AI Act per le piccole imprese: cosa devi fare davvero (e cosa no)

Se hai un’azienda con meno di venti persone, uno studio professionale o amministri condomini, negli ultimi mesi ti sarà arrivata almeno una email che diceva “AI Act: sanzioni fino a 35 milioni, mettiti in regola”. È il modo migliore per farti chiudere la mail e non pensarci più.

Qui trovi l’opposto: cosa ti chiede davvero la legge europea sull’intelligenza artificiale se sei una piccola realtà, cosa non ti chiede, e le tre cose da fare in un mese senza consulenti da diecimila euro.

Cos’è l’AI Act, in due righe

L’AI Act è il Regolamento (UE) 2024/1689. È una legge europea, quindi vale in Italia senza bisogno di recepimento, ed è entrata in applicazione a scaglioni: le prime parti dal 2 febbraio 2025, le altre nel 2025 e nel 2026, con alcuni obblighi per i sistemi “ad alto rischio” ancora oggetto di discussione a Bruxelles sul calendario definitivo.

La logica è semplice: più un uso dell’AI può fare danni alle persone, più regole ci sono. Per la stragrande maggioranza delle piccole imprese l’AI è ChatGPT, Copilot, il correttore del gestionale, l’antispam, il chatbot del sito. Sono usi a rischio basso o minimo. Nessuna certificazione, nessun audit, nessun organismo notificato.

L’obbligo che vale anche per te: l’articolo 4

C’è però un obbligo che si applica a chiunque usi sistemi di AI, dal primo giorno e senza soglie di dimensione: l’alfabetizzazione in materia di AI (articolo 4).

Il testo dice che chi fornisce o utilizza sistemi di AI deve garantire “un livello sufficiente di alfabetizzazione” alle persone che li usano per suo conto, tenendo conto delle loro conoscenze, del contesto in cui l’AI viene usata e delle persone su cui ha effetti.

Tradotto per un’azienda di sei persone: chi usa strumenti di AI per lavoro deve sapere cosa sta usando, cosa può e non può metterci dentro, e come si accorge se il risultato è sbagliato. E tu, titolare, devi poter dimostrare di aver fatto qualcosa perché questo accada.

Non serve un master. Serve una cosa fatta, e la prova che è stata fatta.

Le domande giuste da farti

Prima di comprare corsi o modelli di policy, rispondi a queste quattro domande. Sono le stesse che farebbe un cliente grande, un revisore o un’autorità.

1. Quali strumenti di AI si usano davvero in azienda? Non quelli ufficiali: quelli veri. Il collaboratore che incolla la mail del cliente in ChatGPT dal telefono personale sta usando l’AI per conto tuo.
2. Cosa ci finisce dentro? Dati di clienti, preventivi, contratti, referti, buste paga? Se sì, oltre all’AI Act c’è il GDPR, e il problema è più urgente.
3. Chi ha deciso cosa è permesso? Se la risposta è “nessuno”, la risposta reale è “ognuno fa come vuole”.
4. Chi ha spiegato ai collaboratori come usarli? E dove sta scritto che l’ha fatto?

Se anche una sola risposta è “non lo so”, sei nella situazione in cui si trova il 90% delle piccole aziende che incontro. Non è una tragedia. È un lavoro di un mese.

Le tre cose che devi avere (e che ti chiederanno)

Nella pratica, la conformità di una piccola realtà all’articolo 4 sta in tre documenti. Semplici, brevi, ma esistenti.

1. Il registro degli strumenti AI

Un foglio, anche in Excel, con una riga per ogni strumento: nome, chi lo usa, per cosa, quali dati ci entrano, chi è il fornitore e dove stanno i dati. Si compila in mezz’ora con un giro di domande in ufficio. Serve a te prima che a chiunque altro: è il momento in cui scopri lo strumento che nessuno sapeva esistesse.

