Molti imprenditori hanno letto rinvio al 2027 e hanno archiviato la pratica. Gli obblighi che davvero riguardano una PMI che usa l'AI, un chatbot sul sito, un copilota per scrivere, un software che filtra i curricula, sono però quelli rimasti in vigore. Vale la pena guardarli uno per uno, perché sono pochi e concreti.

Many entrepreneurs read postponed to 2027 and filed it away. Yet the duties that actually concern an SME using AI, a website chatbot, a writing copilot, a CV-screening tool, are the ones still in force. They are worth going through one by one, because they are few and concrete.

Trasparenza: dire che è un'AI

Transparency: say it is an AI

L'art. 50 dell'AI Act, applicabile dal 2 agosto 2026, contiene obblighi diversi a seconda del ruolo. Se un sistema è destinato a interagire direttamente con persone, il provider deve fare in modo che l'utente sia informato di stare interagendo con un'AI, salvo che ciò sia evidente. I provider di sistemi generativi devono rendere tecnicamente rilevabili gli output sintetici nei casi previsti dalla norma. Per chi utilizza il sistema, gli obblighi più immediati riguardano soprattutto i deepfake e determinati testi generati o manipolati dall'AI pubblicati per informare il pubblico su questioni di interesse pubblico. Non esiste, quindi, una regola generale secondo cui qualunque testo o immagine generati con AI debbano sempre recare una semplice etichetta visibile.

Article 50 of the AI Act, applicable from 2 August 2026, contains different duties depending on the role. If a system is intended to interact directly with people, the provider must ensure that the user is informed they are interacting with an AI, unless this is obvious. Providers of generative systems must make synthetic outputs technically detectable in the cases set out by the provision. For those who use the system, the most immediate duties concern above all deepfakes and certain AI-generated or manipulated texts published to inform the public on matters of public interest. There is, therefore, no general rule that any AI-generated text or image must always carry a simple visible label.

I divieti che non ammettono deroghe

The prohibitions that allow no exceptions

Dal 2 febbraio 2025 l'art. 5 vieta otto pratiche. Tre toccano da vicino un'azienda: il social scoring, la categorizzazione biometrica per dedurre dati sensibili, e il riconoscimento delle emozioni sul luogo di lavoro (salvo ragioni mediche o di sicurezza). Se in azienda gira un software che analizza il tono di voce degli operatori o l'espressione dei dipendenti per misurarne l'attenzione o lo stato d'animo, è già fuori legge oggi, non nel 2027. Qui non c'è margine di adeguamento: si spegne.

From 2 February 2025 Article 5 bans eight practices. Three touch a company closely: social scoring, biometric categorisation to infer sensitive data, and emotion recognition in the workplace (save for medical or safety reasons). If your company runs software analysing operators' tone of voice or employees' expressions to measure attention or mood, it is already unlawful today, not in 2027. There is no compliance margin here: you switch it off.

Alfabetizzazione e responsabilità di chi usa

Literacy and the deployer's responsibility

L'art. 4 impone, sempre dal febbraio 2025, un livello adeguato di competenza del personale che usa l'AI. Tradotto: una formazione minima, documentata, su cosa fa e cosa non fa lo strumento. E c'è un punto che spesso sfugge a chi adotta un servizio di terzi: il deployer conserva gli obblighi che l'AI Act e le altre norme gli attribuiscono in relazione al proprio utilizzo del sistema. Affidarsi a un fornitore non trasferisce automaticamente tali obblighi. Per questo sono opportune clausole contrattuali che impongano al fornitore adeguati obblighi di informazione, cooperazione e conformità e disciplinino la ripartizione delle responsabilità.

Article 4 requires, since February 2025, an adequate level of competence among staff using AI. In plain terms: minimal, documented training on what the tool does and does not do. And here is a point often missed by those adopting a third-party service: the deployer keeps the duties that the AI Act and other rules place on it in relation to its own use of the system. Relying on a vendor does not automatically transfer those duties. Hence the value of contractual clauses imposing on the vendor adequate information, cooperation and conformity duties and governing the allocation of liability.

Un ultimo angolo, controintuitivo. Per una PMI l'esposizione legale può derivare, prima ancora del regime dei sistemi ad alto rischio, dal GDPR, dalla disciplina lavoristica e dalla legge italiana 132/2025. Quest'ultima, in materia di lavoro, coordina l'impiego dell'AI con gli obblighi informativi dell'art. 1-bis del d.lgs. 152/1997 quando ne ricorrono i presupposti: sono binari che operano a prescindere dal rinvio europeo degli obblighi sui sistemi ad alto rischio. Il quadro completo è nell'analisi generale sull'AI Act per le imprese.

One last, counterintuitive angle. For an SME, legal exposure may arise, even before the high-risk regime, from the GDPR, from employment law and from Italian Law 132/2025. The latter, in employment matters, coordinates the use of AI with the information duties under Article 1-bis of Legislative Decree No. 152/1997 where their conditions are met: these are tracks that operate regardless of the European postponement of high-risk obligations. The full picture is in the general analysis of the AI Act for businesses.