Regolamento europeo sull'IA per le PMI: spiegato con chiarezza, senza gergo giuridico

Il Regolamento UE sull'IA (Regolamento (UE) 2024/1689 del 13 giugno 2024) è un quadro giuridico completo per l'intelligenza artificiale. Obbliga tutte le imprese che utilizzano, sviluppano o commercializzano sistemi di IA nell'UE — indipendentemente dalle loro dimensioni o sede. Ciò significa: anche un'impresa artigiana con 12 dipendenti a Kempten è soggetta al Regolamento UE sull'IA se utilizza strumenti di IA. Definizione (diretta, art. 3 Regolamento UE sull'IA): un sistema di IA è un sistema basato su macchine che, a partire da un insieme di input, genera output quali previsioni, raccomandazioni, decisioni o contenuti che possono influenzare ambienti fisici o virtuali. Nella pratica significa: ChatGPT, chatbot IA sul proprio sito web, filtri automatizzati di candidature, controlli del credito assistiti dall'IA e videosorveglianza intelligente rientrano tutti in questa definizione. Chi è interessato? Secondo l'art. 2 Regolamento UE sull'IA, il regolamento si applica a: — Fornitori (produttori/sviluppatori di sistemi di IA, anche in paesi terzi se il sistema è utilizzato nell'UE) — Deployer (imprese che utilizzano sistemi di IA nelle proprie operazioni) — Importatori e distributori di sistemi di IA — Persone interessate (non tenute alla conformità, ma definite come oggetto di tutela) Particolarmente critico: il regolamento non differenzia in base alle dimensioni dell'impresa. Una start-up di 3 persone che utilizza un classificatore IA ad alto rischio per le candidature ha gli stessi obblighi di conformità di un grande gruppo. I requisiti si articolano esclusivamente in base al rischio del sistema di IA, non alle dimensioni dell'impresa. Perché il Regolamento UE sull'IA è rilevante adesso? La legge entra in vigore per fasi. La prima grande ondata è arrivata il 2 febbraio 2025 con i divieti per il rischio inaccettabile. Gli altri obblighi — tra cui quelli per i sistemi di IA ad alto rischio — seguono per fasi. Iniziare presto conviene: i costi di conformità dipendono dal numero e dalla classe di rischio dei sistemi di IA impiegati. Chi inventaria e documenta per tempo distribuisce l'impegno; chi inizia tardi deve recuperare sotto pressione.

Il cuore del Regolamento UE sull'IA è un approccio basato sul rischio: più alto è il rischio di un sistema di IA per i diritti fondamentali e la sicurezza, più severi sono i requisiti. Esistono quattro classi di rischio. 1. Rischio inaccettabile (sistemi di IA vietati) — art. 5 Regolamento UE sull'IA Questi sistemi di IA sono vietati dal 2 febbraio 2025. Nessuna impresa può utilizzarli: — Punteggio sociale da parte di organismi statali (come noto in Cina) — Sorveglianza biometrica in tempo reale in spazi pubblici da parte delle autorità (con eccezioni rigorose) — Manipolazione subliminale del comportamento che danneggia le persone — Sfruttamento delle vulnerabilità (età, disabilità) per influenzare il comportamento — Riconoscimento delle emozioni sul luogo di lavoro e negli istituti di formazione (con poche eccezioni) — Sistemi di IA per la profilazione di persone basata su caratteristiche protette Particolarmente rilevante per le PMI: chi utilizza analisi dell'umore o delle emozioni assistite dall'IA sui dipendenti deve disattivarla immediatamente. 2. Sistemi di IA ad alto rischio — art. 6, allegato III Regolamento UE sull'IA I sistemi ad alto rischio possono continuare a essere utilizzati, ma sono soggetti a requisiti severi. Sono elencati nell'allegato III del Regolamento sull'IA. Aree ad alto rischio rilevanti per le PMI: — HR e gestione del personale: sistemi di preselezione automatica dei candidati, valutazioni delle prestazioni con IA, IA di raccomandazione salariale. Riguarda ogni PMI che utilizza l'IA nel lavoro HR. — Concessione di credito: verifiche di solvibilità e scoring creditizio assistiti dall'IA. Rilevante per fintech e imprese con strumenti finanziari IA. — Istruzione e formazione: sistemi di IA per valutare gli studenti o decisioni di ammissione. Rilevante per le imprese di formazione. — Infrastrutture critiche per la sicurezza: IA nell'approvvigionamento idrico, energia, trasporti. — Giustizia e amministrazione: IA a supporto delle decisioni nei procedimenti giuridici. — Categorizzazione biometrica: sistemi che categorizzano le persone in base a caratteristiche come razza, nazionalità, opinioni politiche. Obblighi per i deployer ad alto rischio: redigere documentazione tecnica, eseguire valutazione di conformità, apporre la marcatura CE (per i fornitori), implementare un sistema di gestione dei rischi, garantire la trasparenza nei confronti degli utenti, assicurare la supervisione umana, obbligo di notifica in caso di incidenti gravi. 3. Sistemi di IA a rischio limitato — art. 50 Regolamento UE sull'IA Questa classe comprende i sistemi di IA con un potenziale di inganno basso ma reale. L'obbligo principale è la trasparenza: — I chatbot devono dichiarare che l'utente sta comunicando con un'IA — I deepfake e i media sintetici devono essere identificati come generati dall'IA — I testi generati dall'IA di carattere informativo (notizie, comunicazione ufficiale) devono essere contrassegnati Questa classe riguarda le PMI non appena usano l'IA nel contatto con i clienti: chi utilizza un chatbot IA sul sito web deve assicurarsi che gli utenti sappiano di parlare con un'IA. È semplice da implementare, ma è già controllato dall'autorità di vigilanza. 4. Rischio minimo — nessun obbligo specifico La maggior parte delle applicazioni di IA rientra in questa categoria: filtri antispam, personaggi IA nei giochi, IA semplice di editing immagini, algoritmi di raccomandazione senza contesto critico. Qui non vi sono obblighi di conformità — solo codici di condotta volontari. Regola pratica per le PMI: verifichi anzitutto se utilizza l'IA nelle aree HR, credito, istruzione o infrastrutture critiche. In caso affermativo, è probabilmente nell'area ad alto rischio. Se utilizza l'IA solo per marketing, assistenza clienti o generazione di testo, di solito è nell'area a rischio limitato o minimo.

