La prima distinzione da capire è tra provider e deployer. Il provider sviluppa e immette sul mercato un sistema di AI; il deployer lo utilizza nella propria attività. La maggior parte delle PMI è deployer: usa strumenti costruiti da altri. Gli obblighi più pesanti del regolamento — documentazione tecnica, gestione del rischio, conformità di prodotto — ricadono sui provider. Al deployer spetta soprattutto usare il sistema secondo le istruzioni, con una supervisione umana adeguata.
Il secondo concetto chiave è la piramide del rischio. Le pratiche vietate (manipolazione, social scoring) non riguardano l'operatività tipica di una PMI. I sistemi ad alto rischio toccano ambiti precisi — selezione del personale, accesso al credito, infrastrutture critiche — e lì gli obblighi crescono davvero. La maggior parte degli usi commerciali quotidiani, come assistenza clienti e marketing, rientra invece nei livelli a rischio limitato o minimo, dove l'obbligo centrale è la trasparenza: le persone devono sapere quando stanno interagendo con un'AI.
Cosa fare in pratica, oggi: censire dove usi già l'AI in azienda; verificare che i tuoi strumenti dichiarino la loro natura di AI nelle conversazioni con i clienti; scegliere fornitori in grado di darti documentazione e tracciabilità — un audit trail delle azioni degli agenti aiuta anche qui; formare le persone che usano questi strumenti, perché l'alfabetizzazione AI del personale è tra i primi obblighi già applicabili.
Disclaimer: le scadenze e i dettagli applicativi del regolamento evolvono, e il tuo caso specifico può avere particolarità. Per decisioni con impatto legale rivolgiti a un professionista qualificato.