Indice

Introduzione: cosa è cambiato il 10 giugno 2026

Il 10 giugno 2026 il Consiglio dei Ministri ha approvato il decreto legislativo di attuazione nazionale del Regolamento europeo sull'intelligenza artificiale (EU AI Act, Regolamento UE 2024/1689). Da quel giorno, l'Italia ha un quadro normativo sull'AI che non è più solo europeo e astratto, ma nazionale, operativo e dotato di un'autorità di controllo con poteri concreti.

Eppure la notizia ha circolato principalmente nelle riviste specializzate in diritto digitale. La stragrande maggioranza degli imprenditori italiani non sa che esiste questo decreto. E tra chi ne ha sentito parlare, pochi hanno capito cosa cambia davvero nella quotidianità della loro azienda.

Questa guida è pensata per colmare esattamente questo gap. Non è un commento giuridico: è un'analisi operativa di cosa prevede il decreto, chi controlla, come vengono classificati i sistemi AI in base al rischio, e quali obblighi scattano per le PMI che usano intelligenza artificiale nei loro processi.

Il decreto nel contesto dell'EU AI Act

Il decreto italiano non è una legge autonoma: è il recepimento nazionale di un regolamento europeo già in vigore. L'EU AI Act è stato pubblicato nella Gazzetta Ufficiale dell'Unione Europea nell'agosto 2024 ed è entrato in vigore in modo progressivo, con le disposizioni principali operative dall'agosto 2026.

Essendo un Regolamento UE (e non una Direttiva), l'EU AI Act si applica direttamente in tutta l'Unione senza necessità di recepimento. Il decreto italiano serve per le parti che richiedono scelte nazionali: designare l'autorità competente, stabilire le sanzioni nel range previsto dalla norma europea, creare le strutture di supporto per le imprese (sandbox regolatori, punti di contatto), e definire le procedure di enforcement sul territorio.

In pratica: se vuoi capire cosa puoi o non puoi fare con l'AI in azienda, la fonte primaria rimane il Regolamento europeo. Il decreto italiano definisce chi ti controlla e cosa succede se non rispetti le regole sul territorio nazionale.

Un consiglio pratico di metodo: prima di leggere il decreto, vale la pena capire la struttura dell'EU AI Act, perché il decreto presuppone che tu la conosca. Le guide ufficiali di ACN e di AgID pubblicate contestualmente al decreto sono il punto di partenza più accessibile.

Chi controlla: l'autorità nazionale competente

Il decreto designa l'Agenzia per la Cybersicurezza Nazionale (ACN) come autorità nazionale competente per la supervisione dell'AI in Italia. Non è una scelta casuale: ACN ha già competenze su sicurezza informatica, infrastrutture critiche e tecnologie digitali, e viene rafforzata con un'unità dedicata all'intelligenza artificiale.

Accanto ad ACN, il decreto coinvolge altre autorità per settori specifici. L'Autorità Garante della Concorrenza e del Mercato (AGCM) mantiene competenza sulle pratiche commerciali scorrette legate all'AI nei confronti dei consumatori. Il Garante per la Privacy (GPDP) rimane l'autorità di riferimento per le intersezioni tra AI e protezione dei dati personali. Nelle aree di sovrapposizione, il decreto prevede meccanismi di coordinamento tra le autorità.

Cosa significa in pratica per un'azienda? Che in caso di ispezione o segnalazione, l'interlocutore principale sarà ACN per i profili tecnici di conformità AI, il Garante se il sistema AI tratta dati personali in modo rilevante, e AGCM se si tratta di pratiche commerciali verso consumatori. Avere un legale o un consulente che conosce tutti e tre i perimetri è più utile che mai.

La classificazione del rischio: dove ricade la tua azienda

Il cuore dell'EU AI Act (e quindi del decreto italiano) è un sistema di classificazione del rischio che determina quali obblighi si applicano a un sistema AI. Capire in quale categoria rientra l'AI che usi è il primo passo per sapere cosa fare.

Rischio inaccettabile (vietati). Sono i sistemi AI che il Regolamento proibisce direttamente: sistemi di scoring sociale generalizzato dei cittadini, manipolazione subliminale del comportamento, identificazione biometrica in tempo reale in spazi pubblici a scopi di law enforcement (salvo eccezioni specifiche), sistemi che sfruttano vulnerabilità di persone in situazioni di debolezza. Se usi sistemi di questo tipo, sei fuori dalla legge indipendentemente da qualsiasi altra considerazione.

Alto rischio. È la categoria che coinvolge più direttamente le PMI che usano AI nei processi operativi. Rientrano qui i sistemi AI usati per: selezione e valutazione del personale (screening CV automatico, scoring dei candidati), concessione del credito (scoring automatizzato dell'affidabilità finanziaria), sicurezza sul lavoro, controllo qualità in contesti produttivi con rilevanza per la sicurezza, sistemi di identificazione biometrica, processi educativi o formativi con valutazione automatizzata. Per questi sistemi scattano obblighi precisi: registrazione in una banca dati UE, valutazione di conformità, documentazione tecnica, supervisione umana obbligatoria, trasparenza verso gli utenti.

