AI Act e PMI: la formazione non è un consiglio, è già legge da febbraio 2025
Entro in un'azienda metalmeccanica. Quaranta dipendenti. Chiedo chi usa l'AI: alzano la mano in tre. Poi giro tra le scrivanie e ne trovo dodici con ChatGPT aperto in un'altra scheda.
Si chiama shadow AI: l'AI che gira in azienda senza che tu, datore di lavoro, lo sappia. Nel 2026 è dappertutto.
Vengo dalla fabbrica, ho fatto l'operaio metalmeccanico prima di passare venticinque anni nel marketing B2B. Nelle PMI di Romagna vedo sempre la stessa cosa: gente in gamba che usa uno strumento nuovo senza regole, perché nessuno gliele ha date.
L'AI Act mi riguarda se sono una PMI?
Sì. Anche se non sviluppi niente, anche se l'unica AI in azienda è il ChatGPT con cui il geometra scrive un'email.
Il Regolamento (UE) 2024/1689, l'AI Act, è in vigore dal 1 agosto 2024 e vale per chiunque operi nel mercato europeo: la tua officina ci sta dentro come una multinazionale. Porta una parola che ti riguarda: deployer. Lo sei se usi sistemi AI fatti da altri, cioè ChatGPT, Copilot, Claude, Gemini. E il deployer ha doveri precisi: supervisione umana, persone formate, log conservati, incidenti gravi segnalati.
Cos'è l'art. 4 dell'AI Act e perché è già obbligatorio oggi?
L'articolo 4 si chiama alfabetizzazione AI: chi usa l'AI deve garantire un livello adeguato di competenza a chi la usa per lavoro. È in vigore dal 2 febbraio 2025. Leggilo di nuovo: è già legge applicabile oggi.
La formazione sull'AI non è un consiglio che ti do per venderti un corso. È un obbligo che esiste già. Mentre tutti guardano avanti, all'alto rischio, l'unico pezzo dell'AI Act già scattato è proprio quello sulla formazione. Il più semplice da rispettare, e quello che nessuno rispetta.
Sull'alto rischio ti do la verità: le date si stanno ancora definendo, il pacchetto Digital Omnibus potrebbe rinviarle. L'urgenza vera, già attiva, è una sola. La formazione.
L'AI Act è come la sicurezza sul lavoro?
L'AI è come la sicurezza sul lavoro: finché non succede niente sembra burocrazia, poi capita l'incidente. E le domande sono sempre le stesse tre: avevate le misure, avevate formato le persone, avete documentato. Se la risposta è no, il problema diventa tuo. Datore di lavoro. Sempre.
L'art. 4 fa la stessa identica cosa con l'AI: ti chiede di formare chi usa lo strumento, prima che lo strumento faccia danni. E i danni con l'AI, spesso, non si tornano indietro.
Cosa è successo davvero con Samsung?
Samsung, 2023. Alcuni ingegneri incollano codice sorgente riservato dentro ChatGPT. Quel codice finisce sui server del fornitore e lì resta. Il punto non è la multa, è l'irreversibilità: il dato è uscito e non rientra più.
Adesso porta Samsung nella tua officina. L'ufficio tecnico carica il disegno di un componente per farsi scrivere la scheda tecnica. Il commerciale incolla il listino con i margini per chiudere più in fretta. In buona fede. E il know-how costruito in vent'anni esce in tre secondi. Non perché siano sprovveduti, ma perché nessuno aveva dato regole.
Come funziona davvero la formazione AI in azienda?
Davanti alla shadow AI il titolare ha due strade. Vietare tutto per paura, e le persone continuano a usarla di nascosto e male. Oppure formare tutti, con una mappa a semaforo degli strumenti e una policy di due pagine: la squadra usa l'AI bene e in sicurezza, e l'azienda corre di più. La compliance qui è un effetto collaterale. Il vero premio è una squadra che usa l'AI senza farsi male.
Quanto pesano le sanzioni, e cosa cambia in Italia?
Le pratiche vietate arrivano fino a 35 milioni di euro o il 7% del fatturato, l'alto rischio fino a 15 milioni o il 3%, la trasparenza fino a 7,5 milioni o l'1%. Numeri da grande azienda. Per una PMI il rischio concreto quasi mai è la multa: è il dato che esce e non torna, il vantaggio regalato.
In Italia la Legge 132/2025, in vigore dal 10 ottobre 2025, istituisce l'Agenzia per l'IA, impone di etichettare i contenuti fatti con l'AI e ribadisce che l'AI è un supporto, non sostituisce la decisione umana.