AI Act per PMI manifatturiere: 10 azioni da fare prima del 2 agosto 2026

Premessa: cosa è urgente, cosa è scaduto, cosa è stato rinviato

Prima di mettersi in lista, vale la pena chiarire cosa la stampa generalista sta confondendo. L'AI Act non scade il 2 agosto 2026 in blocco. Scadenze multiple, alcune già passate, altre rinviate dall'accordo Parlamento-Consiglio UE del 7 maggio 2026 (il cosiddetto Digital Omnibus). Riassunto in una tabella:

Confindustria e Anitec-Assinform avevano chiesto un rinvio di due anni. L'UE ha concesso 16 mesi sui sistemi alto rischio, niente sui transparency. Per una PMI manifatturiera 50-250 dipendenti questo significa: il grosso del lavoro è sul transparency. Il resto (Annex III) avete tempo, ma non è una vacanza.

Le 10 azioni che seguono sono in ordine di priorità reale. Tempo stimato totale: 8-12 giornate persona spalmate su 4-6 settimane.

1. Inventariare i sistemi AI in uso (mezza giornata, urgente)

Una pagina A4, tre colonne: nome del sistema, chi lo usa, che dati processa.

Esempio di base per una PMI manifatturiera:

Aspettatevi sorprese. Lo "shadow AI" è la regola, non l'eccezione: ChatGPT consumer pagato dalla carta personale di un commerciale, Copilot abilitato da un IT esterno senza che la direzione lo sappia, plugin AI in Notion o Slack attivati da reparti singoli. L'Osservatorio AI del Politecnico di Milano stima che il 74% dell'uso di strumenti AI in PMI avvenga al di fuori del perimetro aziendale governato. Mappa prima, decidi dopo.

2. Distinguere se siete provider o deployer (1 ora, concettuale)

L'AI Act distingue due ruoli: provider (chi sviluppa o immette sul mercato un sistema AI), deployer (chi lo usa nell'attività professionale). La quasi totalità delle PMI manifatturiere italiane è deployer, non provider.

Conta la sostanza, non l'etichetta. Se acquistate ChatGPT Enterprise, siete deployer. Se vi commissionate uno sviluppo custom da un'agenzia che etichetta il prodotto con il vostro brand, ricadete provider. Una citazione da un audit AI Act del febbraio 2026 (riportata da TuxWeb) la dice tutta: "Pensavamo che il vendor ci avesse già messo in regola. Abbiamo scoperto che il contratto ci nominava deployer e ribaltava ogni obbligo documentale su di noi. Tre mesi di lavoro retroattivo".

L'azione concreta è leggere il contratto con ogni fornitore AI e annotare nell'inventario del punto 1, accanto a ogni sistema, il ruolo che il contratto vi assegna. Se non è chiaro, è una red flag.

3. Classificare ogni sistema per categoria di rischio (1 giornata, fondamentale)

L'AI Act ha quattro categorie. Per ogni sistema dell'inventario, identificate quale:

• Rischio inaccettabile (vietato): non dovreste averne. Se per caso usate un sistema di riconoscimento emozioni sul posto di lavoro, va spento subito.
• Rischio alto (Annex III): screening CV, scoring credito, biometria identificativa, AI integrata in safety component di macchinari. Obblighi pesanti, ma rinviati al 2 dicembre 2027 (Annex III) o 2 agosto 2028 (Annex I).
• Rischio limitato: chatbot, generative AI, deepfake. Obblighi di trasparenza Art. 50, scadenza 2 agosto 2026.
• Rischio minimo: tutto il resto. Nessun obbligo specifico, ma resta l'AI literacy (Art. 4).

Per una PMI manifatturiera tipo, l'80% dei sistemi cade in rischio minimo o limitato. Solo HR screening CV e biometria accessi rischiano la categoria alta. Predictive maintenance e controllo qualità con visione artificiale di solito sono rischio limitato o minimo, salvo che il sistema sia safety component di un macchinario regolamentato (Annex I): in quel caso scatta il rischio alto, ma con l'orizzonte 2 agosto 2028.

4. Recuperare la formazione AI literacy Art. 4 (1 giornata persona × N persone, già scaduto)

Questo è il punto su cui la maggior parte delle PMI ha già accumulato debito. L'Art. 4 AI Act è in vigore dal 2 febbraio 2025. L'enforcement (vigilanza ACN/AgID) parte il 2 agosto 2026, ma l'obbligo è già nato.

Cosa pretende il regolatore (da FAQ AI Office Commissione UE aggiornate ad agosto 2025): formazione proporzionata al ruolo, documentata, periodica. Non basta inviare una mail con un link a un video YouTube. Serve documentare chi ha fatto cosa, quando, e cosa ha imparato.

