Il Regolamento (UE) 2026/1744 introduce tre misure distinte per le imprese: le PMI ammissibili possono semplificare alcuni elementi del sistema di gestione della qualità, i fornitori e gli utilizzatori devono adottare misure di alfabetizzazione in materia di IA adeguate al contesto e ogni Stato membro deve rendere operativo almeno uno spazio nazionale di sperimentazione entro il 2 agosto 2027. La semplificazione non riguarda tutti gli obblighi dell’AI Act.
Tre misure da tenere distinte
| Misura | Destinatari | Effetto | Condizione o scadenza |
| Alfabetizzazione in materia di IA | Fornitori e utilizzatori, per il personale e le altre persone che operano per loro conto | Misure calibrate su conoscenze, esperienza, istruzione, formazione e contesto d’uso | Non è richiesto di garantire un livello specifico a ogni singola persona |
| Sistema di gestione della qualità | PMI ammissibili, comprese le start-up che soddisfano la condizione sulle imprese partner o collegate | Semplificazione di alcuni elementi previsti dall’articolo 17 | Si applica solo agli elementi interessati e alle imprese che rispettano la condizione prevista |
| Spazi nazionali di sperimentazione normativa per l’IA | Stati membri | Almeno uno spazio nazionale deve essere operativo | Entro il 2 agosto 2027; le PMI, le start-up e le imprese a media capitalizzazione di piccole dimensioni hanno accesso prioritario allo spazio dell’Unione |
La semplificazione per le PMI ha un perimetro preciso
Le PMI ammissibili, incluse le start-up che non hanno imprese partner o collegate secondo la definizione UE richiamata, possono soddisfare in modo semplificato alcuni elementi del sistema di gestione della qualità previsto dall’articolo 17. Non è una deroga generale all’AI Act né una cancellazione dell’intero sistema di gestione. Il quadro di riferimento resta quello del Regolamento (UE) 2024/1689.
Per capire se la misura può riguardare un’organizzazione, occorre quindi guardare sia ai requisiti di ammissibilità dell’impresa sia agli elementi specifici dell’articolo 17. Il fatto di essere una PMI, da solo, non basta a trasformare questa opzione limitata in un’esenzione complessiva.
Alfabetizzazione: misure adatte alle persone e all’uso
L’articolo 4 modificato chiede a fornitori e utilizzatori di adottare misure che sostengano l’alfabetizzazione in materia di IA. Nel definirle, devono considerare le conoscenze tecniche, l’esperienza, l’istruzione e la formazione delle persone coinvolte, oltre al contesto in cui il sistema viene usato.
La norma non impone di garantire un livello specifico a ogni singola persona e non stabilisce un punteggio o una certificazione universali. Per un’impresa, il punto pratico è calibrare le misure sulle attività effettivamente svolte e conservare traccia delle iniziative pertinenti, senza confondere l’obbligo di adottare misure con la garanzia di un risultato individuale identico per tutti.
Prima di assegnare gli obblighi, mappare strumenti e ruoli
L’AI Act usa un approccio basato sul rischio: gli obblighi dipendono dalla finalità del sistema e dal ruolo dell’organizzazione. La legge distingue, tra l’altro, pratiche vietate, sistemi ad alto rischio e obblighi di trasparenza per determinati usi; i modelli di IA per finalità generali seguono anche disposizioni specifiche.
Un utilizzatore impiega un sistema sotto la propria autorità nell’ambito di un’attività professionale. Un’organizzazione che acquista un software con IA può quindi avere obblighi legati al suo uso. Sviluppare un sistema, immetterlo sul mercato o metterlo in servizio a proprio nome può invece comportare il ruolo di fornitore; anche una modifica sostanziale o un cambiamento della finalità può incidere sulla classificazione del ruolo.
Per avviare la ricognizione, conviene includere sia le funzioni di IA integrate nei software già in uso sia gli strumenti adottati dai dipendenti. La guida video di Atico34 per le PMI suggerisce di registrare, per ogni sistema, fornitore, finalità, responsabile interno, utenti, dati trattati, persone interessate e misure di supervisione. Sono indicazioni pratiche del creatore del video; gli obblighi legali dipendono dalla norma e dalle caratteristiche del sistema.
Per i sistemi ad alto rischio, gli ambiti di controllo previsti dall’AI Act comprendono gestione dei rischi, governance dei dati, documentazione tecnica e registri, supervisione umana, accuratezza, robustezza e cybersicurezza. La classificazione viene prima: una funzione usata per selezionare candidati, per esempio, va valutata in relazione alla sua finalità e al contesto, non soltanto perché compare in un software aziendale.
Le due date principali per i sistemi ad alto rischio
Il calendario distingue i sistemi dell’articolo 6, paragrafo 2, e dell’allegato III da quelli dell’articolo 6, paragrafo 1, e dell’allegato I. Per i primi, la data principale di applicazione è il 2 dicembre 2027; per i secondi, il 2 agosto 2028. L’allegato III elenca specifici ambiti d’uso, tra cui occupazione, istruzione, biometria e alcuni servizi essenziali; l’allegato I riguarda sistemi di IA collegati a prodotti regolamentati.
