AI Act per startup: a chi rivolgersi e come adeguarsi senza spendere troppo

Da dove si parte: come lo usi e su chi ha effetto

L'AI Act è il regolamento europeo sull'intelligenza artificiale (Reg. (UE) 2024/1689). Si applica a chi sviluppa sistemi di AI e a chi li usa in azienda, con obblighi che crescono con il rischio per le persone. Per una startup la domanda utile è in quale categoria ricade ciò che fa, perché la categoria decide se bastano poche ore di lavoro interno o se serve un progetto di conformità.

Si parte da due domande: come usi davvero il sistema, e su chi ha effetto. Un chatbot di assistenza clienti, un modello che ordina i curricula e un software di manutenzione predittiva sono tre categorie diverse, con tre costi diversi.

Autovalutazione: in quale categoria ricadi

Il regolamento distingue quattro livelli, più una disciplina a parte per i modelli per finalità generali, come i grandi modelli linguistici.

La maggior parte delle startup italiane usa modelli di terzi dentro un prodotto o un processo interno. In questo caso sei "deployer", cioè utilizzatore sotto la propria responsabilità, e gli obblighi dipendono dall'uso: trasparenza se il sistema parla con le persone, alto rischio se decide su assunzioni, valutazioni o credito.

Il primo errore da evitare è classificare il prodotto in base alla tecnologia. Lo stesso modello linguistico è a rischio minimo se riassume documenti interni e ad alto rischio se preseleziona candidati.

Gli strumenti gratuiti ufficiali

Prima di spendere un euro in consulenza, la Commissione europea mette a disposizione strumenti gratuiti nella piattaforma unica di informazione, l'AI Act Service Desk:

• Compliance Checker: un questionario che ti dice se il tuo sistema o modello rientra nel regolamento e con quali obblighi.
• AI Act Explorer: il testo del regolamento navigabile per articolo, allegato e considerando.
• Guideline Explorer: le linee guida della Commissione, incluse quelle sulla classificazione dell'alto rischio.
• Service Desk: un canale per fare domande a esperti che lavorano con l'Ufficio europeo per l'AI, anche in italiano.
• Le domande e risposte della Commissione sull'applicazione del regolamento.

In Italia i riferimenti sono le due autorità designate dalla L. 132/2025: AgID, che gestisce notifica e accreditamento degli organismi di valutazione, e ACN, che vigila, ispeziona, sanziona ed è il punto di contatto con le istituzioni europee (art. 20). Le due agenzie gestiscono insieme gli spazi di sperimentazione, ai quali PMI e startup hanno accesso prioritario per regolamento. A questi si aggiungono gli hub europei di innovazione digitale, che offrono alle PMI servizi di orientamento sulle tecnologie.

Cosa puoi fare da solo e cosa no

Una startup con un chatbot e qualche automazione interna copre da sola le prime righe in pochi giorni di lavoro. Il legale entra quando la classificazione è incerta, quando il sistema tocca lavoro, credito o salute, e quando si firmano i contratti con i fornitori di modelli.

Quando serve un avvocato e quanto costa

Serve un avvocato in quattro situazioni.

1. 01Non sai in quale categoria ricadi. Il caso più frequente: un prodotto che suggerisce, ordina o filtra persone. La differenza tra "supporto a una decisione umana" e "decisione" cambia categoria e costi.
2. 02Il sistema è ad alto rischio. Serve una gap analysis, cioè l'elenco di ciò che manca rispetto agli obblighi, con scadenze e responsabili, e un piano per arrivare pronti alla data di applicazione.
3. 03Firmi contratti con fornitori di modelli o piattaforme. Chi risponde se il modello cambia, come vengono usati i vostri dati, quali garanzie ricevete: sono clausole che decidono dove finisce la vostra responsabilità.
4. 04Un cliente enterprise vi chiede evidenze di conformità. Sempre più spesso la richiesta arriva dal mercato prima che dalle autorità.

In tutti e quattro i casi il lavoro si preventiva come una pratica singola. In Iusful, nell'area Tech, AI e cyber, la classificazione del rischio del vostro sistema e la gap analysis rispetto all'AI Act e alla L. 132/2025 partono da come lo usate davvero e su chi ha effetto; l'avvocato è assegnato entro 24 ore e il preventivo scritto arriva entro 48. Se l'obbligo non c'è, te lo diciamo senza venderti il servizio.

Le scadenze, con le date

Il calendario è stato modificato nel 2026 dal Digital Omnibus (Reg. (UE) 2026/1744), che ha spostato in avanti gli obblighi per l'alto rischio. Le date aggiornate:

• 2 febbraio 2025: divieti sulle pratiche vietate.
• 2 agosto 2025: obblighi per i modelli per finalità generali e governance europea.
• 2 agosto 2026: applicazione generale del regolamento, compresi gli obblighi di trasparenza per chatbot e contenuti generati.
• 2 dicembre 2026: nuovi divieti aggiunti dal Digital Omnibus e fine del periodo transitorio sulla marcatura dei contenuti per i sistemi già sul mercato.
• 2 dicembre 2027: obblighi per i sistemi ad alto rischio dell'Allegato III, tra cui selezione e gestione del personale.
• 2 agosto 2028: obblighi per i sistemi ad alto rischio integrati in prodotti regolamentati dell'Allegato I.

Il rinvio non sospende il regolamento. Gli obblighi di trasparenza sono già in vigore, e per l'alto rischio i 14 mesi che restano sono il tempo per fare inventario, classificazione e gap analysis senza correre.

Cosa preparare prima del primo confronto

• Elenco dei sistemi di AI usati o sviluppati, con lo scopo di ciascuno.
• Per ciascuno: fornitore del modello, dati in ingresso, chi è toccato dagli output, se c'è una decisione automatica.
• Contratti e condizioni d'uso dei fornitori di modelli.
• Informative privacy e registro dei trattamenti, se trattate dati personali.
• Mercati di destinazione e clienti che hanno già chiesto evidenze di conformità.

Con questo materiale la classificazione si chiude in pochi giorni e la spesa si concentra solo dove la categoria lo richiede.

Domande frequenti