AI Act per piccole imprese: cosa abbiamo fatto davvero per adeguare la nostra microagenzia

In Osteria Digitale utilizziamo strumenti di intelligenza artificiale praticamente ogni giorno. Gemini dentro Workspace, ChatGPT per ricerca e sviluppo, strumenti generativi per alcune attività creative e, naturalmente, quando facciamo consulenza ai nostri clienti.

Ad un certo punto ci siamo fatti una domanda abbastanza semplice: noi che aiutiamo le aziende a utilizzare l’intelligenza artificiale, siamo sicuri di aver messo in ordine anche casa nostra?

Con l’applicazione di una parte sempre più consistente dell’AI Act europeo, abbiamo quindi deciso di fare quello che consiglieremmo a un cliente: fermarci, mappare quello che facciamo realmente e verificare gli obblighi sulle fonti ufficiali, senza partire dalle checklist terroristiche che promettono multe milionarie al primo prompt sbagliato.

Il risultato ci ha sorpreso.

Per una microimpresa come la nostra, che utilizza l’AI principalmente come strumento di supporto, l’adeguamento all’AI Act è molto meno burocratico di quanto si potrebbe pensare. E una parte consistente delle cose che abbiamo dovuto mettere in ordine, in realtà, non derivava nemmeno dall’AI Act. Derivava dal buon vecchio GDPR.

In questa guida raccontiamo esattamente cosa abbiamo controllato e cosa abbiamo fatto.

Nota: questo articolo racconta l’esperienza concreta di Osteria Digitale e ha finalità informative. Non costituisce consulenza legale. Quando un progetto presenta particolari rischi o richiede un’interpretazione normativa specifica, è opportuno rivolgersi a un professionista legale qualificato.

Cosa deve fare una piccola impresa?

Se utilizzi ChatGPT, Gemini, Copilot o sistemi simili come supporto alla normale attività aziendale, non significa automaticamente che devi registrarti presso qualche autorità, ottenere una certificazione o riempire il sito di disclaimer sull’intelligenza artificiale.

L’AI Act utilizza un approccio basato sul rischio e distingue anche i diversi ruoli ricoperti da chi sviluppa e utilizza sistemi AI.

Nel nostro caso, le attività più importanti sono state:

• capire quali sistemi AI utilizziamo e con quale ruolo;
• occuparci dell’AI literacy, cioè delle competenze necessarie per usarli consapevolmente;
• stabilire poche regole chiare per noi e per gli eventuali collaboratori;
• informare correttamente i clienti sull’utilizzo dell’AI nelle prestazioni professionali;
• controllare come vengono gestiti eventuali dati personali;
• rivedere alcuni aspetti GDPR già esistenti;
• verificare i principali fornitori;
• documentare il tutto in maniera semplice.

L’AI Act è entrato in vigore il 1° agosto 2024 ma la sua applicazione è progressiva. Gli obblighi relativi all’AI literacy sono applicabili dal 2 febbraio 2025, mentre dal 2 agosto 2026 si applicano, tra le altre, le regole di trasparenza dell’articolo 50. Dopo le modifiche introdotte dal Digital Omnibus, gli obblighi principali per i sistemi high-risk dell’Allegato III decorreranno dal 2 dicembre 2027 e quelli relativi ai sistemi incorporati nei prodotti regolamentati dell’Allegato I dal 2 agosto 2028.

Ed è proprio da qui che bisogna partire: non da “quanto è alta la multa?”, ma da “che cosa faccio concretamente con l’AI?”

Prima di tutto abbiamo capito quale ruolo abbiamo nell’AI Act

Una delle prime cose che abbiamo scoperto è che dire semplicemente: “La nostra azienda usa l’intelligenza artificiale” serve relativamente a poco. L’AI Act distingue diversi operatori:

• un provider, in estrema sintesi, è chi sviluppa o fa sviluppare un sistema AI e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio.

• un deployer, invece, è chi utilizza professionalmente un sistema AI sotto la propria autorità.

Nel nostro utilizzo attuale, Osteria Digitale è principalmente un deployer.

Non abbiamo sviluppato un nostro modello linguistico. Non vendiamo un’intelligenza artificiale proprietaria. Utilizziamo sistemi realizzati da altri come strumenti di lavoro.

