AI Act per microimprese: cosa fare davvero sotto i 10 dipendenti

Hai letto "AI Act" da qualche parte e hai pensato: roba da multinazionali, noi siamo in cinque, non ci riguarda. È la reazione più comune tra i titolari di microimprese. Ed è sbagliata due volte.

Prima verità, quella scomoda: gli obblighi dell'AI Act non dipendono dalla taglia dell'azienda. Se usi strumenti di AI per lavoro — anche solo ChatGPT per scrivere le email ai clienti — sei un "deployer" esattamente come una multinazionale. Non esiste una soglia di dipendenti sotto la quale la legge sparisce.

Seconda verità, quella che nessuno ti dice: la proporzionalità lavora per te. Con 5-8 persone, mettersi in regola sugli obblighi già in vigore è questione di ore di lavoro e di poche centinaia di euro. Non di consulenze da migliaia di euro, non di un ufficio compliance.

Se vuoi il quadro completo della norma, c'è la guida all'AI Act per PMI. Questo pezzo invece è il taglio operativo per chi sta sotto i 10 dipendenti: meno teoria, più "fai questo, poi questo".

Il malinteso "siamo troppo piccoli"

Prendi uno studio da 4 persone. Il titolare usa ChatGPT per rispondere alle email, una collaboratrice lo usa per riassumere documenti, un altro ci fa le bozze dei preventivi. Nessuno l'ha mai deciso formalmente: è successo e basta.

Per l'AI Act, quello studio è un deployer di sistemi di AI. Punto. E quindi gli si applicano gli obblighi già in vigore:

• Formazione (art. 4), dal 2 febbraio 2025: chi usa AI in azienda deve avere un livello adeguato di alfabetizzazione, con misure "effettive e proporzionate a mansioni, esperienza e contesto".
• Trasparenza (art. 50), dal 2 agosto 2026: se hai un chatbot che parla con i clienti devi dichiararlo; se pubblichi contenuti generati dall'AI o deepfake, vanno etichettati.
• Pratiche vietate, dal 2 febbraio 2025 (con nuovi divieti dal 2 dicembre 2026): usi manipolativi o di scoring sociale sono fuori legge per tutti, dalla ditta individuale in su.

Vale anche per te che sei una ditta individuale o un libero professionista con collaboratori: se l'AI si usa per lavoro, il quadro è lo stesso.

La buona notizia sta in una parola che è nel testo della legge: proporzionate. L'art. 4 non chiede a una micro le stesse misure di una banca. Chiede misure adeguate a mansioni, esperienza e contesto. Per uno studio da 4 persone con usi semplici, questo significa una formazione di base ben documentata. Non un master.

Cosa NON devi fare

Prima di dirti cosa fare, togliamo di mezzo le paure inutili:

• Non ti serve un DPO per gli obblighi AI Act di base. Sono cose diverse.
• Non ti servono certificazioni. Nessun bollino, nessun ente, nessun audit esterno per formazione, trasparenza e divieti.
• Non ti serve una consulenza da migliaia di euro per gli obblighi base. Chi te la propone sta vendendo a te la paura, non la conformità.

Onestà anche nell'altra direzione, però. Il discorso cambia se:

• Usi l'AI per selezionare o valutare persone: screening automatico dei CV, valutazioni del personale. Questi sono usi ad alto rischio (Allegato III), con obblighi rinviati al 2 dicembre 2027 ma molto più pesanti.
• Usi l'AI su dati sanitari o in contesti delicati: lì serve una valutazione seria caso per caso, e magari sì, un professionista.

Per una micro tipica — email, documenti, preventivi, un po' di marketing — l'alto rischio è raro. Ma non dare per scontato di esserne fuori: verifica. L'autovalutazione gratuita ti dice in pochi minuti dove ti collochi.

Il percorso minimo in 4 tappe

Ecco tutto quello che serve a una microimpresa per essere in regola sugli obblighi in vigore. Con i tempi veri.

