Il freno all'intelligenza artificiale nelle PMI italiane non è solo tecnico o economico: è anche la sensazione di non sapere cosa è permesso. Secondo lo studio «Sbloccare il futuro», realizzato da TEHA insieme ad Amazon e AWS (quindi con aziende del settore fra i promotori) e presentato il 4 settembre 2026 al Forum di Cernobbio, il 68% delle imprese fatica a comprendere gli obblighi dell'AI Act e, dove l'incertezza normativa pesa di più, le intenzioni di investimento in IA risultano inferiori del 28%. Nel frattempo i primi obblighi del regolamento europeo sono già scattati — e molte PMI non se ne sono accorte.

L'incertezza costa quanto un investimento

Lo stesso studio misura un divario che si allarga con la dimensione dell'impresa: ha un'intensità digitale alta o molto alta l'82% delle grandi aziende, il 61% delle medie e solo il 34% delle piccole. Nel complesso, il 92% delle imprese italiane non raggiunge un livello di digitalizzazione elevato, e gli investimenti nei settori ad alta intensità tecnologica valgono in Italia l'1,3% del PIL contro l'1,9% della media europea.

Il paradosso è che l'IA, dove viene adottata con criterio, si associa a un aumento della produttività del lavoro di circa il 4%. Il ritorno c'è; a mancare, per una piccola impresa, è spesso la fiducia di potersi muovere senza sbagliare. L'AI Act non è un buon motivo per rimandare: è un motivo per conoscere le regole e non rimandare «a caso».

Cosa è già in vigore (e viene spesso ignorato)

Il Regolamento (UE) 2024/1689 non entra in vigore tutto insieme. Le tappe già operative sono queste:

  • 2 febbraio 2025. Divieto delle pratiche vietate (art. 5: fra le altre, il social scoring, alcune tecniche manipolative, il riconoscimento delle emozioni sul posto di lavoro) e obbligo di alfabetizzazione (art. 4): l'impresa che usa sistemi di IA deve adottare misure per sviluppare le competenze del personale che li utilizza.
  • 2 agosto 2025. Regole per i fornitori di modelli per finalità generale (GPAI), come OpenAI, Anthropic o Google. Chi in azienda usa ChatGPT, Claude o Gemini non ha questi obblighi: per lui valgono l'alfabetizzazione e, dal 2 agosto 2026, gli obblighi di trasparenza nei casi previsti.
  • 2 agosto 2026. Diventano applicabili gli obblighi di trasparenza (art. 50), la piena operatività della governance e il regime sanzionatorio; gli Stati membri designano le autorità di sorveglianza del mercato.

Il «Digital Omnibus» sull'IA, cioè il Regolamento (UE) 2026/1744 in vigore dal 27 luglio 2026, ha spostato gli obblighi sui sistemi ad alto rischio al 2 dicembre 2027 e, per quelli integrati in prodotti già regolati, al 2 agosto 2028. Non ha rinviato alfabetizzazione, trasparenza e pratiche vietate, ma ha riscritto l'art. 4: l'obbligo di alfabetizzazione resta, solo che non chiede più di garantire un livello «sufficiente» di competenza, bensì di adottare misure per svilupparla. Per i sistemi generativi già sul mercato prima del 2 agosto 2026, la marcatura dei contenuti sintetici in formato leggibile dalle macchine slitta al 2 dicembre 2026.

La scadenza che riguarda quasi tutti

Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell'art. 50. Per una PMI i casi più frequenti sono due: un chatbot rivolto al pubblico deve far capire alle persone che stanno parlando con un'IA, e le immagini, gli audio o i video realistici generati o manipolati con l'IA (i deepfake) vanno dichiarati come tali. I testi generati con l'IA e pubblicati per informare su temi di interesse pubblico vanno dichiarati, a meno che non siano stati rivisti da una persona che ne ha la responsabilità editoriale. In Italia si aggiunge la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025: indica AgID e ACN come autorità nazionali, chiede a chi esercita una professione intellettuale di informare il cliente sui sistemi di IA usati nella prestazione (art. 13) e al datore di lavoro di informare i lavoratori quando l'IA entra nella gestione del personale.