Questa distinzione è importante perché gli obblighi possono essere completamente diversi.

Un esempio semplice

Usare Gemini per riassumere una riunione è diverso da sviluppare e vendere sul mercato un software chiamato “Osteria AI” che utilizza modelli esterni e viene offerto ai clienti come un nostro sistema.

Nel secondo caso sarebbe necessario rivalutare il nostro ruolo.

Ed è esattamente quello che facciamo prima di iniziare a offrire, ad esempio, chatbot o automazioni AI più complesse ai clienti.

Il nostro caso concreto: come utilizziamo l’AI

Prima di leggere centinaia di pagine di normativa abbiamo fatto una cosa molto più utile: abbiamo scritto come utilizziamo davvero l’intelligenza artificiale.

La situazione attuale di Osteria Digitale è questa:

Questa tabella, da sola, ci ha permesso di escludere un sacco di scenari che semplicemente non ci riguardano.

Ed è uno degli esercizi che consigliamo anche alle piccole imprese: prima di parlare di compliance, bisogna sapere cosa sta succedendo realmente in azienda.

Abbiamo affrontato l’AI literacy

Questa è una delle cose che effettivamente riguardano anche realtà molto piccole.

L’articolo 4 dell’AI Act richiede a provider e deployer di adottare misure a sostegno dello sviluppo di un adeguato livello di AI literacy delle persone che utilizzano sistemi AI per loro conto, tenendo conto delle competenze, dell’esperienza, del contesto e delle persone o gruppi sui quali i sistemi possono essere utilizzati.

Tradotto: chi usa l’intelligenza artificiale per lavorare deve almeno sapere che cosa sta utilizzando, quali sono i principali limiti dello strumento e quali rischi deve evitare.

Abbiamo dovuto comprare un “corso AI Act certificato”?

No. Ed è uno dei punti su cui circola parecchia confusione.

Per una realtà come la nostra abbiamo scelto di documentare internamente:

• quali strumenti utilizziamo;
• per quali attività;
• quali sono i rischi principali;
• come verifichiamo gli output;
• quali dati possono o non possono essere inseriti;
• quando deve necessariamente intervenire una persona.

Abbiamo quindi creato una semplice Scheda AI Literacy e stabilito di aggiornarla quando cambia sensibilmente il nostro utilizzo dell’intelligenza artificiale.

Non è una laurea in prompt engineering. È accountability.

Significa poter dimostrare che non abbiamo semplicemente dato ChatGPT o Gemini a qualcuno dicendo:

“Vai, fai quello che vuoi.”

Abbiamo creato poche regole chiare per l’utilizzo dell’AI

Il documento forse più utile di tutti non è lungo cinquanta pagine.

Le nostre regole interne, in sostanza, sono queste:

Niente dati dei clienti negli account AI personali

Il nostro account ChatGPT personale viene utilizzato per ricerca, studio, supporto allo sviluppo e attività prive di dati personali o informazioni riservate dei clienti. Quando un’attività può coinvolgere informazioni aziendali utilizziamo, quando appropriato, l’ambiente business di Google Workspace.

Minimizzazione sempre

Anche quando uno strumento può tecnicamente trattare un’informazione, non significa che dobbiamo inviargli tutto. Se per correggere una frase non serve conoscere nome, cognome, numero di telefono e partita IVA del cliente, quei dati semplicemente non vengono inseriti.

Mai password e credenziali

Password, API key, token, chiavi private e credenziali non devono finire dentro un prompt.

Human in the loop

Questo è probabilmente il principio più importante del nostro utilizzo dell’AI. Un testo non viene pubblicato perché “lo ha detto Gemini”. Un pezzo di codice non va in produzione perché “ChatGPT dice che funziona”. Un’informazione normativa non è vera perché compare in una risposta scritta molto bene.

L’output viene controllato da una persona prima di essere utilizzato.

Abbiamo dato regole anche ai collaboratori

Osteria Digitale non ha dipendenti, ma occasionalmente lavoriamo con collaboratori esterni.

Anche qui abbiamo scelto una regola molto semplice.