Tappa 1 — Mezz'ora: la lista degli strumenti

Prendi un foglio (o un file) e scrivi tutti gli strumenti di AI usati in azienda. Tutti: anche quelli che usa solo il titolare, anche quelli gratuiti, anche quelli "che usa solo Marco ogni tanto". Per ciascuno: chi lo usa, per cosa, che dati ci passano dentro.

Questo è il tuo registro degli strumenti AI, in piccolo. È la base di tutto il resto, e ti sorprenderà: quasi sempre escono più strumenti di quelli che pensavi.

Tappa 2 — Mezza giornata (spalmata): la formazione

Tutte le persone che usano AI — titolare compreso — devono avere una formazione di base: cosa sono questi strumenti, cosa sbagliano, cosa non metterci dentro, cosa dice la legge. E soprattutto: deve restare un'evidenza documentata. Attestato con nome e data, per ciascuno.

Non serve farla tutta in un giorno: un corso online da un paio d'ore a testa, completato nell'arco di una settimana, va benissimo. L'importante è che alla fine tu possa dimostrare chi l'ha fatta e quando. Il corso di AI literacy è pensato esattamente per questo: pratico, in italiano, con attestato nominale.

Tappa 3 — Un'ora: la policy essenziale

Una pagina, massimo due. Dentro ci va:

• Strumenti approvati: quelli della lista della tappa 1, e la regola che i nuovi si chiedono prima di usarli.
• Dati vietati nei prompt: dati dei clienti, dati sanitari, credenziali, informazioni riservate. Scritto nero su bianco.
• Chi decide: in una micro di solito è il titolare. Scrivilo comunque.

Non deve essere un documento legale perfetto: deve esistere, essere chiaro e essere stato letto da tutti. Se non vuoi partire da zero, il kit policy AI contiene il modello già pronto da adattare in un'ora.

Tappa 4 — 15 minuti: le informative

Solo se ti riguarda. Hai un chatbot sul sito che risponde ai clienti? Deve essere chiaro che è un'AI. Pubblichi contenuti generati dall'AI (articoli, immagini, video)? Vanno etichettati come tali. Sono gli obblighi di trasparenza dell'art. 50, in vigore dal 2 agosto 2026: due righe nel posto giusto, e l'obbligo è coperto.

Fine. Questo è il percorso completo per una micro con usi normali.

Quanto costa, in tutto

Facciamo i conti veri, senza giri di parole:

• Autovalutazione: gratis, su /autovalutazione.
• Corso AI literacy: 190 € una tantum fino a 10 persone, attestati inclusi.
• Kit policy AI: 59 €, modello di policy e registro pronti da adattare.

Totale: sotto i 250 €, una tantum. Più le ore viste sopra: circa una giornata di lavoro complessiva, spalmata su una o due settimane.

Se preferisci avere tutto insieme — corso, kit, aggiornamenti automatici quando la norma si muove (e si muoverà: nuove scadenze nel 2026, 2027 e 2028) — c'è la formula All-Access a 349 €/anno. I dettagli sono su /prezzi.

E quanto ti costa NON farlo

Ribaltiamo la domanda. Le sanzioni dell'art. 99 esistono anche per le micro: la legge prevede che per le PMI si applichi il valore più basso tra importo fisso e percentuale del fatturato — la norma stessa distingue per taglia, ma non azzera. Rischiare una sanzione per evitare 250 € e una giornata di lavoro è un pessimo affare.

Ma la sanzione non è nemmeno il rischio più concreto. Il rischio concreto ha la faccia del tuo cliente più grande: quello che ti manda il questionario fornitori e ti chiede evidenze sull'uso dell'AI. Formazione documentata, policy scritta, informative a posto. Succede già oggi, e succederà sempre di più: la conformità sta diventando un requisito commerciale, prima ancora che legale. Chi ce l'ha risponde in dieci minuti allegando tre documenti. Chi non ce l'ha perde la commessa, o passa due settimane a improvvisare.

Sotto i 10 dipendenti hai uno svantaggio (nessuno lo fa per te) e un vantaggio enorme (in una giornata hai finito). Parti dalla autovalutazione gratuita: cinque minuti, e sai esattamente quali tappe ti riguardano.