La Lombardia ha una legge regionale sull'intelligenza artificiale. Il Consiglio regionale l'ha approvata a maggioranza il 27 ottobre 2026, come riporta ANSA, e tre giorni dopo il presidente del Consiglio regionale Federico Romani l'ha definita la prima di valenza regionale in Italia su questi temi.

La domanda pratica per chi ha una piccola impresa è semplice: devo fare qualcosa? La risposta breve è no, non per obbligo. Ma il testo dice chiaramente cosa la Regione si aspetta, e conviene leggerlo prima che arrivino i bandi.

In 30 secondi

  • Cos'è: il PDL 171, "Disposizioni in materia di ricerca, innovazione e intelligenza artificiale per lo sviluppo sostenibile", approvato il 27 ottobre 2026. Aggiorna la legge regionale 29/2016 "Lombardia è Ricerca".
  • Natura: "prevalentemente di indirizzo", secondo il relatore Andrea Sala. L'IA è uno strumento di supporto, sempre sotto controllo e responsabilità umana finale.
  • Strumenti: programma strategico triennale, comitato scientifico di 5 esperti, tavolo permanente, Carta regionale per lo sviluppo dell'IA.
  • Soldi: l'assessore Fermi cita le risorse FESR, ma il testo illustrativo non indica uno stanziamento specifico.

Cosa prevede la legge

Il testo richiama esplicitamente il Regolamento europeo 2024/1689, cioè l'AI Act, e la legge italiana 132/2025, e si muove dentro quel perimetro. Secondo la ricostruzione di La Milano, i pezzi principali sono quattro:

  • Programma strategico triennale per ricerca, innovazione e trasferimento tecnologico, con l'IA tra le priorità. È il documento che orienterà dove vanno le risorse.
  • Comitato scientifico indipendente di cinque esperti scelti con procedura pubblica, in carica tre anni, con funzioni consultive.
  • Tavolo regionale permanente con università, centri di ricerca, filiere produttive e associazioni di imprese e lavoratori. Nel progetto approvato dalla Giunta a marzo era previsto che si riunisse almeno tre volte l'anno.
  • Carta regionale per lo sviluppo dell'IA, aperta al contributo di imprese e istituzioni, con principi su etica, sicurezza e diritti delle persone.

Tra gli obiettivi dichiarati c'è la riduzione del divario digitale tra grandi aziende da una parte e piccole imprese e piccoli Comuni dall'altra, insieme a formazione e riqualificazione delle competenze. Il progetto di legge parla anche di uso dell'IA nelle imprese "tutelando i diritti dei lavoratori".

Cosa non dice (ancora)

Qui serve onestà. Nelle fonti disponibili non ci sono nuovi obblighi diretti per le imprese, né importi, né date di bandi. Il PD, con Samuele Astuti, l'ha criticata proprio per questo: "Avremmo avuto bisogno di una legge di visione, che spiegasse in quale direzione andare, quali investimenti fare". La maggioranza risponde che gli strumenti servono a costruire quella direzione insieme al territorio, e Nicholas Gallizzi (Noi Moderati) ha detto che i risultati si potranno valutare fra dodici mesi.

Per una PMI questo significa che gli obblighi veri restano quelli nazionali ed europei. Se non li hai ancora messi in fila, parti dalla checklist sugli obblighi minimi dell'AI Act e dalla nostra lettura del decreto 179/2026 su IA e lavoro.

Prima e dopo

Prima

  • La legge regionale 29/2016 parlava di ricerca e innovazione, non di IA.
  • Nessuna sede regionale stabile di confronto tra imprese e università sull'IA.
  • Per una PMI, i riferimenti erano solo AI Act e legge 132/2025.

Dopo

  • L'IA entra tra le priorità del programma strategico triennale.
  • Un tavolo permanente in cui le associazioni di imprese hanno un posto.
  • Gli obblighi restano AI Act e legge 132/2025, ma la Regione fissa principi: controllo umano, codici di condotta, formazione.

Perché conta lo stesso

Due motivi concreti. Il primo: le risorse FESR richiamate dall'assessore Fermi passano di solito da bandi regionali, e un programma triennale con l'IA tra le priorità rende probabile che i prossimi bandi per l'innovazione premino chi ha progetti di adozione strutturati. È un'interpretazione, non un annuncio: i bandi non sono ancora usciti.

Il secondo: Confcommercio Lombardia ha rivendicato l'accoglimento di due sue richieste, codici di condotta per sicurezza e trasparenza e percorsi formativi. Cita anche una ricerca Format Research secondo cui oltre il 62% delle imprese lombarde del terziario userà l'IA entro fine 2026. Le associazioni di categoria, quindi, si stanno muovendo su questi due temi, ed è da lì che arriveranno corsi e modelli.

Cosa fare adesso

Non serve aspettare la Carta regionale. Le tre cose che la legge mette al centro si possono già fare in azienda, con poco tempo.

Passo per passo

  1. Scrivi chi controlla l'output. Una regola di mezza pagina: nessun testo, preventivo o risposta generata dall'AI esce senza che una persona lo legga e se ne prenda la responsabilità. È il principio del "controllo umano finale" della legge. Un modello lo trovi nella policy interna per ChatGPT in azienda.
  2. Fissa le regole sui dati e sugli account. Quali dati si possono inserire, in quali strumenti, con quali account aziendali. Parti dalle regole contro la shadow AI.
  3. Fai un'ora di formazione documentata. Anche interna, anche breve, ma con data, partecipanti e argomenti. Serve per l'AI Act e sarà utile nei bandi che chiedono competenze.
  4. Chiedi alla tua associazione. Il tavolo permanente include le associazioni di imprese: chiedi alla tua (Confcommercio, Confartigianato, CNA o altre) se partecipa e quando apriranno corsi o bandi collegati.
  5. Tieni d'occhio i bandi FESR. Quando usciranno, avere già regola, formazione e un piccolo test in corso ti mette avanti. Intanto consulta la mappa degli incentivi AI per PMI.

Conclusione

La legge lombarda non ti chiede nulla oggi, ma dice ad alta voce cosa conterà domani: una persona responsabile di quello che fa l'AI, regole chiare e formazione. Sono le stesse cose che chiedono l'AI Act e il buon senso, e sono anche la risposta ai dubbi più comuni delle PMI che abbiamo visto nel sondaggio Ipsos per Meta. Se vuoi il quadro completo, la guida pratica all'AI per PMI è il punto da cui partire.