Se un collaboratore deve svolgere un’attività che non contiene dati personali o informazioni riservate, può eventualmente utilizzare i propri strumenti AI.

Se invece il lavoro richiede dati o documenti del cliente, mettiamo a disposizione quando necessario un account aziendale autorizzato.

Inoltre abbiamo preparato una breve policy che stabilisce:

• cosa si può inserire nei sistemi AI;
• cosa non si può inserire;
• obbligo di verifica degli output;
• divieto di pubblicazione automatica;
• gestione di credenziali e informazioni riservate;
• obbligo di segnalare eventuali incidenti.

Anche i contractor e il personale esterno che opera sotto la responsabilità di un’organizzazione possono essere rilevanti ai fini delle misure di AI literacy.

Abbiamo informato i clienti sul fatto che utilizziamo sistemi AI

Qui entra in gioco anche una normativa italiana successiva all’AI Act europeo.

La Legge 23 settembre 2025 n. 132, entrata in vigore il 10 ottobre 2025, contiene una disposizione specifica sulle professioni intellettuali.

L’articolo 13 stabilisce che l’utilizzo dell’AI nelle professioni intellettuali deve essere strumentale e di supporto, mantenendo prevalente il lavoro intellettuale oggetto della prestazione. Prevede inoltre che le informazioni sui sistemi AI utilizzati dal professionista siano comunicate al cliente con linguaggio chiaro, semplice ed esaustivo.

Il confine di applicazione a tutte le diverse attività svolte da una web agency o da un consulente IT può richiedere valutazioni specifiche. Noi abbiamo scelto una strada molto semplice e prudente:

informare comunque i nostri clienti.

Nei nuovi incarichi inseriamo quindi una breve informativa che spiega che possiamo utilizzare strumenti AI come supporto per attività quali:

• ricerca;
• revisione dei testi;
• organizzazione delle informazioni;
• assistenza alla programmazione;
• sintesi.

E specifichiamo soprattutto una cosa: il lavoro professionale rimane umano e gli output dell’AI vengono verificati prima dell’utilizzo. Non chiediamo al cliente di “autorizzarci a usare ChatGPT”.

Lo informiamo semplicemente in maniera trasparente su come lavoriamo.

La cosa che non ci aspettavamo: buona parte del lavoro era GDPR

Questa è stata probabilmente la scoperta più interessante di tutto il percorso.

Eravamo partiti chiedendoci:

“Cosa dobbiamo fare per l’AI Act?”

E dopo poco ci siamo trovati a correggere soprattutto aspetti legati al GDPR. Perché l’AI Act e il GDPR sono due normative differenti. L’AI Act si concentra sullo sviluppo e sull’utilizzo dei sistemi di intelligenza artificiale secondo un approccio basato sul rischio. Il GDPR continua invece a disciplinare il trattamento dei dati personali.

Se utilizzi l’intelligenza artificiale con dati personali, le due discipline possono quindi sovrapporsi.

Abbiamo rivisto privacy policy, cookie e Analytics

Controllando il sito di Osteria Digitale ci siamo resi conto che alcune informazioni della privacy policy non rappresentavano più perfettamente tutti i servizi che utilizziamo.

Abbiamo quindi aggiornato:

• dati raccolti dal modulo contatti;
• finalità e basi giuridiche;
• fornitori principali;
• utilizzo di Google Workspace;
• diritti degli interessati;
• tempi di conservazione.

Questo non è “adeguamento all’AI Act”. È GDPR/cookie compliance.

Ma il controllo sull’AI ci ha dato l’occasione di rivedere tutto il flusso.

Abbiamo controllato Google Workspace e Gemini

Google Workspace è il principale ambiente aziendale che utilizziamo quando può esserci qualche informazione relativa ai clienti.

Abbiamo verificato e accettato il Cloud Data Processing Addendum (CDPA) disponibile nella Google Admin Console e documentato internamente la verifica. Abbiamo inoltre impostato Google Meet affinché l’utilizzo delle funzionalità di registrazione, trascrizione e presa appunti mediante Gemini venga comunicato ai partecipanti, limitando la condivisione automatica delle note.

Anche qui la regola non è:

“Google Workspace è GDPR compliant, quindi possiamo fare qualsiasi cosa.”

