Regolamento IA in Italia: cosa deve verificare una PMI

Qualcuno del vostro ufficio tecnico ha iniziato a usare un copilota IA per il controllo qualità in linea, oppure il vostro gestionale ha aggiunto da solo una funzione di previsione della domanda basata su IA, magari senza che nessuno l'abbia formalmente approvata. Poi, in una riunione o in un articolo di settore, sono comparse le parole "regolamento sull'IA" con un tono che lasciava intendere che la vostra azienda potesse già essere in difetto senza saperlo. Questa pagina serve a fare chiarezza, senza gergo giuridico e senza far finta che la questione sia semplice.

Un regolamento europeo che si applica direttamente, senza bisogno di una legge italiana

Il Regolamento (UE) 2024/1689, noto come regolamento sull'IA o AI Act, è un regolamento europeo e non una direttiva: si applica quindi direttamente in Italia, senza che sia necessaria una legge di recepimento. Ciò che l'Italia doveva fare, invece, era designare le autorità competenti a farlo rispettare sul territorio nazionale e organizzare la vigilanza del mercato — un lavoro istituzionale che, a livello europeo, procede a ritmi diversi da uno Stato membro all'altro.

In Italia questo quadro normativo arriva mentre alcuni dei distretti industriali più densi d'Europa stanno già introducendo l'IA nei processi produttivi: in Emilia-Romagna, tra meccanica di precisione e packaging automation, e in Veneto, tra calzaturiero, occhialeria e filiera della moda, l'IA viene usata per il controllo qualità visivo, la previsione della domanda e l'ottimizzazione della supply chain. Molte PMI italiane lavorano inoltre come subfornitrici di grandi marchi del lusso, che a loro volta chiedono sempre più spesso garanzie su come i fornitori usano strumenti di IA lungo la catena — un motivo in più per sapere in anticipo cosa il regolamento richiede, prima che sia un cliente a chiederlo per primo.

Chi vigila in Italia: il Garante Privacy, e ora anche una legge nazionale sull'IA

Il Garante per la protezione dei dati personali è l'autorità italiana di riferimento per il GDPR dal 2018, e resta competente su tutti i sistemi di IA che trattano dati personali — la maggioranza di quelli realmente usati dalle PMI, tra selezione del personale, scoring clienti o assistenti virtuali. A differenza di altri Stati membri che si sono affidati esclusivamente a regolatori settoriali già esistenti, l'Italia ha inoltre adottato una propria legge nazionale sull'intelligenza artificiale (legge 23 settembre 2025, n. 132), che affianca il regolamento europeo con disposizioni specifiche per il contesto italiano e assegna un ruolo alle agenzie tecniche nazionali, AgID e ACN, accanto al Garante. I dettagli operativi di questa ripartizione — chi fa cosa, caso per caso — sono ancora in fase di assestamento: prendete questo paragrafo come il quadro generale attuale, non come l'ultima parola definitiva sul tema.

I livelli di rischio, in breve

Il regolamento non tratta ogni sistema di IA allo stesso modo: distingue quattro livelli. Un numero ristretto di pratiche è vietato per rischio inaccettabile (come il social scoring generalizzato). Un livello ad alto rischio disciplina usi sensibili — selezione del personale, valutazione dei dipendenti, scoring creditizio — con obblighi rafforzati. Un livello a rischio limitato impone soprattutto obblighi di trasparenza, ad esempio segnalare che un contenuto è generato dall'IA o che il cliente sta parlando con un chatbot. E un livello a rischio minimo, in cui rientra la maggior parte degli strumenti quotidiani, senza obblighi nuovi particolari.

Le sanzioni: cifre che conviene conoscere

Il regime sanzionatorio è fissato dall'articolo 99 del regolamento ed è identico in tutta l'Unione Europea, Italia inclusa. L'obiettivo del testo non è raccogliere multe ma prevenire rischi concreti; resta comunque utile avere in mente gli ordini di grandezza:

• Fino a 35 milioni di euro o il 7% del fatturato mondiale annuo, se superiore, per le pratiche di IA vietate.
• Fino a 15 milioni di euro o il 3% del fatturato mondiale annuo per la maggior parte delle altre violazioni, inclusi gli obblighi di fornitori e utilizzatori (deployer) di sistemi ad alto rischio.
• Fino a 7,5 milioni di euro o l'1% del fatturato mondiale annuo per informazioni inesatte o fuorvianti fornite alle autorità.

Un punto importante per una PMI: l'articolo 99, paragrafo 6, prevede esplicitamente massimali proporzionati e più favorevoli per le PMI e le start-up. Il testo non è pensato per trattare un'azienda di venti dipendenti come una multinazionale, anche se i tetti generali sopra indicati restano il quadro di riferimento.

Cosa deve verificare concretamente la vostra PMI

Più che cercare di memorizzare articoli di legge, conviene porsi alcune domande precise sui vostri usi reali dell'IA:

• La vostra azienda è "fornitrice" (sviluppa o fa sviluppare un sistema di IA) o "utilizzatrice"/deployer (acquista e usa strumenti già pronti)? La grande maggioranza delle PMI è utilizzatrice, non fornitrice.
• Uno dei vostri usi dell'IA rientra in un ambito elencato come ad alto rischio nell'allegato III, come selezione del personale, valutazione dei dipendenti o valutazione del merito creditizio?
• Usate un chatbot rivolto ai clienti, o pubblicate contenuti generati dall'IA senza segnalarlo? Questi casi fanno tipicamente scattare obblighi di trasparenza, anche senza essere ad alto rischio.
• Sapete con certezza quali software già in uso in azienda hanno aggiunto una funzione di IA nell'ultimo anno, senza che nessuno l'abbia valutata formalmente?

Informazione generale, non una consulenza legale

Tutto quanto sopra è un'informazione generale per orientarvi, non una consulenza legale sulla vostra situazione specifica. Il regolamento sull'IA contiene sfumature che un articolo non può coprire interamente, e la sua applicazione dipende dagli usi esatti di ciascuna azienda — così come l'interazione con la nuova legge italiana, ancora in fase di attuazione. Quando Komplya pubblica questo tipo di contenuto, distinguiamo chiaramente ciò che è stato revisionato a livello giuridico da ciò che resta un documento di lavoro, in modo che possiate usarlo con consapevolezza.

Il modo più rapido per passare da "credo che ci riguardi" a una risposta chiara è ripercorrere, caso per caso, gli usi reali dell'IA nella vostra azienda. Rispondete a un breve questionario sul vostro utilizzo dell'IA e ottenete una lettura in linguaggio semplice della vostra situazione probabile.