AI Act e PMI: i tre documenti che determinano se sei in regola o a rischio sanzione

Cosa è cambiato il 2 agosto 2026

Il 2 agosto 2026 è la data di applicazione generale del Regolamento UE 2024/1689 (AI Act, art. 113): da lì partono la vigilanza e gli obblighi di trasparenza dell'articolo 50. Per i sistemi AI ad alto rischio gli obblighi si applicano invece dal 2 dicembre 2027 (Allegato III) e dal 2 agosto 2028 (Allegato I). Avere la documentazione in ordine serve a dimostrare le misure adottate, se arriva una verifica.

Non serve essere un'azienda tech. Basta usare l'AI per screening dei CV, scoring dei clienti o monitoraggio del personale per rientrare nella categoria di sistemi ad alto rischio ai sensi dell'Allegato III del Regolamento.

I 3 documenti che devi avere

Documento 1: Registro dei sistemi AI

Il registro è il punto di partenza. L'obiettivo è semplice: sapere esattamente cosa usi, a cosa serve, chi lo gestisce. Non esiste un formato obbligatorio fissato dal Regolamento, ma ogni registro utile deve coprire questi campi:

1. Nome del sistema AI e fornitore.
2. Scopo d'uso: a cosa lo utilizzi in azienda.
3. Tipologia di dati trattati: personali, finanziari, sanitari o altro.
4. Utenti interni: chi lo usa nell'organizzazione.
5. Responsabile interno e data di adozione.

Un foglio Google Sheets o un documento Notion sono sufficienti. Quello che conta è averlo, tenerlo aggiornato e poterlo mostrare in caso di verifica.

Documento 2: Assessment del rischio

L'AI Act distingue quattro livelli: inaccettabile (vietato), alto rischio, rischio limitato, rischio minimo. Per la stragrande maggioranza delle PMI, la maggior parte dei tool rientra nelle categorie a rischio minimo o limitato e non richiede documentazione pesante.

I sistemi ad alto rischio che una PMI italiana potrebbe avere, secondo l'Allegato III del Regolamento:

1. Sistemi AI per selezione o valutazione del personale (screening CV automatico, ranking candidati).
2. AI per scoring creditizio o accesso a servizi finanziari.
3. Sistemi di monitoraggio delle performance dei dipendenti.

Per ogni sistema ad alto rischio identificato, produci una valutazione che documenta: scopo del sistema, dati usati, rischi individuati, misure di mitigazione adottate.

Se non usi nessuno di questi sistemi, basta una dichiarazione scritta firmata dalla direzione: "Non utilizziamo sistemi AI ad alto rischio come definito dall'Allegato III del Regolamento EU 2024/1689." Breve, verificabile, sufficiente.

Documento 3: Policy interna uso AI

L'articolo 4 del Regolamento, applicabile dal 2 febbraio 2025 e sostituito dal Regolamento (UE) 2026/1744 dal 27 luglio 2026, chiede a fornitori e deployer di adottare misure per sostenere l'alfabetizzazione AI di chi usa i sistemi. È un obbligo di misure, non di risultato. In pratica questo si traduce in una policy interna che risponde a tre domande:

1. Chi nella tua organizzazione può adottare nuovi tool AI? Come si approva l'adozione?
2. Come vengono documentate le decisioni prese con il supporto dell'AI, specialmente se impattano su persone?
3. Chi è il responsabile interno della compliance AI?

La policy non deve essere un documento da 50 pagine. Tre paragrafi che rispondono a queste domande, approvati dalla direzione e comunicati a chi usa AI in azienda, bastano come punto di partenza.

Come costruire i 3 documenti in meno di 3 ore

Un metodo pratico per partire subito:

1. Elenca tutti i tool digitali che usi. Chiedi a Claude: "Quali di questi usano AI in modo sostanziale?" In 10 minuti hai la base del tuo registro.
2. Per ogni sistema identificato: nome, fornitore, scopo in un documento strutturato.
3. Controlla se uno rientra nell'Allegato III. Se sì, scrivi l'assessment. Se no, firma la dichiarazione di esclusione.
4. Prendi un template di policy interna, adattalo alla tua struttura, fai firmare dalla direzione.

Il tempo dipende da quanti tool AI usi. Per una PMI di 5-15 persone con 3-5 tool, bastano 2-3 ore per avere la documentazione base pronta.

La formazione del team

Se vuoi che il tuo team usi l'AI con regole chiare su dati e controllo delle risposte, faccio formazione aziendale: sessioni pratiche su Claude, costruite sul lavoro che fate ogni giorno.

I dettagli su giovanniliguori.it/formazione-aziendale.

---

Le date dell'AI Act sono scritte nella Gazzetta Ufficiale UE: non sono un'ipotesi.