La regola è:

abbiamo scelto un ambiente professionale, verificato gli accordi applicabili e stabilito internamente quali dati possono essere utilizzati e come.

Abbiamo creato il Registro dei trattamenti

Essere una microimpresa non significa automaticamente essere esclusi dall’obbligo di tenere il registro previsto dall’articolo 30 GDPR.

Il Garante chiarisce infatti che anche organizzazioni con meno di 250 dipendenti devono tenere il registro quando effettuano, tra gli altri casi, trattamenti non occasionali.

Noi trattiamo normalmente:

• dati dei clienti;
• email;
• richieste di preventivo;
• fatturazione;
• comunicazioni professionali.

Non avrebbe quindi avuto molto senso sostenere:

“Siamo piccoli, quindi non ci riguarda.”

Abbiamo creato un registro semplice, adatto alla nostra realtà.

Contiene, ad esempio:

• richieste di informazioni e preventivi;
• gestione clienti e commesse;
• amministrazione e fatturazione;
• email;
• riunioni e trascrizioni;
• sito web;
• collaboratori.

Abbiamo distinto quando siamo Titolari e quando siamo Responsabili GDPR

Questo è particolarmente importante per una web agency.

Se un cliente ci manda nome e dati di fatturazione per acquistare un nostro servizio, Osteria Digitale normalmente tratta quei dati per finalità proprie. Se invece amministriamo il sito del cliente e possiamo accedere alle richieste inviate dai suoi utenti attraverso un form, la situazione cambia.

In quel caso potremmo trattare dati per conto del cliente.

Abbiamo quindi creato:

• una sezione del registro dedicata ai trattamenti svolti come responsabile;
• un elenco dei clienti per i quali questa situazione si verifica;
• un modello di accordo ai sensi dell’articolo 28 GDPR.

Il Garante precisa anche che un responsabile che lavora per diversi titolari può organizzare il proprio registro attraverso schede o anagrafiche separate, purché sia possibile ricondurre le attività al singolo titolare.

Abbiamo preparato una procedura Data Breach anche se non ne abbiamo mai avuto uno

Fortunatamente, finora non abbiamo avuto violazioni di dati personali.

Ma aspettare di avere un problema per chiedersi:

“Adesso cosa dobbiamo fare?”

non ci sembrava una strategia particolarmente brillante.

Abbiamo quindi preparato una procedura e un registro Data Breach. Un data breach non significa soltanto “hanno hackerato il server”. Può essere anche:

• una mail inviata alla persona sbagliata;
• un Drive condiviso pubblicamente per errore;
• una password compromessa;
• un dispositivo perso;
• dati cancellati accidentalmente;
• accesso non autorizzato a un database.

Il Garante ricorda che il titolare deve documentare tutte le violazioni di dati personali; quando una violazione può comportare un rischio per i diritti e le libertà delle persone, deve inoltre essere notificata al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza. Se Osteria Digitale opera invece come responsabile per un cliente, deve informare tempestivamente il titolare.

Il nostro registro, per fortuna, al momento è vuoto. Ed è esattamente come speriamo rimanga.

Abbiamo creato un registro degli strumenti AI

Qui è importante distinguere obbligo normativo e best practice.

Nel nostro attuale scenario non abbiamo individuato un obbligo generale dell’AI Act che imponga a qualsiasi microimpresa di possedere un documento chiamato:

“Registro dei sistemi di intelligenza artificiale”.

Noi però abbiamo scelto di farlo, e quando entrerà stabilmente un nuovo sistema nel nostro workflow, lo aggiungeremo.

E tutti i tool AI che proviamo?

Non li registriamo uno per uno, testiamo moltissimi strumenti.

La nostra regola è semplicemente:

un nuovo strumento può essere provato con dati fittizi, pubblici o propri; prima di utilizzarlo con dati personali o informazioni dei clienti viene effettuata una valutazione specifica.

Questo ci permette di sperimentare senza trasformare ogni prova gratuita da dieci minuti in un nuovo fascicolo amministrativo.

Cosa NON abbiamo dovuto fare

Questa è forse la sezione più importante per chi arriva qui preoccupato dall’AI Act.

