IA nelle PMI: nuove regole dal 30 settembre e fondi Simest

Negli ultimi mesi quasi tutti i clienti con cui lavoro hanno introdotto almeno uno strumento di intelligenza artificiale: un chatbot sul sito, un plugin che scrive le schede prodotto, un assistente nel gestionale. Quasi nessuno, però, saprebbe dirmi con precisione quali sistemi usa e con quali dati. Dal 30 settembre questa domanda smette di essere accademica: entra in vigore il D.Lgs. 160/2026, il primo decreto che dà attuazione alla legge italiana sull'IA. In questo articolo provo a spiegare, da sviluppatore e non da avvocato, cosa cambia per una PMI, cosa fare subito e come usare i nuovi fondi Simest per trasformare un obbligo in un investimento.

Nota: questo articolo è una lettura tecnica e pratica, non una consulenza legale. Per valutare il caso specifico della tua azienda, soprattutto se hai un Modello 231, confrontati con il tuo legale o consulente compliance.

Cosa entra in vigore il 30 settembre

Il Decreto Legislativo 9 settembre 2026, n. 160 è stato pubblicato in Gazzetta Ufficiale il 15 settembre ed entra in vigore mercoledì 30 settembre. È il primo decreto attuativo della Legge 132/2025, la legge italiana sull'intelligenza artificiale che si affianca all'AI Act europeo.

Il decreto interviene su quattro fronti:

uso dell'IA da parte delle forze dell'ordine, con limiti precisi al riconoscimento facciale in tempo reale;
nuovi reati, tra cui l'omissione delle misure di sicurezza nei sistemi IA ad alto rischio (art. 437-bis c.p.) e la diffusione illecita di contenuti manipolati con l'IA, i cosiddetti deepfake (art. 612-quater c.p.);
responsabilità delle aziende ai sensi del D.Lgs. 231/2001, con un nuovo articolo 25-vicies;
responsabilità civile, con regole che rendono più facile per chi subisce un danno ottenere un risarcimento.

Detta così sembra una norma lontana dal lavoro di tutti i giorni. In parte lo è. Ma alcune parti riguardano da vicino anche chi ha un e-commerce o un'azienda di dieci dipendenti.

Chi deve preoccuparsi davvero

La parte penale più pesante, l'art. 437-bis, riguarda i sistemi IA ad alto rischio: quelli che l'AI Act elenca negli allegati I e III, come i sistemi usati per la selezione del personale, la valutazione del merito creditizio, le infrastrutture critiche o i componenti di sicurezza dei prodotti. E scatta solo quando l'omissione delle misure di sicurezza o della supervisione umana crea un pericolo concreto per la vita, la sicurezza pubblica o dello Stato.

Tradotto: il chatbot che risponde sugli orari di spedizione del tuo store, o il plugin che genera le descrizioni prodotto su WooCommerce, non sono sistemi ad alto rischio. Non rischi il carcere perché la scheda di un paio di scarpe è stata scritta dall'IA.

Ci sono però tre casi in cui una PMI deve prestare attenzione:

Usi l'IA in processi sensibili. Un software che fa lo screening dei CV, uno scoring automatico dei clienti per concedere pagamenti dilazionati, un sistema che decide in autonomia su persone: qui ci si avvicina all'alto rischio.
Produci o personalizzi sistemi IA per altri. Se sei un'azienda software, un'agenzia o uno sviluppatore come me, e integri modelli IA nei prodotti dei clienti, il decreto ti riguarda anche come fornitore.
Usi immagini, video o voci generati dall'IA nel marketing. Il nuovo reato sui deepfake punisce la diffusione di contenuti alterati con l'IA senza il consenso della persona ritratta. Una campagna con il volto "ritoccato" di un testimonial o di un dipendente, senza un consenso chiaro, non è più solo una questione di buon gusto.

Responsabilità civile e Modello 231

Due novità meritano attenzione anche se non usi sistemi ad alto rischio.

La prima riguarda la responsabilità civile. Quando un danno deriva dalla violazione degli obblighi previsti dall'AI Act, il nesso di causalità tra violazione e danno è presunto, salvo prova contraria. Il giudice può inoltre ordinare di esibire la documentazione del sistema, i registri di gestione del rischio e le informazioni sulla supervisione umana. In pratica, se non hai documentato nulla, difenderti diventa molto più difficile.

La seconda riguarda le aziende che hanno adottato un Modello 231. Il nuovo art. 25-vicies estende la responsabilità dell'ente ai nuovi reati in materia di IA, con sanzioni pecuniarie in quote (da 600 a 1.000 per le omissioni di sicurezza, da 200 a 700 per i deepfake) e sanzioni interdittive. Chi ha un Modello 231 dovrà aggiornare la mappatura dei rischi e i protocolli.

