L'AI Act mi riguarda se automatizzo i preventivi?
Le automazioni aziendali più comuni non sono ad alto rischio. Cosa si applica davvero a una PMI, con le scadenze aggiornate dopo il Digital Omnibus.
In breve
Automatizzare preventivi, ordini o email non è un uso ad alto rischio e non richiede certificazioni. Restano tre cose, l'alfabetizzazione di chi usa gli strumenti, la trasparenza dal 2 agosto 2026 e la marcatura dei contenuti generati, a carico di chi fornisce il sistema, entro il 2 dicembre 2026. Gli obblighi pesanti sono slittati al 2027 e al 2028. Non è un parere legale.
Da quando l'AI Act si applica per intero, dal 2 agosto 2026, la domanda me la fanno spesso e suona sempre uguale: se automatizzo i preventivi con l'intelligenza artificiale, finisco dentro un regolamento europeo?
La risposta breve è no, quasi mai nel senso che temi. Un software che compila preventivi o smista email non è un sistema ad alto rischio, e non ti obbliga a certificazioni, valutazioni di conformità o marcature CE.
La risposta lunga è che qualcosa ti riguarda comunque, che è già in vigore, e che è molto meno oneroso di come viene raccontato. Vale la pena sapere cosa.
Quello che segue è quanto ho capito lavorandoci, non è un parere legale. Per una valutazione sul tuo caso specifico serve un avvocato che se ne occupi.
Il regolamento ragiona per rischio, non per tecnologia
È il punto che sblocca tutto il resto. L'AI Act non guarda quanto è sofisticato il software, guarda a cosa serve.
Ci sono usi vietati, e sono pochi e riconoscibili: il punteggio sociale sui cittadini, certe forme di riconoscimento biometrico, i sistemi che sfruttano le vulnerabilità delle persone.
Ci sono usi ad alto rischio, ed è la categoria che spaventa. Riguarda cose come i sistemi che selezionano il personale o ne gestiscono la carriera, quelli che decidono l'accesso al credito o a servizi essenziali, quelli usati nell'istruzione, nelle infrastrutture critiche e nella biometria. Qui gli obblighi sono seri.
Poi c'è tutto il resto, ed è dove sta la stragrande maggioranza delle automazioni aziendali. Compilare un preventivo con i dati di una richiesta, leggere una fattura ed estrarne i campi, smistare gli ordini in arrivo, preparare la bozza di una risposta. Sono tutti usi a rischio minimo.
Attenzione a un'eccezione che tocca da vicino chi assume. Se automatizzi lo screening dei candidati, cioè se il software li filtra o li valuta, quello è alto rischio. È il caso in cui vale la pena fermarsi e farsi seguire da chi di norme se ne occupa.
Cosa ti riguarda davvero, e da quando
Tre cose, e due sono già in vigore.
L'alfabetizzazione sull'AI, dal 2 febbraio 2025. Chi mette in mano ai propri collaboratori strumenti che usano l'intelligenza artificiale deve adottare misure perché quelle persone li capiscano abbastanza da usarli con criterio. Non è un corso obbligatorio con un attestato. Dal 27 luglio 2026, con il Digital Omnibus sull'AI, la norma chiede di adottare misure per far crescere quella competenza, tenendo conto di cosa le persone sanno già e di come usano lo strumento, senza dover garantire un livello preciso a ciascuna. In pratica, chi usa lo strumento deve sapere cosa fa, dove sbaglia e quando serve controllare.
La trasparenza, dal 2 agosto 2026. Se un contenuto è generato o manipolato da un sistema di AI, deve essere riconoscibile come tale. Nel concreto di un'azienda vuol dire soprattutto due cose. Se hai un assistente che parla con i clienti, chi ci parla deve sapere che non è una persona, a meno che sia evidente dal contesto. E i contenuti generati vanno marcati in un formato che una macchina sa leggere, ma quello è un compito di chi fornisce il sistema. Se lo strumento lo hai comprato, la marcatura la fa chi te lo vende. Se te lo sei fatto costruire e lo usi a nome tuo, per la norma il fornitore sei tu, e nel mio caso la marcatura la metto io quando costruisco.
Il 2 dicembre 2026. È la scadenza da segnare. Chi fornisce un sistema che genera contenuti e che era già sul mercato prima del 2 agosto 2026 ha tempo fino a quel giorno per mettere la marcatura. Se hai già in casa qualcosa che genera contenuti e te lo sei fatto costruire, è il momento di guardarlo.
Gli obblighi pesanti per i sistemi ad alto rischio dell'Allegato III sono invece slittati al 2 dicembre 2027, e quelli per l'AI integrata in prodotti già regolati, come macchinari e dispositivi medici, al 2 agosto 2028.
