Negli ultimi mesi è arrivata in studio la stessa domanda da almeno cinque clienti diversi: "L'AI Act ci riguarda?" La risposta è sì, anche se la tua PMI usa l'intelligenza artificiale solo per generare un'immagine, smistare email o produrre un report mensile. Quello che cambia è il livello di obblighi, non il fatto di essere coinvolti.
Questo articolo è una guida operativa, pensata per chi non ha un ufficio legale interno e vuole capire cosa fare prima della scadenza del 2 agosto 2026 — senza farsi prendere dal panico né spendere migliaia di euro in consulenze generiche.
Provider o deployer? La distinzione che cambia tutto
L'AI Act distingue due ruoli principali. Capire dove ti trovi è il primo passo per non sprecare tempo su obblighi che non ti riguardano.
- Provider — Sviluppi o rivendi un sistema di AI con il tuo marchio. Sei responsabile della conformità tecnica del modello.
- Deployer — Usi un sistema di AI sviluppato da altri (ChatGPT, Claude, Copilot, n8n con nodi AI, plugin di automazione del CRM). Hai obblighi di uso corretto, supervisione e trasparenza.
La maggior parte delle PMI italiane è deployer. Significa obblighi più leggeri, ma comunque concreti. Ignorarli espone a sanzioni che possono arrivare fino a 35 milioni di euro per le violazioni più gravi.
Le 4 azioni da completare entro agosto 2026
1. Mappa gli strumenti AI che usi davvero
Sembra banale, ma quasi nessuno l'ha fatto. Apri un foglio condiviso ed elenca ogni strumento che usa AI nella tua azienda. Include anche le funzioni "nascoste" dentro software che già utilizzi: il riassunto automatico nella casella di posta, il completamento smart del CRM, la trascrizione delle videocall, le bozze di Canva, gli strumenti grammaticali. Per ognuno annota: chi lo usa, per fare cosa, con quali dati. Questo registro è il documento base che dimostra consapevolezza, e ti tornerà utile in ogni interazione futura con il Garante o con un cliente che chiede chiarezza.
2. Forma il personale (AI literacy)
L'articolo 4 dell'AI Act è già operativo dal febbraio 2025 e impone ai datori di lavoro di garantire un livello sufficiente di alfabetizzazione AI ai dipendenti che usano questi strumenti. Non serve un master: bastano 2-4 ore di formazione interna documentata, con argomenti come limiti dei modelli, prevenzione delle allucinazioni, gestione dei dati personali e casi pratici dell'azienda. Lascia traccia: data, partecipanti, materiali. È la prova che ti tutela.
3. Definisci una policy d'uso interna
Un documento di 2-3 pagine, scritto in linguaggio semplice, che risponda a tre domande: cosa è permesso fare con l'AI, cosa non si può fare, chi supervisiona. Esempi pratici: "ChatGPT non può ricevere dati personali dei clienti senza pseudonimizzazione", "i contenuti prodotti con AI vanno revisionati prima della pubblicazione", "i preventivi generati automaticamente devono essere validati da un responsabile". Una policy chiara protegge l'azienda meglio di qualunque software.
4. Inserisci la supervisione umana nei flussi critici
Se l'AI prende decisioni che impattano clienti, dipendenti o fornitori, una persona deve poter intervenire prima che l'azione sia definitiva. Questo è il principio di human in the loop: l'agente prepara, l'umano conferma. Per la maggior parte dei flussi PMI basta un passaggio di approvazione manuale prima dell'invio di email, della conferma di un ordine, dell'aggiornamento di un dato sensibile.
Strumenti pratici per partire
Non servono software costosi. Ecco cosa funziona davvero per chi parte da zero:
- Notion o Google Sheets — Per il registro degli strumenti AI e la policy interna. Versionato, condivisibile, gratuito.
- n8n self-hosted — Se vuoi automatizzare con AI mantenendo i dati sui tuoi server. È la scelta più solida per la sovranità dei dati europea.
- Make o Zapier — Più semplici di n8n, ma verifica sempre dove vengono processati i dati e leggi la DPA del fornitore.
- Loom o Tella — Per registrare in 10 minuti la formazione interna ai dipendenti, archiviarla e averla pronta in caso di controlli.
- PID Camere di Commercio — I Punti Impresa Digitale offrono assessment gratuiti di maturità digitale, utili come punto di partenza certificato.
Cosa NON devi fare (e che molti fanno)
Tre errori comuni che vediamo spesso e che generano costi inutili:
- Comprare certificazioni "AI Act ready" da fornitori non riconosciuti. Non esiste ancora una certificazione ufficiale per i deployer: chi te la vende sta vendendoti fumo.
- Bloccare l'uso di tutti i tool AI per paura. Il risultato è solo che i dipendenti li useranno comunque, di nascosto, peggiorando il problema. Meglio governare che vietare.
- Aspettare il rinvio. Il Digital Omnibus europeo discute uno slittamento al 2027 o 2028, ma non è confermato. Prepararsi adesso ti costa poco; rincorrere all'ultimo costa tanto.
Tempistica realistica per una PMI di 5-30 persone
Sulla base dei progetti che stiamo seguendo nello studio, ecco quanto serve davvero per essere a norma:
- Settimana 1 — Mappatura strumenti AI e raccolta DPA dei fornitori (4-6 ore).
- Settimana 2-3 — Stesura della policy interna e revisione con un consulente (1 incontro da 2 ore).
- Settimana 4 — Sessione di formazione AI literacy per il team (2-4 ore, registrata).
- Settimana 5-6 — Implementazione dei punti di supervisione umana sui flussi automatizzati esistenti.
Sei settimane di lavoro distribuite, non sei settimane piene. È fattibile anche per chi è già in piena operatività.
Il vero vantaggio competitivo
L'AI Act non è solo un obbligo. È anche un'occasione per dare ordine a un'area che sta crescendo in modo disordinato in tante aziende. Chi mette in fila strumenti, processi e responsabilità prima degli altri arriva all'estate del 2026 con un vantaggio operativo concreto: meno errori, meno rischi reputazionali, più fiducia da parte di clienti e fornitori che iniziano a chiedere garanzie su come gestisci l'AI.
La conformità ben fatta non frena l'innovazione: la rende sostenibile.
Servizio collegato: Automazione dei processi →
Vuoi una mappatura veloce degli strumenti AI usati nella tua azienda e un piano di adeguamento su misura?