La checklist in 5 passi per una PMI

Quando un cliente mi chiede "cosa devo fare?", la risposta non è comprare un software di compliance. È mettere ordine. Ecco il percorso che propongo:

Fai l'inventario degli strumenti IA. Elenca tutto: chatbot, plugin di Shopify o WooCommerce, funzioni IA del CRM e del gestionale, account ChatGPT o Claude usati dai dipendenti, automazioni costruite su misura. Per ognuno annota chi lo usa, per cosa e quali dati riceve. È il passo più banale e quello che quasi nessuno ha fatto.
Classifica il rischio. Per ogni strumento chiediti: prende o influenza decisioni su persone (assunzioni, credito, accesso a servizi)? Tratta dati personali o sensibili? Se la risposta è no, sei quasi sempre in un'area a rischio minimo o limitato. Se è sì, serve un approfondimento con un legale.
Definisci la supervisione umana. Chi controlla l'output prima che arrivi al cliente? Chi può fermare un'automazione che sbaglia? Nel codice questo si traduce in cose concrete: stati di revisione, code di approvazione, log delle azioni automatiche.
Documenta. Una scheda per ogni sistema: fornitore, modello usato, finalità, dati trattati, misure di controllo, data di revisione. Per le applicazioni sviluppate su misura aggiungi i log delle chiamate al modello. In un progetto Laravel, per esempio, basta un middleware o un servizio dedicato che registri prompt, risposta, utente e timestamp: pochi minuti di sviluppo che, in caso di contestazione, valgono moltissimo.
Forma le persone. L'AI Act chiede già dal febbraio 2025 un livello adeguato di alfabetizzazione sull'IA per chi usa questi sistemi in azienda. Non serve un master: bastano regole chiare su cosa si può incollare in un chatbot, come verificare un output e quando fermarsi.

Nessuno di questi passi richiede grandi budget. Richiedono tempo e un po' di metodo, e sono la base su cui costruire qualsiasi progetto IA serio.

I 200 milioni Simest per l'intelligenza artificiale

La buona notizia è che la stessa settimana porta anche risorse. Simest, la società del Gruppo CDP che sostiene l'internazionalizzazione delle imprese, ha stanziato 200 milioni di euro per finanziare investimenti in intelligenza artificiale delle PMI. Il portale per le domande è aperto dal 21 settembre.

Le condizioni principali:

chi può accedere: imprese italiane con vocazione internazionale, cioè con almeno il 3% del fatturato realizzato all'estero, oppure che lavorano come fornitori di aziende esportatrici;
quota a fondo perduto: fino al 10% del finanziamento;
tasso agevolato: a partire dallo 0,37%, in regime de minimis;
durata: fino a 8 anni, di cui 2 di preammortamento;
anticipo: fino al 50% dell'importo finanziato.

Il punto che trovo più interessante è la lista delle spese ammissibili: infrastrutture cloud, piattaforme software IA, sviluppo di modelli, gestione dei dati, formazione del personale, cybersecurity e adeguamento all'AI Act. In altre parole, la checklist che ho descritto sopra, se inserita in un progetto più ampio, può diventare parte di un investimento finanziato.

Per un e-commerce che vende all'estero, pensa a un progetto che unisca un assistente clienti multilingua, l'automazione delle schede prodotto per i mercati esteri e, insieme, la messa in regola di tutti gli strumenti IA già in uso. È esattamente il tipo di intervento per cui questi fondi sono pensati.

Da dove partire questa settimana

Il contesto è chiaro. Secondo i dati presentati il 25 settembre alla Camera dei Deputati, il mercato italiano dell'IA vale 1,8 miliardi di euro, ma solo il 16,4% delle imprese con almeno 10 addetti usa l'intelligenza artificiale, e le PMI restano di 37 punti indietro rispetto alle grandi aziende. Tra i freni citati ci sono proprio la mancanza di competenze e il timore delle sanzioni.

Il mio consiglio è di non lasciare che il timore prevalga. Il decreto del 30 settembre colpisce duramente chi usa l'IA in modo irresponsabile in ambiti critici, non chi la usa con metodo per lavorare meglio. Per la maggior parte delle PMI il percorso è semplice:

questa settimana: fai l'inventario degli strumenti IA in uso (passo 1 della checklist);
entro fine ottobre: classifica i rischi, definisci chi supervisiona e cosa, e inizia a documentare;
in parallelo: se lavori con l'estero, valuta con il tuo commercialista o consulente se un progetto IA può rientrare nel finanziamento Simest.

Se vuoi una mano a fare l'audit tecnico degli strumenti IA del tuo sito o del tuo e-commerce, o a progettare un'integrazione IA che sia utile e anche documentata come si deve, scrivimi. È il tipo di lavoro che mi piace di più: prendere una norma o una tecnologia nuova e trasformarla in qualcosa che funziona davvero in azienda.