AI Act: il rinvio sull'alto rischio è tempo regalato, se lo si usa per la cosa giusta

Il 2 agosto 2026 doveva essere la data in cui l'AI Act europeo entrava a regime anche per i sistemi ad alto rischio. Non è andata così. Con il pacchetto di semplificazione concordato in primavera a Bruxelles, gli obblighi per i sistemi ad alto rischio sono slittati: al 2 dicembre 2027 per quelli indicati nell'allegato III del regolamento, ad agosto 2028 per quelli integrati in prodotti già regolati.

Dal 2 agosto valgono invece gli obblighi di trasparenza: chi interagisce con un sistema di intelligenza artificiale deve saperlo, e i contenuti generati vanno resi riconoscibili. In Italia si aggiunge la legge 132 del 2025, che tra le altre cose chiede ai datori di lavoro di informare i lavoratori quando usano sistemi di AI che li riguardano.

Molte imprese hanno letto il rinvio come un "se ne riparla nel 2027". È comprensibile, ed è l'uso peggiore che si possa fare di quei quattordici mesi.

La PMI non costruisce AI, la usa

Quasi nessuna piccola impresa sviluppa sistemi di intelligenza artificiale. Li usa: il chatbot sul sito, l'assistente che scrive le email, il software che smista i curriculum, il gestionale che assegna un punteggio ai clienti per decidere a chi fare credito. Per il regolamento è un "deployer", un utilizzatore, con obblighi più leggeri di chi produce.

Il problema è che spesso non sa di esserlo. L'AI è entrata in azienda dentro strumenti comprati per altro, attivata da un aggiornamento, scelta da un dipendente volenteroso. Nessuno ha deciso di adottarla, e quindi nessuno sa con precisione dove sia.

Due aree da guardare per prime

Fra i casi che il regolamento considera ad alto rischio, due toccano da vicino anche le aziende piccole.

La selezione e la gestione del personale. Un software che filtra i candidati, valuta le prestazioni o assegna i turni con criteri automatici rientra in pieno. È anche l'area dove la legge italiana ha già introdotto obblighi di informazione verso i lavoratori.

La valutazione dell'affidabilità delle persone. Chi vende a privati con pagamenti dilazionati e usa uno strumento che assegna un punteggio di solvibilità sta usando, probabilmente senza saperlo, un sistema ad alto rischio.

In entrambi i casi, per un utilizzatore gli obblighi riguardano soprattutto la supervisione umana, la conservazione dei registri, l'informazione alle persone coinvolte e l'uso del sistema secondo le istruzioni del fornitore. Niente di ingestibile, se lo si sa con un anno di anticipo. Molto, se lo si scopre a novembre 2027.

L'inventario è un lavoro sui processi, non sulle norme

Il primo passo utile non è una consulenza legale. È un elenco: quali strumenti usano l'AI, per fare cosa, chi ne usa il risultato, e quale decisione su una persona dipende da quel risultato.

Fatto bene, questo elenco produce un effetto che va oltre la conformità. Costringe a chiedersi, per ogni strumento, che cosa è cambiato nel lavoro da quando c'è. In molti casi la risposta è "niente": lo strumento c'è, il processo è quello di prima, il beneficio non si vede. È la stessa ragione per cui tanti progetti di AI nelle PMI si fermano dopo il pilota.

Chi fa l'inventario adesso arriva al 2027 sapendo quali strumenti tenere, quali governare meglio e quali spegnere. Chi aspetta farà lo stesso lavoro di corsa, con l'unico obiettivo di non sbagliare un adempimento.

Una domanda per chi vende soluzioni di AI

Per chi propone strumenti di intelligenza artificiale alle imprese, il regolamento è anche un argomento commerciale, se usato con misura. Il cliente non vuole sentirsi dire che rischia sanzioni. Vuole sapere che lo strumento che compra è già pensato per essere usato in regola: documentazione chiara, supervisione prevista, informative pronte.

Fra due offerte equivalenti vince quella che toglie al cliente un lavoro che sa di dover fare e non sa come fare.