Conformità AI Act per PMI: da dove partire davvero

La conformità all'AI Act per una PMI non è un certificato da acquistare, ma un processo proporzionato alle risorse disponibili. Il primo passo è prendere atto che l'AI è probabilmente già entrata in azienda: chat pubbliche, funzioni nei software, strumenti OCR, assistenti di scrittura, automazioni e prove individuali. Ignorarle non riduce il rischio.

Misure proporzionate, non burocrazia

Il regolamento chiede misure adeguate a ruolo, finalità e dimensione dell'organizzazione. Per una PMI significa partire da poche azioni concrete: un censimento degli strumenti, una policy chiara, un referente interno e una formazione periodica. Non serve creare un ufficio compliance dedicato, ma serve che qualcuno abbia mandato e tempo per aggiornare il registro quando cambia uno strumento.

Gli obblighi dipendono dal ruolo. Un'impresa che usa un assistente è di norma deployer; una che sviluppa o rivende un sistema AI è provider, con adempimenti più ampi. La distinzione è spiegata in obblighi AI Act per le aziende.

Per una conformità AI Act PMI realistica, il criterio è proporzionare gli sforzi: nel mondo AI Act PMI non esiste un modello unico, ma un insieme di misure minime che crescono con il rischio e con il numero di sistemi usati.

Gli errori comuni nelle PMI

Il primo errore è dichiarare “non usiamo AI” perché non c'è un progetto ufficiale, mentre i dipendenti incollano contratti e dati cliente in strumenti pubblici. Il secondo è comprare una licenza e credere che l'etichetta del fornitore basti. Il terzo è scrivere una policy di dieci pagine che nessuno legge, senza strumenti autorizzati e alternativi. Il quarto è trattare la formazione come un attestato una tantum anziché come misura proporzionata prevista dall'art. 4.

Cosa mettere nel registro AI

Un registro utile non elenca solo i software: per ogni caso d'uso annota finale, reparto o funzione, dati trattati (contratti, fatture, CV, dati cliente), fornitore, modello di erogazione, persone autorizzate, supervisione umana e data dell'ultima verifica. Da qui derivano la classificazione del rischio e le misure da applicare.

Verifica dei fornitori e architettura

Chiedi al fornitore dove girano modello, prompt, log e backup, chi può accedervi, se esistono sub-responsabili e come sono gestiti i dati personali. Per i fornitori cloud verifica anche giurisdizione e condizioni di accesso: le risposte devono essere documentabili, non solo commerciali.

Per dati sensibili o strategici, un'infrastruttura privata nel perimetro aziendale può rendere più controllabile il flusso tecnico. Non garantisce da sola la conformità AI Act o GDPR: riduce il numero di soggetti e passaggi da governare, ma restano necessari minimizzazione, basi giuridiche, permessi, log e accountability. La gestione della conformità come processo continuo è descritta in AI compliance aziendale; il quadro delle regole applicabili è in conformità GDPR e intelligenza artificiale.

Chiedilo a Mirko offre alle PMI un percorso pratico: assessment gratuito, workstation AI dedicata, OCR, agenti, integrazioni, formazione e assistenza in italiano. Serve a rendere l'AI governabile senza bloccare produttività, partendo dai casi d'uso reali e dalle condizioni tecniche da definire insieme.