Le sanzioni, e perché per una PMI la lettura è diversa

L'art. 99 del regolamento fissa tre soglie: fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per l'uso di pratiche vietate; fino a 15 milioni o il 3% per la violazione degli altri obblighi, compresi quelli sui sistemi ad alto rischio; fino a 7,5 milioni o l'1% per informazioni inesatte o fuorvianti fornite alle autorità.

Per le PMI e le start-up, però, il legislatore europeo ha previsto che si applichi l'importo più basso fra la quota fissa e la percentuale sul fatturato: una scelta pensata per non trasformare la conformità in una barriera all'ingresso. Non è un «liberi tutti», ma ridimensiona lo scenario della multa milionaria che circola nel dibattito.

Il rischio concreto, per una piccola impresa, è un altro: congelare progetti utili per prudenza, oppure procedere senza alcuna verifica e ritrovarsi con strumenti non dichiarati, dati trattati in modo approssimativo e dipendenti che usano l'IA senza istruzioni.

Cinque passi concreti, alla portata di una PMI

  • Fare l'inventario dei sistemi di IA già in uso. Non solo gli strumenti evidenti: conta anche l'IA dentro il gestionale, il CRM, il centralino e le piattaforme di marketing, e l'uso individuale di assistenti generativi da parte delle persone.
  • Classificare, senza complicare. Per ogni sistema una domanda: è una pratica vietata? un caso ad alto rischio? un caso che richiede solo trasparenza? o un uso a rischio minimo? In una PMI la grande maggioranza degli impieghi ricade nelle ultime due categorie.
  • Formare chi usa l'IA. Un percorso breve e documentato — cosa può sbagliare uno strumento, quando non fidarsi dell'output, come trattare i dati — è il modo più semplice per rispettare l'obbligo di alfabetizzazione, e lascia traccia di averlo fatto.
  • Sistemare la trasparenza. Frasi standard verso i clienti, informativa ai dipendenti, etichettatura dei contenuti generati: poche righe, ma vanno scritte una volta e usate sempre.
  • Darsi una governance minima. Un responsabile interno, un registro dei sistemi e delle decisioni, regole sui dati coordinate con il GDPR. È lo stesso impianto degli adeguati assetti: vale anche qui.

Il punto

Lo studio di Cernobbio chiede alla politica un quadro più stabile e incentivi mirati all'adozione di IA e cloud per le PMI. Sono richieste di sistema, con tempi lunghi.

La leva che una PMI controlla da subito è più modesta: mettere in fila gli strumenti che già usa, classificarli e formare le persone. Costa poco farlo adesso, con calma; costa molto di più quando diventa urgente — o quando un cliente, un fornitore o un bando chiede di dimostrarlo.

Approfondimenti. L'altro ostacolo all'IA nelle PMI sono le persone: metà dei tecnici richiesti è introvabile. Per mappare dove l'IA entra nei processi e quali sistemi usate già: vedi Digital transformation.

Questo articolo ha finalità divulgative e non costituisce consulenza legale, fiscale o tecnica. I dati citati provengono dallo studio «Sbloccare il futuro: investimenti high-tech per la competitività italiana» di TEHA, Amazon e AWS, presentato il 4 settembre 2026 al Forum di Cernobbio — fonte: About Amazon. Il quadro normativo è quello del Regolamento (UE) 2024/1689 (AI Act), modificato dal Regolamento (UE) 2026/1744 («Digital Omnibus»), e della legge 23 settembre 2025, n. 132. Articolo aggiornato il 16 ottobre 2026: corretti il perimetro degli obblighi GPAI (riguardano i fornitori dei modelli) e degli obblighi di trasparenza, e aggiunte le modifiche del Digital Omnibus all'art. 4. Scadenze e obblighi vanno verificati sui testi ufficiali vigenti.

Testo redatto con l'ausilio di sistemi di intelligenza artificiale, a partire dalle fonti citate. La responsabilità editoriale dei contenuti è di Audacis S.r.l. Maggiori informazioni.