Nel nostro caso attuale non abbiamo dovuto:

❌ Nominare un AI Officer

Non esiste per una microimpresa come la nostra un obbligo generale di nominare una nuova figura chiamata “AI Officer”.

❌ Ottenere una certificazione AI Act

Non abbiamo dovuto comprare nessun bollino “AI Act compliant”.

❌ Registrarci presso l’AI Office

Utilizzare professionalmente Gemini o ChatGPT non comporta automaticamente una registrazione all’AI Office.

❌ Inviare il nostro registro AI a qualche autorità

È documentazione organizzativa interna.

❌ Mettere “questo sito utilizza AI” nel footer

Non esiste un obbligo generale di dichiarare pubblicamente ogni utilizzo interno dell’intelligenza artificiale.

❌ Scrivere “generato con AI” su qualsiasi immagine

Gli obblighi di trasparenza dell’articolo 50 riguardano casi specifici, non ogni singolo contenuto nel quale sia intervenuto un sistema generativo.

❌ Fare una DPIA solo perché utilizziamo ChatGPT

La necessità di una valutazione d’impatto GDPR dipende dal trattamento concreto e dal rischio, non dalla semplice presenza della parola “AI”.

❌ Preparare la documentazione prevista per i sistemi high-risk

Attualmente non ne utilizziamo.

Questa, secondo noi, è una distinzione fondamentale: compliance non significa produrre più documenti possibile. Significa produrre quelli che servono e, soprattutto, lavorare realmente secondo ciò che vi è scritto.

Se uso ChatGPT in azienda devo dichiararlo?

La risposta breve è: non esiste un obbligo generale di dichiarare pubblicamente ogni volta che utilizzi ChatGPT o Gemini.

Bisogna guardare al caso concreto. Utilizzare un assistente AI internamente per sistemare un testo è una cosa. Far parlare direttamente un chatbot AI con i clienti è un’altra. Pubblicare un deepfake realistico è un’altra ancora.

L’articolo 50 dell’AI Act, applicabile dal 2 agosto 2026, contiene obblighi specifici per alcune categorie di sistemi e contenuti: sistemi che interagiscono direttamente con persone, riconoscimento delle emozioni e categorizzazione biometrica, deepfake e determinati testi su questioni di interesse pubblico.

Quindi:

“abbiamo usato AI” non significa automaticamente “serve un disclaimer”.

Le immagini generate con AI devono essere sempre dichiarate?

No. Anche qui il contesto conta. Una scena 3D evidentemente illustrata non è la stessa cosa di una fotografia sintetica di una persona, un prodotto o un evento che il pubblico potrebbe ragionevolmente percepire come autentico.

Le linee guida della Commissione pubblicate nel luglio 2026 chiariscono proprio il perimetro degli obblighi di trasparenza per contenuti sintetici, deepfake e altri casi previsti dall’articolo 50. Strategia Digitale Europea

In Osteria Digitale abbiamo scelto una regola prudenziale molto semplice: quando realizziamo un’immagine o un video AI realistico che potrebbe essere interpretato come vero, lo diciamo.

Quando creiamo un’illustrazione chiaramente artificiale, non riempiamo invece il contenuto di bollini solo per il gusto di farlo.

E se una piccola impresa installa un chatbot AI?

Qui le cose iniziano a diventare più interessanti. Se un sistema AI è progettato per interagire direttamente con una persona, entrano in gioco specifici requisiti di trasparenza. Le linee guida della Commissione sull’articolo 50 chiariscono che l’utente deve essere informato dell’interazione con un sistema AI quando questo non risulta già evidente dalle circostanze.

Una formula semplice potrebbe essere:

“Stai interagendo con un assistente basato su intelligenza artificiale. Le risposte possono contenere inesattezze. Se necessario puoi richiedere assistenza umana.”

Ma il disclaimer è soltanto una parte del problema.

Prima di pubblicare un chatbot per un cliente noi valuteremmo anche:

• chi è provider e chi è deployer;
• quale modello viene utilizzato;
• quali dati entrano nei prompt;
• dove vengono conservate le conversazioni;
• quali fornitori sono coinvolti;
• come viene gestita la privacy;
• se c’è un’escalation verso una persona;
• se il bot può compiere azioni;
• quali informazioni può fornire;
• come vengono gestiti errori e allucinazioni.

