Il doppio in dodici mesi. Nel 2024 il 7,7% delle piccole e medie imprese italiane (tra 10 e 249 addetti) utilizzava almeno una tecnologia di intelligenza artificiale; nel 2025 la quota è salita al 15,7%, secondo l'Istat. Numeri ufficiali, che però misurano solo ciò che le aziende dichiarano di aver adottato. Fuori dal perimetro restano il report riassunto con un chatbot la sera prima della riunione, la mail al cliente riscritta da un assistente generativo, il file Excel incollato in una chat per "fare prima".
È qui che si apre la partita dell'AI Act, il Regolamento europeo sull'intelligenza artificiale. Perché per molte PMI la domanda non è più "usiamo l'AI?", ma una più scomoda: sappiamo chi la sta usando, per fare cosa, con quali dati e con quali regole?
L'intelligenza artificiale è già entrata nelle aziende italiane?
Sì, e spesso dalla porta di servizio. Tra le imprese che la utilizzano, gli impieghi più diffusi sono l'estrazione di informazioni da documenti di testo (70,8%) e l'AI generativa (59,1%): esattamente il terreno di strumenti come ChatGPT, Gemini e Copilot, che dipendenti, collaboratori e manager possono attivare da soli, anche senza una decisione formale dell'impresa.
C'è poi un dato che dice molto sul tema di questo articolo. Sempre secondo l'Istat, tra le aziende che hanno valutato l'AI senza adottarla il freno più citato è la mancanza di competenze adeguate (58,6%), seguito dalla scarsa chiarezza del quadro normativo (47,3%) e dai timori su privacy e protezione dei dati (43,2%). Competenze, regole, dati: sono proprio i tre nodi su cui interviene l'AI Act.
È lo scenario che descrive Giuseppe Scapola, amministratore delegato di RoundCapital, informatico, imprenditore e formatore sull'intelligenza artificiale applicata ai processi aziendali: «Molte aziende pensano ancora di dover decidere se introdurre l’intelligenza artificiale. In realtà, spesso la decisione è già stata presa informalmente dalle persone che la utilizzano ogni giorno. Il problema diventa capire come la stanno usando, con quali informazioni e con quale consapevolezza.»
Il divario è tutto qui: l'AI entra nelle organizzazioni più in fretta di quanto le imprese riescano a governarla.
Perché l'AI Act riguarda anche le PMI che non sviluppano intelligenza artificiale?
È l'equivoco più diffuso tra imprenditori e responsabili HR: "Il Regolamento riguarda chi produce algoritmi, noi li usiamo e basta". Non è così. L'AI Act (Regolamento UE 2024/1689) distingue tra chi sviluppa e immette sul mercato i sistemi, i provider, e chi li utilizza nella propria attività professionale, i deployer.
Un'azienda che adotta uno strumento di terzi nei propri processi, dalla contabilità al customer care, dalla redazione di documenti alla selezione del personale, è a tutti gli effetti un deployer. E alcuni obblighi, a partire dall'alfabetizzazione del personale, valgono anche per lei. In Italia la legge n. 132/2025 ha affiancato il quadro europeo, individuando in AgID e nell'Agenzia per la cybersicurezza nazionale le autorità di riferimento.
Cos'è l'AI literacy e cosa prevede l'articolo 4 dell'AI Act?
L'articolo 4 è applicabile dal 2 febbraio 2025. Chiede a provider e deployer di adottare misure per sostenere lo sviluppo dell'alfabetizzazione in materia di intelligenza artificiale, la AI literacy, del proprio personale e delle altre persone che usano sistemi di AI per loro conto, tenendo conto di conoscenze tecniche, esperienza, istruzione, formazione e contesto di utilizzo.
Con le modifiche europee del luglio 2026, introdotte dal cosiddetto Digital Omnibus on AI (Regolamento UE 2026/1744), il principio è diventato più proporzionato: non è richiesto di garantire uno specifico livello individuale di competenza, ma resta l'obbligo di adottare misure adeguate al contesto. Un obbligo di mezzi, non di risultato. Ma pur sempre un obbligo.
E non coincide con un corso su come usare ChatGPT. Spiega Scapola: «AI literacy non significa insegnare semplicemente a scrivere un buon prompt. Significa mettere una persona nelle condizioni di capire quando utilizzare l’AI, quando non fidarsi dell’output, quali informazioni può inserire e quali conseguenze può avere una decisione supportata da un sistema di intelligenza artificiale.»
In pratica: opportunità, limiti, rischi, qualità degli output e conseguenze nel contesto aziendale. È su questo terreno che lavora la formazione AI per aziende e professionisti di RoundCapital, centrata sull'uso pratico degli strumenti, sull'integrazione nei processi e sulla capacità delle persone di valutarne correttamente limiti e risultati.
Sanzioni AI Act: quanto rischia davvero una PMI?
Da agosto 2026 sono operative le regole di vigilanza e applicazione relative all'obbligo di AI literacy, affidate alle autorità nazionali di sorveglianza del mercato, come indicato dalla Commissione europea. Il tema, insomma, non è più teorico.
Il sistema sanzionatorio dell'AI Act, disciplinato dall'articolo 99, è però costruito a gradini. Per le pratiche vietate si può arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale annuo. Per altre specifiche violazioni degli obblighi degli operatori, fino a 15 milioni di euro o al 3%. Per le PMI, startup comprese, il tetto massimo applicabile è il valore più basso tra l'importo assoluto e la percentuale.