2. La policy in una pagina

Non venti pagine scritte da un avvocato che nessuno leggerà. Una pagina che dice: quali strumenti sono approvati, cosa non si carica mai (dati personali di clienti, dati sanitari, credenziali, contratti non pubblici), chi verifica i risultati prima che vadano a un cliente, a chi si chiede in caso di dubbio. Firmata da chi lavora con te, con la data.

3. La formazione tracciata

Due ore, anche interne, anche tenute da te se sai di cosa parli. Un programma scritto, la data, i presenti, il materiale usato. Un attestato generico di un corso online da 9 euro senza registro presenze e senza attinenza col vostro lavoro vale poco: la legge parla di competenza adeguata al contesto, e il contesto è il vostro.

Con questi tre documenti puoi rispondere a chiunque. Senza, il problema non è l’AI: è che non sai rispondere.

Cosa NON ti serve (e cosa ti proveranno a vendere)

• Una certificazione AI Act. Non esiste per gli usi a basso rischio. Se te la propongono, chiedi quale articolo la richiede.
• Un DPO o un “AI officer” dedicato. Non è previsto per una piccola impresa che usa strumenti generici.
• Un software di compliance. Il registro in Excel è un registro. Se poi crescerai, si vedrà.
• La valutazione di conformità. Riguarda chi produce o mette sul mercato sistemi ad alto rischio, non chi usa un assistente per scrivere email.

Attenzione però al rovescio: se usi l’AI per selezionare il personale, per valutare i dipendenti, per decidere chi merita credito o un servizio essenziale, entri nell’alto rischio e il discorso cambia. Sono casi rari in una piccola azienda, ma se ti riguardano, fermati e chiedi.

E l’Italia?

L’Italia ha approvato una legge nazionale sull’intelligenza artificiale che affianca il regolamento europeo: individua le autorità competenti (fra cui l’Agenzia per la Cybersicurezza Nazionale) e tocca ambiti come lavoro, professioni intellettuali e sanità. Per una piccola impresa non aggiunge obblighi operativi diversi dai tre documenti qui sopra, ma conferma una cosa: il tema non è passeggero e le autorità che possono fare domande esistono già.

Prima di citare la norma italiana in un documento ufficiale, verifica sempre il testo aggiornato in Gazzetta Ufficiale: i decreti attuativi arrivano nel tempo.

Le domande che mi fanno sempre

“Siamo in tre, vale anche per noi?” Sì. L’obbligo di competenza non ha una soglia dimensionale. Cambia la misura: in tre bastano un foglio, una pagina e una mattinata.

“Non usiamo l’AI, siamo a posto.” Quasi sempre non è vero. La usa il gestionale, la usa l’antispam, la usa il collaboratore con il telefono suo. Fai il censimento prima di dirlo.

“Chi controlla?” Le competenze sono ripartite fra autorità nazionali. Ma il primo che controlla, nella pratica, è il cliente grande che ti manda il questionario fornitori: le domande sull’AI ci sono già, accanto a quelle su backup e antivirus.

“E se sbagliamo qualcosa?” Avere registro, policy e formazione dimostra diligenza. Non averli è la posizione peggiore in cui puoi trovarti.

Il piano dei prossimi 30 giorni

• Settimana 1 — Sapere. Censimento degli strumenti: un giro di domande, il foglio compilato.
• Settimana 2 — Decidere. La policy in una pagina, scritta con parole tue, firmata da tutti.
• Settimana 3 — Formare. Due ore in sala riunioni, programma e presenze registrati.
• Settimana 4 — Verificare. Rileggi il registro, chiudi le eccezioni, metti la data del prossimo controllo.

Mezz’ora a settimana da parte tua, il resto lo fanno le persone che lavorano con te. Alla fine hai un fascicolo che regge, e soprattutto hai capito cosa entra ed esce dalla tua azienda attraverso l’AI. Che è il vero motivo per cui vale la pena farlo.

Se vuoi i modelli già pronti — registro, policy, programma della formazione, checklist — sono nel primo volume della collana, qui sotto. Costa meno di un caffè al bar e si aggiorna da solo quando cambia qualcosa.