Il Regolamento UE sull'IA entra in vigore in modo scaglionato. Le date chiave per la Sua impresa in sintesi: 1° agosto 2024 — Entrata in vigore Il Regolamento (UE) 2024/1689 è entrato in vigore il 1° agosto 2024. Con esso è iniziato il termine ufficiale di attuazione. 2 febbraio 2025 — Si applicano i divieti per il rischio inaccettabile Dal 2 febbraio 2025 (6 mesi dopo l'entrata in vigore) tutte le pratiche di IA vietate elencate all'art. 5 sono illegali. Le imprese che ancora gestiscono sistemi a rischio inaccettabile — come il riconoscimento delle emozioni sul luogo di lavoro o la pubblicità manipolativa con IA — agiscono illegalmente da quella data e rischiano sanzioni immediate. 2 agosto 2025 — Obblighi GPAI e struttura delle autorità Dal 2 agosto 2025 (12 mesi dopo l'entrata in vigore) si applicano le norme per i modelli di IA per finalità generali (General Purpose AI, GPAI) come GPT-4, Claude o Gemini. I fornitori di tali modelli devono mettere a disposizione documentazione tecnica, pubblicare politiche sul diritto d'autore e adottare ulteriori misure di sicurezza in caso di rischi sistemici. Per le PMI, in qualità di utenti di questi modelli, ciò significa: potrà utilizzare solo modelli GPAI di fornitori che soddisfano i nuovi requisiti di conformità. I LLM non conformi vanno utilizzati con cautela da questa data. Contemporaneamente, le autorità nazionali di vigilanza del mercato diventano operative. Obblighi per l'alto rischio Per i deployer di sistemi di IA ad alto rischio, il Regolamento UE sull'IA comporta tra l'altro: — Deve essere disponibile la documentazione tecnica completa — La valutazione di conformità deve essere conclusa — Il sistema di gestione dei rischi deve essere implementato e documentato — La supervisione umana deve essere ancorata istituzionalmente — Gli obblighi di trasparenza e informazione nei confronti degli utenti devono essere adempiuti — Gli obblighi di notifica degli incidenti all'autorità nazionale devono essere stabiliti Inizio dell'applicazione: da quando si applicano gli obblighi per l'alto rischio dipende dal fatto che il sistema rientri nell'allegato III o faccia parte di un prodotto dell'allegato I. Verifichi lo stato attuale delle scadenze prima di pianificare. Raccomandazione per le PMI: inizi ora con l'inventario IA (quali strumenti di IA utilizzo?), la classificazione del rischio e la costruzione della documentazione di conformità.