Rischio limitato. Chatbot e assistenti AI che interagiscono con persone fisiche, sistemi che generano contenuti sintetici (testi, immagini, audio, video), sistemi di riconoscimento delle emozioni. Per questi vige l'obbligo di trasparenza: l'utente deve sapere che sta interagendo con un'AI o che sta fruendo di contenuto generato artificialmente.

Rischio minimo. La grande maggioranza dei sistemi AI usati nelle PMI italiane ricade qui: filtri antispam, sistemi di raccomandazione prodotti, AI per la pianificazione logistica, strumenti di supporto alla scrittura, chatbot semplici per FAQ. Nessun obbligo specifico, ma buone pratiche di governance interna sono comunque raccomandate.

Gli obblighi concreti per le PMI

Il decreto e il Regolamento distinguono due ruoli: il fornitore (chi sviluppa o mette sul mercato un sistema AI) e l'utilizzatore (chi lo usa nell'ambito della propria attività). La grande maggioranza delle PMI italiane è nella posizione di utilizzatore, non di fornitore, e questo riduce significativamente il perimetro degli obblighi.

Come utilizzatore di sistemi AI ad alto rischio, gli obblighi principali sono: usare il sistema in conformità alle istruzioni del fornitore, garantire la supervisione umana quando richiesta, non modificare il sistema in modo da alterarne le caratteristiche di sicurezza, segnalare all'autorità eventuali incidenti seri, conservare i log delle operazioni per il periodo richiesto.

Per i sistemi a rischio limitato (chatbot in primis), l'obbligo chiave è la trasparenza: informare l'utente che sta interagendo con un'AI, in modo chiaro e comprensibile, prima che l'interazione inizi.

Per i sistemi a rischio minimo, non ci sono obblighi normativi specifici, ma il decreto prevede che le organizzazioni adottino codici di condotta volontari. Il consiglio pratico: anche senza obbligo formale, documentare come e dove si usa l'AI in azienda è una buona pratica che facilita qualsiasi futura verifica di conformità.

Un punto che molte PMI non considerano: se compri o usi software fornito da terzi che include componenti AI, il fornitore è responsabile della conformità del sistema. Ma tu, come utilizzatore, sei responsabile di usarlo nel rispetto della classificazione di rischio. Verificare che il fornitore abbia fatto la sua parte (documentazione tecnica, dichiarazione di conformità) è un passaggio che vale la pena fare.

Le sanzioni: quanto si rischia

Le sanzioni sono stabilite dal Regolamento europeo e il decreto italiano le recepisce con le percentuali previste dalla norma, adattando le soglie assolute minime per le PMI.

Per i sistemi AI vietati (rischio inaccettabile): sanzione fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore. È la sanzione massima prevista, applicabile ai casi più gravi.

Per le violazioni degli obblighi sui sistemi ad alto rischio: fino a 15 milioni di euro o al 3% del fatturato mondiale annuo. Rientrano qui il mancato rispetto degli obblighi di documentazione, supervisione umana, trasparenza verso gli utenti.

Per le informazioni false o incomplete fornite alle autorità di vigilanza: fino a 7,5 milioni di euro o all'1,5% del fatturato.

Per le PMI il Regolamento prevede che le autorità tengano conto della dimensione aziendale e applichino sanzioni proporzionate. Questo non significa immunità, ma significa che una piccola impresa che ha commesso un'irregolarità non intenzionale su un sistema a rischio limitato verrà trattata diversamente da una grande azienda che ha deliberatamente aggirato le norme su un sistema ad alto rischio.

Cosa fare adesso: una prima valutazione pratica

La risposta giusta al decreto non è il panico normativo, ma nemmeno ignorarlo. È fare una prima valutazione strutturata della propria situazione, che richiede meno tempo di quanto si pensi.

Il punto di partenza è una mappa delle AI che usi in azienda. Non solo i software etichettati come "AI", ma qualsiasi strumento che usa algoritmi per prendere decisioni o supportare decisioni che riguardano persone: selezione fornitori, valutazione dipendenti, interazione con clienti, analisi di credito, controllo qualità. Molti sistemi gestionali moderni hanno componenti AI che non vengono comunicati esplicitamente.

Il secondo passo è classificare ogni sistema usando la logica del Regolamento. La domanda chiave: questo sistema AI influisce su decisioni che riguardano persone fisiche in ambiti sensibili (lavoro, credito, sicurezza, educazione)? Se la risposta è sì, sei probabilmente nell'area ad alto rischio e hai bisogno di approfondire.

Il terzo passo è verificare la posizione del tuo fornitore software. Se usi software con componenti AI, il fornitore ha una dichiarazione di conformità all'EU AI Act? Sa dirti in quale categoria di rischio rientra il suo prodotto? Un fornitore serio ha già risposto a queste domande. Se non le ha ancora considerate, è un segnale da valutare.

Infine, per qualsiasi sistema ad alto rischio o per situazioni di incertezza, il confronto con un legale specializzato in diritto digitale o con un consulente in compliance AI è il passo successivo naturale. Il decreto è recente: il mercato della consulenza specializzata si sta organizzando, e scegliere bene chi ti affianca su questo tema fa la differenza.