Il rinvio è quello del Digital Omnibus, in vigore dal 27 luglio 2026. Sposta le date e alleggerisce qualche adempimento, ma la lista degli usi ad alto rischio è la stessa del 2024, e chi si prepara adesso si prepara su quella.
Cosa vuol dire in pratica per un'automazione dei preventivi
Poco, ed è la cosa importante da portarsi a casa.
Se il software prende una richiesta, ne estrae i dati e compila un preventivo, sei fuori dalle categorie pesanti, perché quell'uso non sta nell'elenco dell'alto rischio. Per l'AI Act non serve nessuna pratica. I dati delle persone sono un altro capitolo, e ci arrivo fra poco.
Restano tre buone abitudini, che peraltro converrebbe avere anche senza regolamento.
Tieni un elenco. Scrivi da qualche parte quali strumenti in azienda usano l'AI, per fare cosa, e chi ne risponde. È mezza pagina e serve a te prima che a un ispettore.
Lascia la decisione a una persona dove pesa. Un preventivo che esce da solo e va al cliente senza che nessuno lo guardi è un rischio commerciale prima ancora che normativo. La forma giusta è che il software prepari e una persona approvi.
Fai lasciare traccia. Ogni automazione dovrebbe registrare cosa ha fatto e su quali dati. Serve a trovare gli errori, e serve a rispondere se un giorno qualcuno chiede conto di una decisione.
Sono le stesse tre cose che chiedo io quando costruisco un'automazione, e non le chiedo per l'AI Act. Le chiedo perché senza non sai cosa sta succedendo dentro casa tua.
E i dati che l'automazione tocca?
Questa è la domanda che arriva subito dopo, e non è AI Act, è GDPR, cioè protezione dei dati.
Nella maggior parte delle automazioni i dati restano nei tuoi sistemi. Il software li legge dove sono già e ci riscrive dentro. Quando un passaggio ha bisogno di un modello di AI esterno, si decide prima cosa quel modello può vedere, e spesso la risposta è molto meno di quanto si immagini.
Quando i dati sono di quelli su cui non si scherza, esiste anche la strada di far girare il modello su un server dell'azienda, senza che esca niente. È una scelta che costa di più, in macchina e in gestione, quindi si fa quando ha senso e non per principio.
Hai un'automazione in casa e non sai se ti riguarda? Raccontami cosa fa e con quali dati, e ti dico in che categoria cade e cosa cambierei nel modo in cui è costruita. Scrivermi non costa niente. Per la parte legale vera ti servirà comunque un avvocato, e te lo dico subito. → Parliamone
Domande frequenti
Se automatizzo i preventivi con l'AI rientro nell'AI Act? Se il software usa davvero l'AI rientri nel regolamento, ma nella fascia con meno obblighi. Compilare preventivi, smistare ordini o leggere fatture non sono usi ad alto rischio, quindi non ci sono valutazioni di conformità né marcatura CE da fare. Restano gli obblighi generali di trasparenza e di competenza di chi usa lo strumento.
Quali automazioni aziendali sono ad alto rischio? Quelle elencate nell'Allegato III, fra cui i sistemi che selezionano o valutano il personale, quelli che decidono l'accesso al credito o a servizi essenziali, e gli usi nell'istruzione, nella biometria e nelle infrastrutture critiche. Per questi gli obblighi sono slittati al 2 dicembre 2027, ma la sostanza delle regole non è cambiata.
Devo formare i dipendenti che usano strumenti di AI? L'obbligo di alfabetizzazione sull'AI vale dal 2 febbraio 2025 e dal 27 luglio 2026 è scritto come obbligo di adottare misure, non di garantire un livello preciso a ciascuna persona. Chi usa lo strumento deve capire cosa fa e quando va controllato. Come arrivarci lo decide l'azienda.
Cosa scade il 2 dicembre 2026? Il tempo in più concesso a chi fornisce sistemi che generano contenuti e che erano già sul mercato prima del 2 agosto 2026, per marcare in formato leggibile da una macchina quello che producono. Se lo strumento lo hai comprato è compito di chi te lo vende. Se te lo sei fatto costruire e lo usi a nome tuo, tocca a te, ed è la scadenza da guardare per prima.
Devo dire ai clienti che sto usando l'intelligenza artificiale? Se interagiscono con un sistema che simula una conversazione, sì, devono sapere che non stanno parlando con una persona. Se invece l'AI prepara una bozza che poi una persona rivede, firma e manda, il contenuto lo manda quella persona. L'obbligo di dichiararlo riguarda i testi pubblicati per informare il pubblico, e anche lì una revisione umana con qualcuno che se ne prende la responsabilità lo toglie di mezzo.
