Sfoglia altri articoli simili con le etichette:
L’EU AI Office ha pubblicato a luglio 2026 un documento di sintesi sui controlli più frequenti rilevati nelle prime ispezioni coordinate con le autorità nazionali. Su 47 procedure aperte nei primi sei mesi di applicazione piena, il 68% ha mostrato carenze nella documentazione tecnica obbligatoria, il 54% nella gestione del registro incidenti, il 41% nell’inventario dei sistemi AI utilizzati. Sono dati che dicono una cosa precisa: la compliance AI Act, più che richiedere competenze straordinarie, richiede metodo e costanza operativa.
Questo articolo è una checklist concreta. Trenta punti, raggruppati per area di intervento, ciascuno con riferimento all’articolo dell’AI Act applicabile.
Come usare questa checklist
I trenta punti sono pensati per un’azienda italiana di medie dimensioni che utilizza sistemi AI sviluppati internamente o forniti da terzi, in ambito amministrativo, commerciale o operativo. Le aziende che sviluppano direttamente sistemi AI ad alto rischio hanno obblighi aggiuntivi non coperti integralmente qui, in particolare la conformity assessment dell’articolo 43 e la marcatura CE dell’articolo 48. Per quegli scenari serve consulenza specialistica dedicata.
La checklist va completata almeno una volta l’anno, idealmente con revisione trimestrale dei punti di monitoraggio attivo. La proprietà del processo deve essere chiaramente assegnata, tipicamente all’AI Officer o al DPO esteso a competenze AI. Le evidenze di completamento vanno archiviate in modo recuperabile in caso di ispezione delle autorità competenti, dove per l’Italia il riferimento primario è AgID per i temi tecnici e Garante Privacy per i temi di trattamento dati personali.
Per chi sta costruendo da zero il framework, suggerisco di affiancare la checklist con la lettura della guida AI Act applicato al marketing digitale, che copre con dettaglio operativo i sistemi più diffusi nelle funzioni commerciali.
Area governance e ruoli (punti 1-6)
La governance è il primo capitolo perché senza ruoli chiari nessuna delle attività successive può essere completata in modo sostenibile.
1. Nominare formalmente un AI Officer aziendale, anche cumulato con altro ruolo, con mandato scritto e accesso diretto al CdA o al management equivalente. Riferimento: principio generale di accountability, articolo 26 per i deployer di sistemi ad alto rischio.
2. Aggiornare il mandato del DPO esistente per includere il coordinamento con l’AI Officer sui temi che intersecano trattamento dati personali. Riferimento: articolo 26, lettera g (cooperazione con autorità competenti).
3. Istituire un AI Steering Committee con riunione almeno trimestrale, composto da AI Officer, DPO, CISO, responsabile legale, rappresentante business. Verbale formale conservato.
4. Definire policy AI aziendale scritta, approvata dal management, che chiarisca uso ammesso, uso vietato, processo di autorizzazione per nuovi sistemi, regole su shadow AI individuale.
5. Mappare le responsabilità RACI (Responsible, Accountable, Consulted, Informed) per ciascun sistema AI utilizzato nell’organizzazione, mantenute aggiornate semestralmente.
6. Definire budget operativo annuale dedicato alla compliance AI, distinto da budget IT generale. Senza budget dedicato la compliance non viene completata, anche con la migliore volontà dichiarata.
Area inventario e classificazione (punti 7-12)
L’inventario è la base fattuale di tutto il resto. Le ispezioni delle autorità partono sempre da qui.
7. Compilare e mantenere aggiornato un AI System Inventory che elenchi tutti i sistemi AI utilizzati: nome, fornitore, versione, finalità, dati trattati, owner aziendale, data di prima attivazione. Foglio elettronico o tool dedicato, l’importante è che sia recuperabile.
8. Classificare ciascun sistema secondo le categorie AI Act: rischio inaccettabile (vietato), alto rischio (Annex III), rischio limitato (obblighi di trasparenza), rischio minimo. Riferimento: articoli 5, 6, 50, 52.
9. Per ciascun sistema, verificare se rientra nella categoria GPAI come modello sottostante (es. uso di GPT, Claude, Gemini via API) e documentare il fornitore GPAI con la sua data di conformità all’articolo 53.
10. Identificare i sistemi che coinvolgono trattamento di dati personali e linkare ciascuno al registro dei trattamenti GDPR ai sensi dell’articolo 30 del Regolamento UE 2016/679.
11. Per i sistemi classificati high-risk, verificare la presenza della documentazione tecnica del provider richiesta dall’Allegato IV e archiviare copia o riferimento all’accesso. Riferimento: articolo 11.
12. Per i sistemi acquistati o utilizzati come servizio, conservare le evidenze contrattuali della responsabilità del fornitore per la conformità AI Act, idealmente in clausola dedicata del contratto di servizio.