Conclusione

Il decreto AI italiano del 10 giugno 2026 non è una rivoluzione per le PMI che usano AI in modo ordinario nei loro processi. È, però, un segnale definitivo che l'AI è entrata nel perimetro della compliance aziendale, con un'autorità che controlla, obblighi che scattano in base a come usi la tecnologia, e sanzioni che non sono solo formali.

La buona notizia è che la grande maggioranza delle piccole imprese italiane, se usa AI per supporto alla scrittura, chatbot semplici, analisi dati di marketing o ottimizzazione logistica, non ha obblighi particolarmente gravosi. La cattiva notizia è che chi usa AI per selezione del personale, scoring creditizio o processi che impattano la sicurezza, e non ha ancora verificato la propria situazione, ha un lavoro urgente da fare.

Il momento migliore per fare questa valutazione era prima del 10 giugno. Il secondo momento migliore è adesso.

Le domande più comuni

Il decreto italiano si applica anche alle piccole imprese con meno di 10 dipendenti?
Sì, l'EU AI Act e il decreto italiano si applicano a tutte le organizzazioni che usano sistemi AI nell'ambito di un'attività economica, indipendentemente dalla dimensione. Tuttavia, il Regolamento europeo prevede espressamente che le autorità di vigilanza tengano conto della dimensione dell'impresa nella determinazione delle sanzioni. Le micro e piccole imprese hanno anche accesso prioritario ai sandbox regolatori e alle misure di supporto previste per facilitare la conformità.

Cosa succede se uso ChatGPT o Claude per lavoro? Devo fare qualcosa?
In linea generale, l'uso di strumenti AI generativi per supporto alla scrittura, ricerca, sintesi documenti o brainstorming rientra nella categoria a rischio minimo, per cui non ci sono obblighi normativi specifici. Se però usi questi strumenti per prendere decisioni che riguardano persone fisiche (valutazioni di candidati, scoring di clienti, analisi di affidabilità), il profilo di rischio cambia e vale la pena approfondire con un consulente.

Chi devo contattare se voglio capire se il mio sistema AI è conforme?
ACN (Agenzia per la Cybersicurezza Nazionale) è l'autorità nazionale di riferimento e ha previsto uno sportello di orientamento per le imprese. Per le intersezioni con i dati personali, il Garante per la Privacy. Per i profili commerciali verso consumatori, AGCM. Sul versante privato, gli ordini degli avvocati e i consulenti specializzati in diritto digitale sono il canale più adatto per una valutazione personalizzata.

Qual è la differenza tra l'EU AI Act e il decreto italiano del 10 giugno?
L'EU AI Act è il Regolamento europeo direttamente applicabile in tutti i paesi UE: definisce le categorie di rischio, gli obblighi per fornitori e utilizzatori, e le sanzioni massime. Il decreto italiano è la norma nazionale che designa le autorità di controllo, stabilisce le procedure di enforcement sul territorio italiano, e definisce le sanzioni specifiche nel range previsto dalla norma europea. Se vuoi sapere cosa devi fare, leggi l'EU AI Act. Se vuoi sapere chi ti controlla e con quali procedure, leggi il decreto.

Un software HR con funzionalità AI che uso da anni rientra nelle categorie ad alto rischio?
Dipende da cosa fa concretamente quel software. Se la componente AI supporta solo l'organizzazione delle candidature (es. filtraggio per parole chiave, calendario colloqui), è probabilmente a rischio minimo o limitato. Se la componente AI produce un ranking automatico dei candidati, un punteggio di adeguatezza o una raccomandazione di esclusione basata su criteri algoritmici, rientra nei sistemi ad alto rischio per la selezione del personale. In questo caso, il fornitore del software dovrebbe già avere una dichiarazione di conformità: chiedila.

Cosa rischio se uso un sistema AI ad alto rischio senza rispettare gli obblighi?
Come utilizzatore (non fornitore), le sanzioni più probabili per violazione degli obblighi su sistemi ad alto rischio riguardano il mancato rispetto delle istruzioni del fornitore, l'assenza di supervisione umana dove richiesta, e la mancata segnalazione di incidenti. Le sanzioni possono arrivare fino al 3% del fatturato annuo mondiale, ma nella pratica iniziale le autorità tendono a privilegiare diffide, richieste di adeguamento e misure correttive prima di procedere con sanzioni pecuniarie, in particolare per le PMI.

Quanto tempo ho per mettermi in regola?
Le disposizioni principali dell'EU AI Act sono operative dall'agosto 2026. Il decreto italiano del 10 giugno 2026 definisce il quadro di enforcement nazionale a partire dalla stessa data. Non esiste un periodo di grazia formale prolungato per le PMI, ma le autorità di vigilanza hanno indicato che nella fase iniziale l'approccio sarà orientato alla sensibilizzazione e al supporto all'adeguamento più che all'enforcement immediato. Questo non significa aspettare: significa che adesso è il momento ideale per fare la valutazione iniziale senza pressione, prima che i controlli diventino sistematici.