AI Act e PMI: obblighi se usi ChatGPT nel 2026

Cosa significa essere deployer secondo l'AI Act

L'AI Act, il Regolamento UE 2024/1689, distingue due ruoli principali: il fornitore, che sviluppa o commercializza un sistema di AI con il proprio marchio, e il deployer, che lo utilizza nell'ambito della propria attività professionale. Se il tuo team apre ChatGPT per scrivere email, rispondere ai clienti o generare contenuti, la tua azienda è deployer di quel sistema.

Non serve essere una banca o un'assicurazione per rientrare nel perimetro della norma. Basta un abbonamento a uno strumento di AI generativa usato per lavoro.

Questa distinzione tra provider e deployer determina quali obblighi si applicano alla tua azienda e quali restano in capo a chi ha sviluppato lo strumento.

I tre obblighi concreti per una PMI

Per una PMI che usa strumenti come ChatGPT senza svilupparli, gli obblighi principali derivano da due articoli del Regolamento: l'articolo 4 sull'alfabetizzazione AI e l'articolo 50 sulla trasparenza. Ecco cosa comportano in pratica:

• Formare il personale (articolo 4). L'obbligo è in vigore dal 2 febbraio 2025. Impone a fornitori e deployer di garantire un livello sufficiente di alfabetizzazione AI del proprio personale e di chiunque usi i sistemi per conto dell'azienda, tenendo conto delle competenze tecniche, del ruolo e del contesto d'uso di ciascuno.
• Informare gli utenti quando parlano con un chatbot (articolo 50, paragrafo 1). Le persone devono poter riconoscere che stanno interagendo con un'intelligenza artificiale, a meno che questo non risulti già evidente dal contesto.
• Segnalare contenuti generati o modificati con AI, deepfake inclusi (articolo 50, paragrafi 2 e 4). Vale per audio, immagini, video o testo prodotti o alterati con AI, con particolare attenzione ai contenuti che potrebbero apparire falsamente autentici.

Un chiarimento importante, spesso trascurato: gli obblighi più stringenti dell'articolo 26, quelli previsti per i sistemi ad alto rischio elencati nell'Allegato III (selezione del personale, scoring creditizio, valutazioni di affidabilità), si applicano solo se la tua azienda usa l'AI in quei contesti specifici. Una PMI che usa ChatGPT per scrivere contenuti o rispondere a email non rientra automaticamente in questa categoria più severa.

Le scadenze che contano davvero

Un punto da tenere presente: è in corso un negoziato europeo, il Digital Omnibus sull'AI, che propone di posticipare alcuni obblighi per i sistemi ad alto rischio dell'Allegato III al 2 dicembre 2027. Il negoziato tra Parlamento e Consiglio non è ancora concluso. Gli obblighi di trasparenza dell'articolo 50, quelli che riguardano la maggior parte delle PMI che usano ChatGPT, non sono coinvolti in questa proposta di rinvio e restano fissati al 2 agosto 2026.

Cosa rischi se non ti adegui

Il regime sanzionatorio dell'AI Act, previsto dall'articolo 99, distingue due livelli:

• Fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per le pratiche vietate dall'articolo 5.
• Fino a 15 milioni di euro o il 3% del fatturato mondiale annuo per la violazione degli altri obblighi, inclusi quelli del deployer previsti dagli articoli 4 e 50.

In Italia la vigilanza è affidata all'Agenzia per la Cybersicurezza Nazionale, con AgID come autorità di notifica, secondo quanto stabilito dalla legge 132/2025. Ma il rischio concreto per una PMI raramente arriva da un'ispezione a campione. Arriva da un contenzioso con un dipendente, da un reclamo di un cliente, da una due diligence in vista di una gara o di un investimento. In questi casi ti verrà chiesto di dimostrare che l'uso dell'AI in azienda è documentato, tracciato e conforme.

Come scegliere da dove iniziare

Non hai bisogno di affrontare tutto insieme. Segui questo ordine:

1. Censisci gli strumenti AI in uso. Includi anche quelli non autorizzati formalmente: è il fenomeno della shadow AI, molto diffuso nelle PMI dove ogni dipendente può attivare un abbonamento personale a uno strumento.
2. Verifica se sei solo deployer o anche fornitore. Se personalizzi o riaddestri un modello con il tuo marchio, gli obblighi cambiano.
3. Controlla se qualche uso rientra nell'alto rischio. Selezione del personale, valutazioni creditizie e scoring dei clienti richiedono l'applicazione dell'articolo 26, più oneroso rispetto alla sola trasparenza.
4. Pianifica la formazione del personale. Deve essere proporzionata al ruolo: chi usa l'AI per scrivere testi ha bisogno di competenze diverse rispetto a chi la usa per decisioni che riguardano persone.
5. Prepara l'informativa per gli utenti esterni. Se un cliente parla con un chatbot sul tuo sito, deve saperlo prima o al momento della prima interazione.