Lo Studio Legale Stefanelli & Stefanelli ha rilevato che "questo differimento temporale tra entrata in vigore dell'obbligo e attivazione della vigilanza configura un periodo transitorio durante il quale le organizzazioni dovrebbero proattivamente implementare programmi di alfabetizzazione". Tradotto: chi si attrezza ora si copre. Chi non lo fa e poi viene contestato non può invocare buona fede.

L'azione concreta è in tre passi: 1) inventariare chi tocca sistemi AI, 2) calibrare il livello (base, intermedio, avanzato), 3) erogare e documentare. Approfondiamo tempi, contenuti e benchmark di costo nell'articolo dedicato sull'Art. 4.

5. Scrivere una policy AI usage interna (mezza giornata)

Due pagine. Cosa è ammesso, cosa no, chi è responsabile, cosa fare in caso di dubbio.

Struttura minima funzionante:

• Sistemi autorizzati: l'elenco del punto 1, con il referente per ogni voce.
• Dati non condivisibili: dati personali clienti senza consenso, dati di lotto sensibili, segreti industriali, dati finanziari pre-pubblicazione, listini riservati, capitolati tecnici proprietari.
• Uso responsabile: ogni contenuto pubblicato all'esterno generato da AI deve essere revisionato da un umano; ogni decisione che incide su un dipendente o cliente non può essere automatizzata al 100%; obbligo di disclosure quando si pubblicano contenuti AI-generated.
• Cosa fare in caso di dubbio: contattare la persona X (il DPO, il CFO, l'IT Manager).

Modello "buono enough": cinque paragrafi, un foglio. Non vi serve un manuale di trecento pagine. Vi serve qualcosa che chiunque in azienda legga in dieci minuti.

6. Mettere in atto la trasparenza Art. 50 (1-2 giornate, scatta 2 agosto 2026)

Questo è il pezzo che la maggior parte delle PMI sta sottovalutando. Art. 50 AI Act ha quattro paragrafi che vi riguardano direttamente:

• Par. 1: i sistemi AI che interagiscono con persone fisiche (chatbot del sito, voicebot al telefono, assistenti virtuali) devono dichiarare di essere AI, salvo che sia evidente dal contesto.
• Par. 2: gli output di sistemi generativi (audio, immagini, video, testo) devono essere marcati in formato leggibile dalle macchine come artificialmente generati. Sì, è il watermarking. La pubblicazione del Codice di Buone Pratiche sulla Trasparenza dei Contenuti Generati dall'IA è attesa per inizio giugno 2026.
• Par. 4: i deepfake (immagini, audio o video che riproducono persone reali) devono essere dichiarati al momento della prima esposizione, in modo chiaro e distinguibile.
• Par. 5: testi generati da AI pubblicati su questioni di interesse pubblico vanno dichiarati, salvo revisione editoriale umana con responsabilità.

Per una PMI manifatturiera vuol dire tre cose pratiche:

1. Chatbot sito: aggiungere un disclaimer visibile "Assistente AI" prima del primo messaggio. Banale, ma se manca è violazione.
2. Email generative con Copilot/ChatGPT: niente obbligo di disclosure per comunicazioni B2B una-a-una, ma sui contenuti pubblici (newsletter, social, blog) la prassi sta convergendo sulla dichiarazione.
3. Foto e video pubblicitari generati o ritoccati con AI: serve etichettatura. Se il vostro reparto marketing usa Midjourney per le visual delle gare o degli ADV LinkedIn, predisponete una nota a piè di pagina o un metadato standard.

La bozza Linee Guida della Commissione UE sull'Art. 50 (ciclo workshop chiuso a marzo 2026, pubblicazione finale prevista inizio giugno 2026) chiarirà le modalità tecniche del watermarking. Ma la sostanza è già decisa: dichiarare, sempre.

7. Rivedere i contratti DPA con i fornitori AI (1-2 giornate, urgente)

Se i sistemi AI dell'inventario processano dati personali (e quasi sempre lo fanno), oltre all'AI Act dovete essere a posto sul GDPR. La checklist di cosa pretendere dal fornitore in fase contrattuale è in GDPR e AI: cosa firmare prima di far processare dati.

I tre punti più importanti, in sintesi:

• DPA esplicito ex art. 28 GDPR, con sub-processor list nominati per nome e paese, data residency UE dichiarata, diritto di audit, notifica data breach entro 72 ore.
• Clausola "no training": il fornitore non può usare i vostri prompt o dati per addestrare modelli. Sui prodotti consumer (ChatGPT free, Gemini gratuito) questa clausola di solito non c'è. Per uso aziendale serve sempre versione enterprise.
• Allocazione provider vs deployer ex art. 25 AI Act: ribadita per iscritto, così non vi ritrovate scaricato a sorpresa l'onere documentale (vedi citazione del punto 2).

