EU AI Act in vigore: cosa cambia davvero per founder e PMI nei prossimi 24 mesi

La timeline che conta davvero

Senza tecnicismi: le date che un founder o un imprenditore deve segnarsi sono tre.

• Febbraio 2025 — divieto dei sistemi a rischio inaccettabile (già operativo).
• Agosto 2026 — entrano in vigore gli obblighi sui sistemi ad alto rischio e gli obblighi di trasparenza sui modelli generativi.
• Agosto 2027 — pieno regime, inclusi i sistemi ad alto rischio integrati in prodotti regolamentati (medical device, automotive, ecc.).

I prossimi 24 mesi sono la finestra in cui la compliance smette di essere un esercizio teorico.

Sei in scope? Una check-list onesta

Sei probabilmente in scope se il tuo prodotto fa anche solo una di queste cose:

• Decisioni o raccomandazioni nell'ambito HR (screening CV, valutazione performance)
• Scoring del credito o decisioni assicurative
• Identificazione biometrica o categorizzazione delle persone
• Gestione di infrastrutture critiche (energia, trasporti, acqua)
• Supporto a decisioni in ambito istruzione, sanità, giustizia o welfare
• Sistemi di sicurezza in ambito lavorativo

Non sei in scope automaticamente se fai chatbot di customer support, generatori di testo per marketing, riassunti di documenti interni — ma scattano comunque obblighi di trasparenza (es. dichiarare che il contenuto è generato da AI).

Cosa pretenderanno i tuoi clienti enterprise nei prossimi 18 mesi

Anche se non sei tecnicamente "ad alto rischio", i tuoi clienti corporate inizieranno a inserire nelle RFP requisiti che derivano dall'AI Act:

• AI Bill of Materials (quali modelli usi, di chi sono, dove girano)
• Risk assessment documentato sul tuo sistema
• Data governance: provenienza dei dati di training, gestione dei bias, retention
• Human oversight: come e quando un umano può sovrascrivere o disattivare l'AI
• Logging e tracciabilità delle decisioni automatizzate

Non averli pronti significa perdere deal. Averli pronti significa vincere contro competitor americani che li sottovalutano.

Cosa fare nei prossimi 6 mesi (se non l'hai già fatto)

1. Inventario AI: lista di tutti i modelli, fornitori, dataset usati nel tuo prodotto. Tenuta viva.
2. Classificazione del rischio per ogni feature AI rispetto alle categorie dell'AI Act.
3. Policy di uso accettabile per i tuoi utenti finali.
4. Documentazione tecnica minima: dataset, metriche, limitazioni, casi d'uso previsti e vietati.
5. Una persona responsabile della compliance AI, anche part-time. Non è un lavoro da delegare a un consulente esterno occasionale.

L'opportunità nascosta

Il mercato europeo, per i prossimi 24 mesi, premierà chi è dimostrabilmente in regola. Le PMI clienti compreranno da fornitori europei in regola anche pagando un premium del 10–20% rispetto a soluzioni americane più potenti ma percepite come rischiose.

Chi tratta l'AI Act come fastidio burocratico costruisce un debito. Chi lo tratta come specifica di prodotto costruisce un vantaggio.