Attenzione però a un titolo che circola spesso: la mancata formazione non equivale automaticamente a una "multa da 35 milioni". L'articolo 99 distingue tra categorie di violazioni e regimi diversi, e per l'AI literacy la Commissione precisa che eventuali sanzioni devono essere proporzionate al singolo caso, alla natura e alla gravità della violazione e al suo carattere intenzionale o colposo. Il rischio vero, per una piccola impresa, spesso non è la sanzione record: è l'errore operativo che nessuno ha previsto.
Quali sono gli errori più comuni delle aziende con l'intelligenza artificiale?
Sono situazioni che molti imprenditori riconosceranno.
Dati riservati nei chatbot. Informazioni aziendali, documenti o dati sensibili inseriti in strumenti di AI senza una regola condivisa su cosa si può caricare e cosa no.
Output presi per buoni. Testi, analisi e sintesi prodotti dall'AI e usati come se fossero automaticamente corretti, senza verifica umana.
Decisioni costruite su documenti generati. Report e sintesi che incidono su attività operative o decisionali, senza che nessuno sappia quale parte sia frutto di un modello generativo.
AI nelle risorse umane. Sistemi impiegati per selezione, valutazione o gestione delle persone senza comprenderne le implicazioni. Un ambito delicato: l'AI Act inserisce i sistemi usati per assunzioni e decisioni sul lavoro tra quelli ad alto rischio.
Strumenti a macchia di leopardo. Team diversi che usano applicazioni diverse, senza una mappatura aziendale e senza policy interne.
Automazioni senza responsabile. Flussi introdotti per velocizzare il lavoro senza definire chi controlla, cosa e con quali limiti.
Da dove dovrebbe partire una PMI per mettersi in regola con l'AI Act?
Non dal negozio di software. L'amministratore delegato di RoundCapital è netto: «Per una PMI il primo passo non dovrebbe essere acquistare un nuovo strumento. Dovrebbe essere fotografare ciò che sta già accadendo: quali strumenti vengono usati, da chi, su quali processi e con quali dati. Solo dopo ha senso parlare di formazione, policy e governance.»
La sequenza, in cinque passaggi:
Mappare gli utilizzi: quali strumenti, quali persone, quali processi, quali dati.
Individuare i rischi: dove passano informazioni riservate, dove un output errato può fare danni, dove entrano in gioco le persone.
Formare le persone: percorsi calibrati sui ruoli e sul contesto, come chiede l'articolo 4.
Definire regole interne: una policy chiara su strumenti ammessi, dati utilizzabili e verifiche obbligatorie.
Mantenere un presidio nel tempo: gli strumenti cambiano ogni mese, le regole e le competenze devono seguirli.
Una curiosità: il divario che si allarga
L'AI cresce ovunque, ma non allo stesso ritmo. In Italia la distanza tra grandi imprese e PMI si è allargata: era di circa 20 punti percentuali nel 2023, nel 2025 è arrivata a 37, con il 53,1% delle grandi aziende che usa l'AI contro il 15,7% delle piccole e medie (Istat). E in Europa? Secondo Eurostat, nel 2025 la media Ue delle imprese con almeno dieci addetti che usano l'AI è del 20%, con la Danimarca al 42% e la Romania al 5,2%. L'Italia, al 16,4%, sta sotto la media europea. Tradotto: per le PMI italiane la partita non è solo tecnologica. È fatta anche di competenze e organizzazione, esattamente il terreno su cui si gioca l'AI literacy.
Per molte imprese, del resto, il rischio più grande non è che l'intelligenza artificiale arrivi troppo presto, ma accorgersi troppo tardi che era già entrata nei processi senza regole, competenze e responsabilità chiare.
Domande frequenti su AI Act e PMI
L'AI Act si applica anche alle piccole imprese? Sì. Chi utilizza sistemi di intelligenza artificiale nella propria attività professionale è un deployer e deve rispettare gli obblighi previsti, a partire dall'AI literacy dell'articolo 4.
Da quando è obbligatoria la formazione AI in azienda? L'articolo 4 si applica dal 2 febbraio 2025; le regole di vigilanza e applicazione sono operative da agosto 2026.
Serve un attestato per ogni dipendente? Dopo le modifiche del luglio 2026 non è richiesto di garantire uno specifico livello individuale di AI literacy, ma l'impresa deve adottare misure adeguate al contesto e alle persone coinvolte.
Quali sanzioni prevede l'AI Act per le PMI? Il sistema è a gradini: fino a 35 milioni o 7% del fatturato per le pratiche vietate, fino a 15 milioni o 3% per altre specifiche violazioni. Per le PMI si applica il valore più basso tra importo e percentuale.
Per approfondire: RoundCapital · Formazione AI per aziende e professionisti
Fonti: [Istat, Imprese e ICT – Anno 2025](https://www.istat.it/comunicato-stampa/imprese-e-ict-anno-2025/) · [Eurostat](https://ec.europa.eu/eurostat/web/products-eurostat-news/w/ddn-20251211-2) · [Regolamento (UE) 2024/1689](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) · [Regolamento (UE) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj) · [Commissione europea, AI literacy Q&A](https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers) · [Legge 23 settembre 2025, n. 132](https://www.gazzettaufficiale.it/eli/id/2025/09/25/25G00143/sg)
