, dove finiscono, chi li vede, per quanto tempo restano, e cosa succede se il fornitore cambia condizioni. Sono domande che si risolvono nella scelta tecnica, decidendo se il modello gira dentro o fuori, e nel contratto.
Non è un caso che fra le imprese italiane che hanno valutato l'intelligenza artificiale senza poi investirci, la privacy e la protezione dei dati siano il quarto ostacolo dichiarato, al 43,2%, e la carenza di chiarezza legislativa il secondo, al 47,3%. Il dato è della rilevazione ISTAT Imprese e ICT del 2025, su un campione di 26.246 imprese con almeno dieci addetti. Due preoccupazioni diverse che spesso vengono confuse in una sola.
Cosa fare, in concreto, se stai valutando un progetto
Tre cose, e nessuna richiede un consulente.
Scrivi mezza pagina su chi userà lo strumento e cosa deve sapere. È la misura proporzionata dell'articolo 4, ed è anche il documento che serve a te per non trovarti con un sistema usato male.
Decidi se il sistema parlerà con qualcuno fuori dall'azienda. Se sì, va dichiarato che è automatico e va previsto il passaggio a una persona. Se no, l'obbligo di trasparenza è già soddisfatto dal fatto che chi lo usa lo sa.
Metti nero su bianco dove vanno i dati. È la parte che riguarda il regolamento sulla protezione dei dati, ed è quella che va chiarita con il fornitore prima di firmare, non dopo.
Se vuoi un quadro sul caso concreto che hai in mente, l'autovalutazione chiede nove cose e ci vogliono circa tre minuti.