Il primo caso AI Act non nascerà da un'ispezione, ma da un reclamo

Il primo vero guaio AI Act per una PMI non arriverà da un controllo a sorpresa. Arriverà da una segnalazione: un concorrente, un ex dipendente, un sindacato che scrive all'autorità. E quando succede, l'unica cosa che ti protegge è avere le carte in ordine sull'articolo 4.

Te lo dico perché in questi giorni tutti guardano dalla parte sbagliata. Ci si immagina la Guardia di Finanza che entra in fabbrica e chiede il registro dell'IA. Non funziona così. Le autorità di vigilanza non hanno gli uomini per battere a tappeto migliaia di aziende. Partono da un innesco. E l'innesco, quasi sempre, è un reclamo.

L'articolo 85 dà a chiunque il diritto di segnalarti

Non è una mia teoria, è scritto nel regolamento. L'articolo 85 dell'AI Act si intitola proprio "diritto di presentare un reclamo a un'autorità di vigilanza del mercato".

Dice una cosa netta: qualsiasi persona, fisica o giuridica, che abbia motivo di ritenere che ci sia una violazione può presentare un reclamo all'autorità competente. Non devi essere la vittima. Non devi dimostrare un danno diretto. Basta il sospetto.

In Italia l'autorità che riceve quel reclamo è l'ACN, l'Agenzia per la Cybersicurezza Nazionale, designata dalla Legge 132/2025 come vigilanza del mercato per l'AI Act. È lì che finisce la segnalazione che ti riguarda.

Chi ha un motivo per farlo (e ne ha più di uno)

Fermati un attimo a pensare a chi, attorno alla tua azienda, avrebbe l'interesse e le informazioni per segnalarti.

Il concorrente che perde una gara e vuole rifartela pagare. L'ex dipendente uscito male, che sa esattamente come usate l'IA in ufficio perché la usava lui. Il sindacato che ha da ridire su come tratti i dati del personale. Il cliente incavolato che cerca una leva.

Sono le persone che stanno più vicino ai tuoi processi. Sanno cosa generi con l'IA, con quali strumenti, e sanno dove sei scoperto. Una segnalazione non richiede un avvocato costoso: richiede di sapere dove premere.

L'Europa ha già costruito i binari per le segnalazioni

Che questo sia il modello scelto lo vedi da come si è attrezzata la Commissione. L'AI Office ha messo online due strumenti dedicati.

Uno è un complaints tool, per presentare reclami sulle violazioni dell'AI Act. Non è anonimo: chi segnala si identifica. L'altro è un whistleblower tool, attivo dal novembre 2025, che permette segnalazioni anonime e protette a chi lavora dentro o vicino a chi sviluppa l'IA.

A oggi questi due canali europei riguardano soprattutto i grandi modelli di IA per finalità generale, non la singola PMI. Ma il segnale politico è quello che conta: il sistema di controllo è stato progettato per funzionare a segnalazione, non a ronda. Sopra, i tool UE. Sotto, il reclamo all'ACN previsto dall'articolo 85. Due piani della stessa logica.

E c'è anche l'articolo 87, che estende alle violazioni dell'AI Act le tutele europee per chi segnala illeciti. Chi ti denuncia, dall'interno, è protetto per legge.

Perché il reclamo è più insidioso dell'ispezione

Un'ispezione a campione è casuale e rara. Un reclamo è mirato e motivato: arriva da qualcuno che sa dove guardare e ha una ragione per farlo.

Quando l'autorità apre una pratica su segnalazione, il primo passo non è la multa. Te l'ho spiegato parlando di come funziona davvero l'enforcement dal 2 agosto: la legge stessa prevede che si parta da richieste e avvertimenti. Ti scrivono, ti chiedono di mostrare cosa hai fatto per stare in regola. Ti danno un termine.

È in quel momento che si decide tutto. Non nel merito astratto della violazione, ma in una domanda pratica: cosa riesci a tirare fuori dal cassetto?

La tua difesa è il fascicolo, e va costruito prima

Se alla richiesta rispondi con la formazione documentata, il registro degli strumenti e la policy interna, la pratica cambia colore. Diventi l'operatore diligente che ha adottato misure, e questo pesa a tuo favore quando l'autorità valuta come procedere.

Se invece non hai niente, sei l'azienda che "non ha fatto nulla". Non c'è racconto che tenga: o le carte ci sono o non ci sono. È esattamente il fascicolo pronto per il controllo, e il primo mattone è l'alfabetizzazione dell'articolo 4, quella che spieghiamo nella guida all'obbligo di formazione.

Nota bene: l'articolo 4 non ha una multa dedicata. Nessuno ti sanziona "perché non hai fatto il corso". Ma nel momento in cui parte un procedimento su un altro punto, l'assenza di formazione e documenti diventa la prova che non eri diligente. I numeri e le soglie vere delle sanzioni li trovi in quanto rischia davvero una PMI.

Cosa fare questa settimana

Non ti serve blindarti contro un'ispezione che probabilmente non arriverà. Ti serve essere pronto alla segnalazione che, quella sì, può arrivare da chi ti sta intorno.

Tre mosse. Censisci dove usi l'IA in azienda e mettilo in un registro dei sistemi AI. Forma le persone che quegli strumenti li usano e conserva l'attestato. Scrivi una policy corta su chi controlla cosa. Con i modelli già pronti è questione di giorni, non di mesi.

Questo è un inquadramento generale, non un parere sul tuo caso. Se hai una situazione delicata, per esempio un contenzioso aperto con un ex socio o un dipendente, falla valutare: lì il rischio di segnalazione è concreto e conviene arrivarci preparati.

Domande frequenti

Chi può presentare un reclamo contro la mia azienda per l'AI Act? Chiunque. L'articolo 85 dell'AI Act dà a qualsiasi persona fisica o giuridica il diritto di presentare un reclamo all'autorità di vigilanza del mercato se ha motivo di ritenere che ci sia una violazione. Non serve aver subito un danno diretto: bastano fondati motivi.

A chi arriva la segnalazione in Italia? All'ACN, l'Agenzia per la Cybersicurezza Nazionale, che la Legge 132/2025 ha designato come autorità di vigilanza del mercato per l'AI Act. È l'autorità che riceve i reclami e può avviare i procedimenti sugli obblighi già applicabili.

Cosa sono il complaints tool e il whistleblower tool della Commissione? Sono due canali dell'AI Office europeo. Il complaints tool raccoglie reclami sulle violazioni dell'AI Act e non è anonimo. Il whistleblower tool, attivo dal novembre 2025, consente segnalazioni anonime e protette. Oggi riguardano soprattutto i modelli di IA per finalità generale, ma confermano che il sistema di enforcement è costruito sulle segnalazioni.

Se mi segnalano, arriva subito la multa? No. Su una segnalazione l'autorità in genere apre una pratica e chiede di mostrare la documentazione, prima di qualsiasi sanzione. È in quel momento che la formazione, il registro e la policy fanno la differenza tra una pratica che si chiude e una che si aggrava.

L'ex dipendente che mi segnala rischia qualcosa? No, è tutelato. L'articolo 87 dell'AI Act estende alle violazioni del regolamento le protezioni europee per chi segnala illeciti. Chi denuncia dall'interno è protetto per legge, anche in forma anonima attraverso gli strumenti dedicati.