Area trasparenza utenti e dipendenti (punti 13-17)
La trasparenza è obbligo trasversale e produce evidenze facilmente verificabili dalle autorità.
13. Informare i clienti e i prospect quando interagiscono con sistemi AI conversazionali, in modo chiaro e accessibile prima dell’inizio dell’interazione. Riferimento: articolo 50, comma 1.
14. Etichettare i contenuti generati o sensibilmente modificati da AI quando pubblicati su canali aziendali, includendo immagini, video, audio. Adottare standard tecnici come C2PA o SynthID dove possibile. Riferimento: articolo 50, commi 2-3.
15. Informare i dipendenti sull’utilizzo di sistemi AI nelle attività lavorative che li riguardano, con particolare riferimento a sistemi che incidono su valutazione, monitoraggio, organizzazione del lavoro. Riferimento articolo 26, comma 7 e Statuto dei Lavoratori articolo 4 nella versione coordinata con la disciplina trasparenza.
16. Aggiornare l’informativa privacy ai sensi degli articoli 13 e 14 GDPR per includere i trattamenti che coinvolgono AI, con menzione della logica adottata, dell’importanza e delle conseguenze previste ai sensi dell’articolo 22.
17. Pubblicare sul sito aziendale una sintetica pagina di trasparenza AI che elenchi le categorie di sistemi utilizzati nei rapporti con il pubblico. Non è obbligatorio espressamente ma è prassi che le autorità apprezzano e che migliora il rapporto fiduciario con clienti.
Area DPIA e valutazione impatto (punti 18-21)
La valutazione di impatto è obbligatoria per i sistemi ad alto rischio e raccomandata per altri scenari sensibili.
18. Condurre DPIA ai sensi dell’articolo 35 GDPR per ogni sistema AI che tratta dati personali su larga scala o che incide sensibilmente sulle persone. Documentare metodologia, esiti, misure di mitigazione adottate.
19. Per i sistemi AI high-risk, integrare la DPIA con la Fundamental Rights Impact Assessment prevista dall’articolo 27 dell’AI Act, distintamente documentata. Riferimento: articolo 27, commi 1-5.
20. Aggiornare le DPIA almeno annualmente o ad ogni modifica sostanziale del sistema. Le DPIA datate non sono evidenza accettabile in caso di ispezione su sistemi modificati.
21. Conservare il registro delle DPIA come repository accessibile, con classificazione per tipo di sistema, data di ultima revisione, owner responsabile. Riferimento: principio di accountability articolo 24 GDPR.
Area dati training, qualità, bias (punti 22-25)
Per i sistemi AI sviluppati internamente o personalizzati con fine-tuning, la qualità dei dati di training è oggetto di obbligo specifico dell’AI Act.
22. Documentare la provenienza, la composizione, la qualità dei dataset utilizzati per addestrare o calibrare sistemi AI sviluppati internamente. Riferimento: articolo 10 per sistemi high-risk, principio generale di accuratezza GDPR articolo 5 lettera d per dati personali.
23. Verificare la rappresentatività dei dataset rispetto alle popolazioni target del sistema, con analisi statistiche delle distribuzioni per variabili sensibili (genere, età, area geografica, dove pertinente). Documentare l’analisi e le eventuali mitigazioni.
24. Condurre testing periodico per individuare bias discriminatori nei risultati del sistema, su gruppi protetti dall’articolo 21 Carta dei Diritti Fondamentali UE. Documentare metodologia, frequenza, soglie di accettabilità.
25. Mantenere logs dei dati di input ricevuti dal sistema in produzione e dei risultati prodotti, almeno per i sistemi high-risk, per un periodo minimo che consenta verifica retrospettiva ed eventuale revisione. Riferimento: articolo 12 e articolo 19.
Area monitoraggio e incidenti (punti 26-30)
Il monitoraggio continuo è obbligo articolo 72 e richiede strumenti, procedure, evidenze archiviate.
26. Implementare monitoraggio operativo dei sistemi AI in produzione con metriche definite a priori (accuratezza, latenza, drift dei dati, indicatori di qualità specifici del caso d’uso). Frequenza minima settimanale per high-risk, mensile per altri sistemi.
27. Definire procedura formalizzata di gestione incidenti AI con tempi di risposta, canali di escalation, modulistica di registrazione. Riferimento: articolo 73 obbligo di notifica incidenti gravi alle autorità competenti entro 15 giorni dalla scoperta.
28. Mantenere registro incidenti AI distinto e ricercabile, con classificazione gravità, sistema coinvolto, mitigazioni applicate, esito. Conservazione minima cinque anni.
29. Definire e testare almeno annualmente la procedura di disattivazione di emergenza dei sistemi AI critici, con responsabili e tempi documentati. Le ispezioni controllano sempre la presenza di kill-switch operativi.