8. Predisporre un registro decisioni AI (giornata mezza, preparatorio per Annex III)

I sistemi alto rischio sono rinviati al 2 dicembre 2027, ma il registro va impostato adesso se prevedete che fra 18 mesi un vostro sistema (tipico: HR screening CV) ricadrà in Annex III.

Cosa contiene il registro: ogni decisione presa o supportata dal sistema AI, con timestamp, dati in input, output, persona responsabile della validazione umana, eventuali correzioni manuali, riscontro finale. Per HR screening: ogni CV scartato dal sistema, con motivo, validato (o ribaltato) da un selezionatore umano.

Sembra burocratico. Lo è. Ma se fra due anni vi serve, costruirlo a regime quando il sistema è già in produzione è dolorosissimo. Farlo ora, in modalità "leggera" su uno spreadsheet, è venti minuti al giorno.

9. Designare un referente AI compliance interno (organizzativo, mezza giornata)

Una persona. Non un comitato. Per una PMI 50-250 dipendenti il referente AI è quasi sempre una di queste tre figure: il DPO (se esiste), il CFO/Direttore Amministrativo (se non c'è un DPO), l'IT Manager (per il taglio tecnico-operativo).

Cosa fa il referente:

• Tiene aggiornato l'inventario sistemi AI (punto 1).
• È il punto di contatto interno per dubbi del personale.
• È il riferimento esterno verso ACN o consulenti per eventuali ispezioni o segnalazioni.
• Coordina la formazione AI literacy con HR e formazione esterna.
• Approva (o rifiuta) l'introduzione di nuovi sistemi AI.

Una mail interna in cui la direzione comunica nome e ruolo del referente è sufficiente. Non serve mandato notarile.

10. Valutare l'ingresso in sandbox regolatoria (opzionale strategico)

Per la maggior parte delle PMI manifatturiere è un'opzione, non un obbligo. Diventa rilevante se state per portare in produzione un sistema borderline che potrebbe essere classificato alto rischio.

L'art. 20, comma 1 lett. c) della L. 132/2025 ha istituito spazi di sperimentazione gestiti congiuntamente da AgID e ACN, con durata massima fino a 24 mesi (l'estremo deriva dall'art. 57 AI Act). Per startup e PMI è prevista priorità di accesso.

Il vantaggio è doppio: niente sanzioni automatiche durante il test, accompagnamento del regolatore con eventuali mitigazioni concordate. Trattamento approfondito nell'articolo sulla Legge 132/2025.

Cosa pensa la voce dell'industria: il dibattito sul rinvio

Marco Gay, ex Presidente Anitec-Assinform e attuale Presidente Confindustria Piemonte, ha riconosciuto in un'intervista a Industria Italiana che l'AI "sta rivoluzionando il modo in cui le aziende operano, con un impatto significativo sulle PMI". Massimo Dal Checco, Presidente Anitec-Assinform, è stato più diretto chiedendo formalmente alla Commissione UE il rinvio di due anni: "i nuovi profili di compliance che [l'AI Act] prevede sono senza precedenti, e le imprese hanno bisogno di più tempo per adottarli efficacemente".

L'UE ha concesso 16 mesi sui sistemi alto rischio. Il 2 agosto 2026 resta la data dei transparency. Per una PMI manifatturiera concretamente significa: il grosso del lavoro è alla portata se cominciate adesso, e si fa in casa o con un partner snello senza chiamare una Big Four.

Cosa facciamo noi di default

Per le PMI manifatturiere che ci contattano, partiamo sempre con un assessment di mezza giornata che copre i punti 1, 2 e 3 (inventario, ruolo provider/deployer, classificazione rischio). Tipicamente sono 4 ore di interviste interne più una pagina di report. Da lì decidiamo insieme se vale la pena attivare il pacchetto completo (policy AI interna, contratti DPA blindati, registro decisioni) o se basta una pulizia documentale.

Hosting Hetzner Helsinki di default per i sistemi che mettiamo in produzione. Pilot agreement con criteri di successo firmati prima del kickoff.

AICompliance: audit uso AI + mappatura obblighi Art. 50 + pacchetto contrattuale (DPA, sub-processor list, Registro trattamenti GDPR). Dettagli in AI Compliance.

Se ha senso per voi, scopriamolo in 30 minuti.

Aggiornato al 24 maggio 2026. Articolo divulgativo, non costituisce consulenza legale. Le scadenze AI Act citate riflettono l'accordo provvisorio Parlamento-Consiglio UE del 7 maggio 2026 sul Digital Omnibus: la pubblicazione del regolamento di modifica definitivo potrà comportare assestamenti minori.