Il Regolamento UE sull'IA prevede un sistema sanzionatorio a livelli. Le sanzioni dipendono dal tipo e dalla gravità della violazione (art. 99 Regolamento UE sull'IA): Livello più alto: fino a 35 mln € o al 7% del fatturato annuo mondiale (art. 99, par. 3) Questo quadro sanzionatorio si applica alle violazioni dei divieti dell'art. 5 (pratiche di IA vietate). Per una PMI con un fatturato annuo di 10 mln €, ciò significa sanzioni fino a 700.000 €, già per una sola violazione accertata. Livello intermedio: fino a 15 mln € o al 3% del fatturato annuo (art. 99, par. 4) Questo quadro si applica alle violazioni degli obblighi degli operatori, ad esempio i requisiti per l'alto rischio (gestione del rischio mancante, documentazione mancante) e gli obblighi di trasparenza dell'art. 50. Le PMI con sistemi ad alto rischio dovrebbero tenere d'occhio in particolare questo ambito. Livello più basso: fino a 7,5 mln € o all'1% del fatturato annuo (art. 99, par. 5) Per la fornitura di informazioni inesatte, incomplete o fuorvianti agli organismi notificati o alle autorità. Norma speciale per PMI e start-up: l'art. 99, par. 6 Regolamento UE sull'IA prevede che, nella commisurazione delle sanzioni, si tenga conto della proporzionalità e che per PMI e start-up valga il valore inferiore tra i due (limite massimo assoluto o quota percentuale del fatturato). È un certo cuscinetto di protezione — ma non un lasciapassare. Azioni private di risarcimento: oltre alle sanzioni delle autorità, le persone interessate possono chiedere il risarcimento dei danni ai sensi dell'art. 82 GDPR e del diritto nazionale. Per i prodotti difettosi — software espressamente incluso — si applicherà la direttiva riveduta sulla responsabilità per danno da prodotti difettosi (UE) 2024/2853; la Commissione europea ha ritirato nel 2025 la proposta di una direttiva specifica sulla responsabilità per l'IA. Applicazione da parte delle autorità: ogni Stato membro dell'UE deve designare un'autorità nazionale di vigilanza del mercato per l'IA. Le autorità dispongono di ampi poteri di indagine e di esecuzione. Danno reputazionale: oltre alle sanzioni finanziarie, le violazioni del Regolamento sull'IA comportano un rischio reputazionale. I sistemi ad alto rischio vengono inoltre registrati in una banca dati dell'UE (art. 71), in gran parte accessibile al pubblico.

Il percorso verso la conformità al Regolamento UE sull'IA non è un progetto una tantum, ma un processo strutturato. Ecco un approccio collaudato in 6 fasi per le PMI: Fase 1: redigere un inventario IA (settimane 1–2) Inizi con un inventario completo di tutti i sistemi di IA utilizzati. Sembra banale, ma non lo è: molte PMI sottovalutano il numero di strumenti di IA in uso. Punti ciechi tipici sono le funzioni IA nei software standard (ad es. scoring IA in HubSpot, assistente di scrittura IA in Microsoft 365, prioritizzazione automatica nel sistema di helpdesk). Crei una tabella con: nome dello strumento, fornitore, finalità d'uso, reparto interessato, numero di persone interessate e categoria di rischio preliminare. Fase 2: classificazione del rischio (settimane 3–4) Classifichi ogni sistema di IA individuato secondo le quattro classi di rischio del Regolamento UE sull'IA. Lavori a tal fine con il testo concreto dell'allegato III del regolamento e gli orientamenti della Commissione UE previsti dall'art. 6, par. 5. In caso di dubbi sulla classificazione si raccomanda la consulenza di un avvocato specializzato in diritto dell'IA. Fase 3: analisi delle lacune e definizione delle priorità (settimane 5–6) Per ogni sistema ad alto rischio: verifichi lo stato attuale di conformità rispetto ai requisiti degli artt. 9–15 Regolamento UE sull'IA. Lacune tipiche nelle PMI: — Nessuna documentazione tecnica disponibile — Nessun sistema formale di gestione dei rischi — Nessuna responsabilità definita (AI Officer o equivalente) — Nessuna documentazione di trasparenza per l'utente — Nessun processo di escalation definito in caso di errori IA Fase 4: attuazione delle misure tecniche e organizzative (mesi 2–5) Attuazione delle misure individuate per priorità. Misure immediate collaudate nella pratica: — Politica di governance dell'IA: direttiva interna per l'uso dell'IA (modello disponibile presso Wito AI) — Designare un AI Officer: almeno una persona a livello dirigenziale che assuma la responsabilità della conformità — Documentazione tecnica: redigere per ogni sistema ad alto rischio la documentazione richiesta dal Regolamento sull'IA — Processi di supervisione umana: definire come e da chi vengono verificate le decisioni dell'IA — Avvisi di trasparenza: contrassegnare tutti i punti di contatto utente con l'IA Fase 5: valutazione di conformità (mesi 5–6) Per i sistemi ad alto rischio che Lei stesso sviluppa o modifica in modo significativo: eseguire una valutazione di conformità formale ai sensi dell'art. 43 Regolamento UE sull'IA (in molti casi possibile come autovalutazione). Per i sistemi ad alto rischio che Lei utilizza solo come deployer: verifichi la dichiarazione di conformità del fornitore e si assicuri che il fornitore sia conforme all'art. 16 Regolamento UE sull'IA. Fase 6: monitoraggio continuo e gestione degli incidenti (dal mese 7) La conformità non è un progetto una tantum. Implementi: — Revisione annuale dell'inventario IA — Registrazione delle decisioni IA (per quanto tecnicamente possibile) — Processo di escalation per incidenti IA con catena di segnalazione all'autorità nazionale competente — Formazione regolare per i dipendenti che utilizzano sistemi di IA — Tracciamento degli aggiornamenti: il Regolamento sull'IA viene ulteriormente sviluppato tramite atti delegati Impegno tipico per un'impresa di medie dimensioni: l'impegno dipende dal numero e dalla classe di rischio dei sistemi di IA; una stima affidabile è possibile solo dopo l'inventario IA della fase 1.