Il vantaggio delle PMI rispetto alle grandi aziende

Le grandi aziende hanno uffici legali che lavorano su questo tema da mesi, ma devono mappare centinaia di sistemi, processi e reparti diversi. Una PMI ha meno strumenti da censire e meno livelli decisionali da coordinare. Questo è un vantaggio strutturale, non solo una consolazione: un'azienda con dieci persone e tre strumenti AI può completare la mappatura e avviare la formazione in poche settimane, non in mesi.

Il punto centrale è organizzativo, non giuridico. Non serve un parere legale per censire gli strumenti in uso o per avviare un percorso formativo interno. Serve un responsabile che segua il processo, un elenco aggiornato dei sistemi usati e una prassi condivisa su come vengono impiegati. Il presidio legale diventa necessario quando emergono usi ad alto rischio o dubbi interpretativi specifici.

Affidarti a un partner che ha già seguito altre PMI in questo percorso ti permette di evitare gli errori più comuni: sottovalutare la shadow AI, trattare la formazione come un adempimento formale invece che come una prassi reale, rimandare la mappatura degli strumenti fino a ridosso delle scadenze.

Domande frequenti

Devo registrare formalmente ogni strumento AI che uso in azienda?

Non esiste un obbligo di registrazione pubblica per gli strumenti a rischio limitato come ChatGPT. Serve però un censimento interno documentato, utile per dimostrare diligenza in caso di controllo o contenzioso.

L'obbligo di formazione riguarda solo chi usa l'AI ogni giorno?

Riguarda chiunque operi sistemi di AI per conto dell'azienda, anche in modo occasionale. Il livello di formazione richiesto varia in base al ruolo e al contesto d'uso, non è uguale per tutti.

Se uso ChatGPT solo per bozze interne, devo comunque informare i clienti?

No. L'obbligo di informativa dell'articolo 50 riguarda i casi in cui una persona interagisce direttamente con un sistema AI, ad esempio un chatbot sul sito. Un uso solo interno per bozze non genera questo obbligo specifico.

Cosa succede se un dipendente usa uno strumento AI non autorizzato dall'azienda?

La responsabilità resta in capo all'azienda come deployer. Per questo il censimento degli strumenti, compresi quelli non autorizzati, è un primo passo pratico e non solo formale.

Le sanzioni si applicano subito dal 2 agosto 2026?

Il regime sanzionatorio diventa pienamente operativo da quella data per gli obblighi di trasparenza. L'obbligo di formazione dell'articolo 4 è già in vigore dal 2 febbraio 2025, anche se con controlli meno strutturati fino a oggi.

Una PMI di 5 persone rientra comunque nel perimetro dell'AI Act?

Sì. Il Regolamento non prevede soglie dimensionali per gli obblighi del deployer relativi a formazione e trasparenza. Si applicano indipendentemente dal numero di dipendenti.

Serve un DPO o una figura simile per gestire questi obblighi?

Non è un obbligo esplicito dell'AI Act per le PMI non ad alto rischio. È comunque utile individuare un responsabile interno del processo, anche part time, per coordinare censimento e formazione.

Fonti e riferimenti

• Regolamento (UE) 2024/1689 (AI Act), testo ufficiale, EUR-Lex
• Articolo 4, Alfabetizzazione in materia di AI, AI Act Service Desk, Commissione Europea
• Articolo 26, Obblighi dei deployer dei sistemi di IA ad alto rischio, AI Act Service Desk
• Articolo 50, Obblighi di trasparenza, AI Act Service Desk
• Legge 132/2025 (adeguamento normativo italiano all'AI Act)
• Agenda Digitale, Obblighi di trasparenza AI Act: cosa devono fare le aziende dal 2 agosto 2026
• Nicfab.eu, AI Act: Deployer, AI Agents e obblighi di trasparenza (aggiornamento sul Digital Omnibus)
• Attrahere Insights, AI Act, 2 agosto 2026: cosa diventa obbligatorio