L'AI Act si applica a chi immette sistemi di intelligenza artificiale sul mercato europeo e a chi li usa nell'Unione per attività professionale, ovunque abbia sede. Restano fuori tre casi soltanto: gli scopi militari, di difesa e sicurezza nazionale, la ricerca e sviluppo puri, e l'uso personale non professionale. Usare ChatGPT in azienda vi fa rientrare, nel ruolo di utilizzatore.
La domanda che ci fanno più spesso è se una piccola impresa che non sviluppa nulla debba preoccuparsi. La risposta è sì, ma molto meno di quanto teme. Per il quadro d'insieme del regolamento, partite dalla guida all'AI Act per le PMI italiane.
Il criterio: territorio ed effetti, non nazionalità
L'articolo 2 lega l'applicazione al mercato europeo, non alla sede legale. Rientrano:
- chi immette sistemi di AI sul mercato dell'Unione o li mette in servizio, anche se ha sede fuori
- chi li usa nell'Unione nell'esercizio della propria attività professionale
- chi, pur stando fuori dall'Unione, produce risultati che vengono usati nell'Unione
L'ultimo punto è quello che sorprende. Un fornitore con sede a San Francisco che analizza curriculum di candidati italiani rientra, perché l'esito del sistema ha effetti qui.
Le tre esclusioni
Difesa e sicurezza nazionale
I sistemi usati esclusivamente per scopi militari, di difesa o sicurezza nazionale sono fuori, chiunque sia il soggetto che li impiega. La formulazione conta: non è esclusa una categoria di enti, è esclusa una finalità. Un'azienda privata che sviluppa un sistema per la difesa è fuori per quel sistema, non per gli altri.
Ricerca e sviluppo
I sistemi usati unicamente per ricerca, prova e sviluppo prima dell'immissione sul mercato non rientrano. L'esclusione cade nel momento in cui il sistema esce dal laboratorio.
Attenzione al confine: una sperimentazione interna su dati reali, con utenti veri, non è più ricerca pura.
Uso personale non professionale
Chi usa l'intelligenza artificiale per sé, fuori da qualsiasi attività professionale, non ha obblighi. Generare immagini per divertimento la domenica sera non produce alcun adempimento.
I casi di confine che riguardano davvero le PMI
Qui stanno le domande vere, quelle che le esclusioni astratte non risolvono.
«Usiamo ChatGPT per scrivere email. Rientriamo?»
Sì, come utilizzatori. Ma l'uso interno di un assistente generico per produrre testi ricade nel rischio minimo: nessun obbligo specifico oltre all'alfabetizzazione del personale prevista dall'articolo 4.
Se però quei testi vengono pubblicati come contenuti generati dall'AI, scatta l'obbligo di etichettatura dell'articolo 50. Dodici usi reali con il verdetto per ciascuno sono raccolti in AI Act e ChatGPT in azienda.
«Abbiamo un chatbot sul sito. Cosa cambia?»
Rientrate nel rischio limitato, con obblighi in vigore dal 2 agosto 2026. Il chatbot deve dichiarare di essere un sistema automatico, in modo chiaro e visibile. Una riga nelle condizioni d'uso non basta.
«Il gestionale ha una funzione AI che non abbiamo scelto noi»
Rientrate lo stesso, per l'uso che ne fate. La responsabilità di chi fornisce il gestionale non cancella la vostra di utilizzatori: dovete sapere cosa fa quella funzione e informare chi ne è toccato.
È l'argomento più forte per fare l'inventario: quasi nessuna azienda sa quante funzioni di AI siano già attive nei software che ha comprato.
«Selezioniamo curriculum con uno strumento automatico»
Siete nell'allegato III, alto rischio. Gli obblighi si applicano dal 2 dicembre 2027, ma il lavoro di conformità richiede più di un anno: la valutazione, il sistema di gestione dei rischi, la documentazione, la sorveglianza umana strutturata.
È l'unico caso in cui una PMI italiana finisce con probabilità nell'alto rischio, ed è anche il più diffuso.
«Rivendiamo un prodotto AI con il nostro marchio»
Non siete più utilizzatori: siete fornitori, con tutti gli obblighi del caso. Lo stesso vale se modificate sostanzialmente un sistema ad alto rischio o ne cambiate la finalità dichiarata.
È il passaggio di ruolo che espone di più le software house e le agenzie che costruiscono soluzioni sopra modelli di terzi. I tre casi che lo innescano sono spiegati in provider o deployer.
Come stabilire la vostra posizione in tre domande
Sviluppate il sistema, o lo fate sviluppare per voi, e lo immettete sul mercato con il vostro nome? Se sì, siete fornitori.
Lo usate soltanto, nella vostra attività professionale? Siete utilizzatori, e gli obblighi si riducono a usarlo secondo le istruzioni, garantire supervisione umana, informare le persone coinvolte.
A cosa serve, in concreto? È la domanda che determina la classe di rischio, e quindi il peso degli obblighi. La stessa tecnologia cambia categoria a seconda dell'uso.
Una precisazione sulle dimensioni
Non esiste una soglia dimensionale sotto la quale l'AI Act non si applica. Una ditta individuale con un chatbot ha gli stessi obblighi di trasparenza di una multinazionale.
Il regolamento tiene però conto delle dimensioni in due punti: le sanzioni per PMI e startup applicano il minore fra l'importo fisso e la percentuale sul fatturato, e gli spazi di sperimentazione normativa, operativi dal 2 agosto 2027, prevedono accesso agevolato per le piccole imprese. Il Digital Omnibus ha esteso il criterio sanzionatorio agevolato anche alle small mid-cap fino a 500 dipendenti.
Fonti
- Regolamento (UE) 2024/1689, articoli 2, 3, 4, 5, 6, 25, 50, 99 e allegato III
- Digital Omnibus, in vigore dal 27 luglio 2026
- Commissione europea, linee guida sulle pratiche vietate
- EUR-Lex, testo integrale del regolamento
Ultimo aggiornamento: 25 agosto 2026.