30. Programmare audit interno o esterno della compliance AI Act con cadenza almeno annuale, con report formale al management e piano di rimedio per le non conformità rilevate. L’audit esterno è raccomandato dal terzo anno di applicazione del Regolamento in poi.
Come dimensionare lo sforzo
Per un’azienda italiana di 50-200 dipendenti che utilizza una decina di sistemi AI distribuiti tra HR, marketing, customer service e back-office, il completamento iniziale della checklist richiede tipicamente da quattro a sei mesi di lavoro distribuito, con un commitment di una FTE equivalente per la fase di setup e di 0,3-0,5 FTE per il mantenimento successivo. I costi diretti aggiuntivi (consulenze legali specialistiche, eventuale piattaforma di AI governance, formazione AI literacy) si collocano in una forchetta indicativa di 20.000-50.000 EUR il primo anno, 8.000-20.000 EUR il regime.
Numeri che possono apparire elevati per una PMI, ma vanno comparati ai potenziali costi del non fare. Le sanzioni AI Act arrivano a 35 milioni EUR o 7% del fatturato globale per le violazioni più gravi. Anche escludendo lo scenario peggiore, una contestazione di non conformità rallenta la digitalizzazione aziendale, mette in discussione i contratti con clienti che richiedono garanzie di compliance del fornitore, può precludere accesso a gare pubbliche dove la compliance AI inizia a essere requisito. Le imprese che hanno investito tempestivamente nella governance AI stanno trasformando l’obbligo normativo in vantaggio competitivo nelle gare e nei rapporti con clienti enterprise.
Risorse formative e network
La competenza interna è il punto di partenza, ma è raro che un’azienda italiana sotto i 500 dipendenti abbia internamente tutte le competenze necessarie. L’integrazione con consulenti specialistici e con network professionali è componente operativa del modello, non scorciatoia.
Per la formazione AI literacy del personale, il riferimento europeo è costituito dai percorsi che rilasciano credenziali digitali europee riconosciute, secondo il framework EDC della Commissione UE. In Italia, AIPIA è la prima associazione autorizzata a rilasciare credenziali europee per la formazione AI ai propri associati e a chi completa i percorsi formativi convenzionati. Per chi vuole completare il quadro di compliance con la formazione del personale, l’indirizzo di riferimento è aipia.it/credenziali-europee/ dove sono pubblicati i percorsi attivi e i requisiti di accesso.
Per il monitoraggio dell’evoluzione normativa, il riferimento è la sintesi enterprise dello Stanford AI Index 2026 che traccia con dati quantitativi l’adozione AI nelle imprese e l’evoluzione del framework regolatorio internazionale, utile per benchmark comparativo con i pari di settore.
Errori frequenti da evitare
Cinque pattern di errore osservati con regolarità nelle aziende che iniziano il percorso di compliance senza metodo strutturato. Sottovalutare l’inventario: senza inventario non si applica nulla, eppure è il punto che le aziende trattano con maggiore superficialità all’inizio. Dedicare due settimane intere all’inventario nel primo trimestre è investimento che si recupera dieci volte nei mesi successivi.
Confondere AI Officer con DPO: sono ruoli compatibili ma con competenze distinte, il cumulo è praticabile solo se la persona ha effettivamente entrambe le competenze e tempo sufficiente. Sottostimare il tempo richiesto: la compliance AI Act non è progetto a termine, è funzione continuativa, le aziende che la trattano come progetto chiuso si ritrovano fuori regola entro 12-18 mesi.
Affidare tutto all’esterno: i consulenti aiutano nella fase di setup, ma la conoscenza dei propri sistemi deve essere interna, le autorità chiedono spiegazioni a chi opera, non a chi consulta. Pensare che basti la formazione: senza processi, controlli, evidenze archiviate, la formazione del personale non costituisce compliance dimostrabile, è prerequisito necessario ma non sufficiente.
Da dove iniziare se sei in ritardo
Molte aziende italiane si trovano nel 2026 ad avere completato meno della metà di questi trenta punti. La situazione è recuperabile, anche se richiede priorità chiare nei primi tre mesi di intervento. Il primo mese va dedicato a nomina AI Officer, inventario sistemi, classificazione AI Act, identificazione DPIA mancanti. Il secondo mese a documentazione contratti fornitori, informative ai clienti e dipendenti, prima bozza di policy aziendale AI. Il terzo mese a procedura incidenti, monitoraggio operativo dei sistemi più critici, piano formativo AI literacy.
Completati questi tre mesi, l’azienda ha coperto i punti su cui le autorità si concentrano nella prima ispezione e ha sufficiente solidità per affrontare con tranquillità il completamento progressivo dei restanti elementi. La compliance perfetta non esiste, la compliance ragionata, documentata, in evoluzione costante sì, ed è quella che le autorità riconoscono come accettabile in fase di vigilanza.