È uno dei casi in cui copiare semplicemente la checklist di un’altra azienda non basta.

E se utilizzo l’AI per assumere persone, fare scoring o prendere decisioni?

Qui fermerei la lettura di questa guida e farei una valutazione specifica.

L’AI Act disciplina in maniera molto più rigorosa alcuni sistemi considerati ad alto rischio, inclusi determinati utilizzi nei settori dell’occupazione, dell’istruzione, dell’accesso a servizi essenziali e in altri ambiti indicati dal Regolamento.

Gli obblighi dedicati ai sistemi high-risk sono decisamente più strutturati rispetto a quelli che abbiamo incontrato in Osteria Digitale. AI Act Service Desk

Dopo le modifiche del Digital Omnibus, i principali obblighi per i sistemi high-risk dell’Allegato III decorreranno dal 2 dicembre 2027, mentre quelli relativi ai sistemi incorporati nei prodotti regolamentati dell’Allegato I decorreranno dal 2 agosto 2028.

Quindi, se la tua azienda utilizza AI per:

• selezionare candidati;
• valutare lavoratori;
• scoring;
• credito;
• istruzione;
• biometria;
• servizi essenziali;

questa guida non è sufficiente per valutare il tuo scenario.

I documenti che abbiamo creato in Osteria Digitale

Alla fine del nostro riordino abbiamo prodotto questi documenti.

AI e organizzazione

✅ Scheda AI Literacy
✅ Registro dei sistemi AI
✅ Regole di utilizzo AI per i collaboratori
✅ Informativa sull’utilizzo dell’AI per i clienti

GDPR

✅ Privacy Policy del sito aggiornata
✅ Informativa privacy clienti
✅ Registro delle attività di trattamento
✅ Registro delle attività svolte come responsabile per conto dei clienti
✅ Modello di accordo ex art. 28 GDPR
✅ Procedura Data Breach
✅ Registro Data Breach
✅ Verifica dei principali fornitori che trattano dati

Attenzione però:

questa lista non significa che tutti questi documenti siano obbligatori per qualsiasi microimpresa a causa dell’AI Act.

Alcuni derivano dal GDPR. Altri sono semplicemente il modo che abbiamo scelto per organizzare e documentare ciò che facciamo.

🟢 Checklist AI Act per micro e piccole imprese

Se utilizzi l’intelligenza artificiale in maniera simile a Osteria Digitale, inizierei rispondendo a queste domande.

Strumenti

• Quali strumenti AI vengono realmente utilizzati?
• Chi li utilizza?
• Sono account personali o aziendali?
• Vengono utilizzati anche strumenti non autorizzati?

Dati

• Vengono inseriti dati personali?
• Vengono inseriti documenti dei clienti?
• Vengono inserite password, API key o credenziali?
• I dati vengono minimizzati prima dell’utilizzo?

Persone

• Chi utilizza l’AI conosce rischi e limiti?
• Esistono almeno delle regole interne?
• Gli output vengono controllati prima dell’uso?

Trasparenza

• L’AI interagisce direttamente con clienti o utenti?
• Vengono prodotti deepfake o contenuti realistici?
• Vengono pubblicati automaticamente testi AI su questioni di interesse pubblico?

Processi

• L’AI prende decisioni sulle persone?
• Viene utilizzata per HR, scoring, credito o altri ambiti sensibili?
• Viene venduto un sistema AI sotto il proprio marchio?

GDPR

• Sai quali dati personali vengono trattati?
• Hai verificato i fornitori principali?
• Hai un registro dei trattamenti se applicabile?
• Quando lavori sui dati dei clienti sai se operi come titolare o responsabile?
• Sai cosa fare in caso di data breach?

Se a domande come decisioni sulle persone, chatbot autonomi, dati particolari o sistema AI venduto sotto il tuo nome rispondi sì, farei un approfondimento specifico.

Quanto ci è costato adeguarci?

Questa è un’altra cosa che ci ha sorpreso.

Il costo principale non è stato acquistare software.

