AI Act e PMI: i tre documenti che determinano se sei in regola o a rischio sanzione

Cosa succede il 2 agosto 2026

Il 2 agosto 2026 è la scadenza principale del Regolamento UE 2024/1689 (AI Act) per la maggior parte degli obblighi che riguardano le imprese europee. Da quella data le norme si applicano ai sistemi AI ad alto rischio: chi non ha la documentazione in ordine è esposto a sanzioni e, soprattutto, a verifiche ispettive senza poter dimostrare compliance.

Non serve essere un'azienda tech. Basta usare l'AI per screening dei CV, scoring dei clienti o monitoraggio del personale per rientrare nella categoria di sistemi ad alto rischio ai sensi dell'Allegato III del Regolamento.

I 3 documenti che devi avere

Documento 1: Registro dei sistemi AI

Il registro è il punto di partenza. L'obiettivo è semplice: sapere esattamente cosa usi, a cosa serve, chi lo gestisce. Non esiste un formato obbligatorio fissato dal Regolamento, ma ogni registro utile deve coprire questi campi:

1. Nome del sistema AI e fornitore.
2. Scopo d'uso: a cosa lo utilizzi in azienda.
3. Tipologia di dati trattati: personali, finanziari, sanitari o altro.
4. Utenti interni: chi lo usa nell'organizzazione.
5. Responsabile interno e data di adozione.

Un foglio Google Sheets o un documento Notion sono sufficienti. Quello che conta è averlo, tenerlo aggiornato e poterlo mostrare in caso di verifica.

Documento 2: Assessment del rischio

L'AI Act distingue quattro livelli: inaccettabile (vietato), alto rischio, rischio limitato, rischio minimo. Per la stragrande maggioranza delle PMI, la maggior parte dei tool rientra nelle categorie a rischio minimo o limitato e non richiede documentazione pesante.

I sistemi ad alto rischio che una PMI italiana potrebbe avere, secondo l'Allegato III del Regolamento:

1. Sistemi AI per selezione o valutazione del personale (screening CV automatico, ranking candidati).
2. AI per scoring creditizio o accesso a servizi finanziari.
3. Sistemi di monitoraggio delle performance dei dipendenti.

Per ogni sistema ad alto rischio identificato, produci una valutazione che documenta: scopo del sistema, dati usati, rischi individuati, misure di mitigazione adottate.

Se non usi nessuno di questi sistemi, basta una dichiarazione scritta firmata dalla direzione: "Non utilizziamo sistemi AI ad alto rischio come definito dall'Allegato III del Regolamento EU 2024/1689." Breve, verificabile, sufficiente.

Documento 3: Policy interna uso AI

L'articolo 4 del Regolamento introduce l'obbligo di garantire un livello adeguato di alfabetizzazione AI tra chi usa i sistemi. In pratica questo si traduce in una policy interna che risponde a tre domande:

1. Chi nella tua organizzazione può adottare nuovi tool AI? Come si approva l'adozione?
2. Come vengono documentate le decisioni prese con il supporto dell'AI, specialmente se impattano su persone?
3. Chi è il responsabile interno della compliance AI?

La policy non deve essere un documento da 50 pagine. Tre paragrafi che rispondono a queste domande, approvati dalla direzione e comunicati a chi usa AI in azienda, bastano come punto di partenza.

Come costruire i 3 documenti in meno di 3 ore

Un metodo pratico per partire subito:

1. Elenca tutti i tool digitali che usi. Chiedi a Claude: "Quali di questi usano AI in modo sostanziale?" In 10 minuti hai la base del tuo registro.
2. Per ogni sistema identificato: nome, fornitore, scopo in un documento strutturato.
3. Controlla se uno rientra nell'Allegato III. Se sì, scrivi l'assessment. Se no, firma la dichiarazione di esclusione.
4. Prendi un template di policy interna, adattalo alla tua struttura, fai firmare dalla direzione.

Il tempo dipende da quanti tool AI usi. Per una PMI di 5-15 persone con 3-5 tool, bastano 2-3 ore per avere la documentazione base pronta.

AI Setup Compliant

Se vuoi costruire la documentazione con supporto operativo diretto, AI Setup Compliant è il percorso che ho progettato per le PMI italiane: dalla mappatura dei sistemi alla redazione dei documenti, con la scadenza AI Act come riferimento.

I dettagli su giovanniliguori.it.

---

Il 2 agosto non è un'ipotesi. È una scadenza nel Gazzetta Ufficiale UE.