Molte PMI chiedono: «Siamo già conformi al GDPR — non basta?» La risposta chiara: no. GDPR e Regolamento UE sull'IA sono quadri normativi complementari ma autonomi, con focus diverso. GDPR (dal 2018): disciplina la protezione dei dati personali. Si concentra su minimizzazione dei dati, limitazione delle finalità, diritti degli interessati (accesso, cancellazione, opposizione). Si applica a ogni operazione di trattamento di dati personali — con o senza IA. Regolamento UE sull'IA (dal 2025/2026): disciplina l'uso dei sistemi di IA in base al loro livello di rischio. Si concentra su trasparenza, supervisione umana, documentazione e valutazione di conformità. Si applica ai sistemi di IA — anche quando non trattano dati personali. Sovrapposizioni: per i sistemi di IA che trattano dati personali si applicano contemporaneamente ENTRAMBI i quadri. Uno strumento HR IA per la selezione dei candidati è al tempo stesso rilevante per il GDPR (trattamento di dati dei candidati) e per il Regolamento sull'IA (classificazione ad alto rischio). Gli obblighi di conformità si sommano, non si sostituiscono. Differenze chiave in sintesi: — Il GDPR si applica a tutti i trattamenti di dati, il Regolamento sull'IA solo ai sistemi di IA — Il GDPR non ha un approccio per prodotto, il Regolamento sull'IA è legato al prodotto — Sanzioni GDPR: fino al 4% del fatturato annuo mondiale (art. 83, par. 5, GDPR); Regolamento sull'IA: fino al 7% (pratiche vietate, art. 99, par. 3) o 3% (alto rischio, art. 99, par. 4) — La responsabilità GDPR ricade sul titolare del trattamento, il Regolamento sull'IA distingue tra fornitore e deployer Suggerimento pratico: utilizzi la Sua documentazione GDPR esistente come base. Molti elementi — valutazione d'impatto sulla protezione dei dati (DPIA), registro dei trattamenti, misure tecniche di sicurezza — possono essere riutilizzati e integrati per il Regolamento sull'IA, anziché ripartire da zero.

Wito AI è un'agenzia digitale e di IA full-service focalizzata sulle PMI. Accompagniamo le PMI attraverso tutte e sei le fasi della conformità — dal primo inventario al monitoraggio continuo. Cosa offriamo concretamente: — Digitalisierungs-Check gratuito: la nostra valutazione web (wda.wito.ai) identifica in 3 minuti il Suo attuale utilizzo dell'IA e fornisce una prima stima della rilevanza del Regolamento sull'IA. 100% gratuito, senza necessità di registrazione. — Inventario IA e classificazione del rischio: elaboriamo insieme a Lei un elenco completo di tutti i sistemi di IA e li classifichiamo secondo il Regolamento UE sull'IA. — Documentazione di conformità: documentazioni tecniche, AI Governance Policy, sistema di gestione dei rischi ai sensi dell'art. 9 Regolamento UE sull'IA — il tutto da un'unica fonte. — Formazioni per il Suo team: workshop pratici sulle basi del Regolamento UE sull'IA, classificazione del rischio e mantenimento continuo della conformità. — Modello CDOaaS continuativo: in qualità di Chief Digital Officer esterno, accompagniamo la Sua impresa in modo duraturo e manteniamo aggiornata la Sua conformità di fronte ai cambiamenti normativi. Perché Wito AI? Combiniamo know-how tecnico in IA con la comprensione giuridica della conformità. Il nostro team ha già accompagnato oltre 40 PMI nella conformità GDPR e IA. Non parliamo gergo giuridico — traduciamo i requisiti normativi in misure aziendali pragmatiche. Con il modello CDOaaS a partire da 990 €/mese, le piccole e medie imprese ottengono un esperto esterno che tratta la conformità come un tema continuo — non come un progetto una tantum.