Ho scritto già un articolo dedicato al PUIA e agli obblighi specifici per il sostegno. Qui allargo il campo: cosa succede quando la stessa normativa entra in un'azienda, e come tenere insieme scuole e PMI sotto lo stesso metodo — perché l'errore che vedo più spesso, in entrambi i contesti, è lo stesso: aspettare che qualcun altro scriva la policy perfetta prima di muoversi.

La contraddizione che blocca tutti

Sulla carta l'AI Act promette tre cose: protezione dei diritti delle persone, sicurezza dei sistemi, innovazione etica. Nella pratica, chi deve applicarlo — un dirigente scolastico, un titolare di PMI, un responsabile HR — vede soprattutto l'altro lato: moduli da compilare, un approccio "basato sul rischio" che in teoria è proporzionato ma in pratica lascia margini di ambiguità su cosa sia davvero "alto rischio", e il timore di restare indietro rispetto a chi opera fuori UE senza questi vincoli.

Questa tensione è reale, non è pigrizia di chi deve applicare la norma. Ma ha una conseguenza pratica pericolosa: mentre si aspetta chiarezza totale, gli obblighi già in vigore restano ignorati. E alcuni sono in vigore da un anno e mezzo.

Cosa è già obbligatorio, oggi, per chiunque usi l'AI

Dal 2 febbraio 2025 è applicabile l'articolo 4 dell'AI Act: obbligo di alfabetizzazione AI per il personale di chi fornisce o utilizza sistemi di intelligenza artificiale. Non riguarda solo i sistemi ad alto rischio — riguarda chiunque, scuola o azienda, faccia usare l'AI ai propri collaboratori senza un minimo di formazione su cosa sta succedendo dietro lo strumento. È l'obbligo più ignorato che incontro, perché non fa notizia quanto i sistemi "ad alto rischio", ma è già verificabile oggi.

Cosa scatta dal 2 agosto 2026

Da questa settimana sono pienamente applicabili due blocchi importanti:

  • Obblighi sui sistemi ad alto rischio (Allegato III). Per le scuole: sistemi che valutano o orientano studenti. Per le PMI: rientrano qui, tra gli altri, i sistemi di AI usati per selezione e valutazione del personale — uno degli usi più diffusi e meno riconosciuti come "alto rischio" da chi li adotta.
  • Obblighi di trasparenza (art. 50). Chi usa un chatbot per il servizio clienti deve dirlo chiaramente. Contenuti sintetici — testo, immagini, audio, video generati o modificati con AI e diffusi pubblicamente — vanno etichettati come tali. Vale per il sito di una scuola quanto per i contenuti marketing di una PMI.

Per le scuole: non solo il sostegno

Nell'articolo dedicato al PUIA ho approfondito l'area BES/DSA. Ma il Piano d'Istituto per l'Intelligenza Artificiale, in attuazione del DM 166/2025, riguarda l'intero istituto: dalla policy di uso accettabile alla nomina di un referente AI, fino ai moduli di formazione per tutto il personale — non solo per chi lavora sul sostegno. Chi scrive il PUIA raramente ha esempi pratici su cui basarsi, ed è lì che un audit esterno accorcia i tempi.

Per le PMI: dove guardare per primo

Nella maggior parte delle PMI che ho incontrato, il problema non è la mancanza di volontà — è non sapere da dove partire. Tre punti concreti:

  1. Mappa cosa usi già. Chatbot sul sito, strumenti di generazione contenuti, software di selezione CV, assistenti nei tool aziendali: quasi sempre sono più di quanti il titolare pensi, spesso introdotti da singoli dipendenti senza un percorso di adozione strutturato.
  2. Classifica il rischio prima di scrivere qualsiasi policy. Non tutto è "alto rischio" — ma alcuni usi comuni (selezione personale, scoring clienti) lo sono, e vanno trattati diversamente da un chatbot FAQ.
  3. Forma chi usa questi strumenti ogni giorno. L'obbligo di alfabetizzazione AI (art. 4) è il punto di partenza più veloce e già in vigore — e nella pratica riduce da solo buona parte del rischio operativo, prima ancora di qualsiasi documento formale.
La domanda giusta non è "siamo in regola?" — è "sappiamo davvero cosa stiamo già usando?". La seconda viene sempre prima della prima, e quasi nessuno se la fa.

Da dove iniziare senza aspettare la policy perfetta

Il metodo che uso è lo stesso per scuole e PMI, applicato a contesti diversi: un audit iniziale che mappa gli strumenti già in uso, separa ciò che è già obbligatorio da ciò che scatta ad agosto 2026, e produce un piano di formazione e documentazione proporzionato — non un adempimento burocratico fine a se stesso, ma un modo per usare l'AI con meno rischio e più risultato reale.

Conclusione

Le contraddizioni dell'AI Act — protezione contro burocrazia, sicurezza contro incertezza — non si risolvono aspettando una versione più chiara della norma. Si affrontano mappando cosa si usa davvero, oggi, e agendo sui punti che contano di più. Il resto si costruisce dopo, con più chiarezza e meno fretta.