Non abbiamo comprato:

• certificazioni;
• piattaforme compliance AI;
• corsi obbligatori;
• sistemi di auditing.

Abbiamo soprattutto investito tempo. Tempo per:

1. capire come utilizzavamo davvero gli strumenti;
2. verificare le fonti ufficiali;
3. eliminare alcune convinzioni sbagliate;
4. sistemare privacy e fornitori;
5. scrivere procedure abbastanza semplici da poter essere rispettate davvero.

Per una microimpresa questo, secondo noi, è un punto fondamentale.

Una policy di 90 pagine che nessuno leggerà non è necessariamente più efficace di quattro regole chiare applicate ogni giorno.

Quindi una microimpresa deve avere paura dell’AI Act?

Secondo noi, no. Ma nemmeno ignorarlo.

Per moltissime piccole attività che utilizzano ChatGPT, Gemini, Copilot o strumenti simili come assistenti, il primo passo può essere molto semplice:

capire che strumenti si stanno utilizzando, quali dati ci entrano e chi controlla ciò che ne esce.

Da lì diventa molto più facile capire cosa serve davvero.

Il problema nasce quando un’azienda non sa nemmeno che:

• i dipendenti stanno utilizzando account AI personali;
• documenti dei clienti vengono caricati nei tool;
• un chatbot sta rispondendo autonomamente;
• API e automazioni stanno prendendo decisioni;
• informazioni riservate vengono utilizzate in servizi mai valutati.

Non serve quindi partire dalla paura delle multe. Serve partire da una fotografia realistica del proprio utilizzo dell’intelligenza artificiale, ed è esattamente quello che abbiamo fatto con Osteria Digitale.

Utilizzi l’AI in azienda ma non sai bene da dove partire?

Se utilizzi ChatGPT, Gemini, Copilot, chatbot, automazioni o altri strumenti AI e non hai mai fatto una vera ricognizione, possiamo aiutarti a partire dalla situazione concreta.

Con il nostro assessment tecnico-organizzativo sull’AI analizziamo:

• strumenti utilizzati;
• account;
• dati;
• processi;
• persone coinvolte;
• chatbot e automazioni;
• modalità di controllo;
• principali criticità tecniche e organizzative.

L’obiettivo non è venderti una fantomatica certificazione “AI Act compliant”.

È capire cosa stai facendo davvero e mettere ordine dove serve.

Come abbiamo preparato questa guida

Questa guida nasce dal percorso di revisione interna svolto da Osteria Digitale nel settembre 2026.

Abbiamo analizzato il nostro utilizzo concreto di Google Workspace con Gemini, ChatGPT e degli altri strumenti digitali impiegati nell’attività; verificato il quadro normativo sulle fonti ufficiali europee e italiane; rivisto privacy, processi, fornitori e documentazione interna.

Strumenti di intelligenza artificiale sono stati utilizzati come supporto alla ricerca, all’organizzazione e alla revisione del contenuto.

Le fonti, le conclusioni e il testo finale sono stati verificati e approvati dall’autore.

Google raccomanda, tra le altre cose, contenuti people-first che dimostrino esperienza diretta e offrano un punto di vista realmente originale; le nuove indicazioni dedicate alle funzionalità di ricerca generativa ribadiscono inoltre che non servono fantomatiche tecniche “GEO” separate dalla buona SEO: contenuti utili, unici e affidabili rimangono la base.

Fonti ufficiali principali

• AI Act Service Desk della Commissione Europea – calendario di applicazione.
  ~ Calendario ufficiale AI Act
• Commissione Europea – AI literacy, domande e risposte.
  ~ FAQ ufficiali AI Literacy
• Commissione Europea – linee guida sull’articolo 50.
  ~ Linee guida sugli obblighi di trasparenza AI
• AI Act Service Desk – definizioni di provider e deployer.
  ~ Articolo 3 AI Act
• Gazzetta Ufficiale – Legge italiana n. 132/2025.
  ~ Legge 23 settembre 2025 n.132
• Garante Privacy – Registro delle attività di trattamento.
  ~ Registro dei trattamenti GDPR
• Garante Privacy – Data Breach.
  ~ Violazioni di dati personali