Guida completa all’AI Act per aziende italiane: obblighi, rischi, scadenze e percorso operativo

Risposta rapida

L’AI Act è il regolamento europeo che disciplina sviluppo, immissione sul mercato e uso di sistemi di intelligenza artificiale secondo un approccio basato sul rischio. Per le aziende italiane il primo passo non è produrre documenti generici, ma sapere quali sistemi AI sono presenti, chi li fornisce, per quale scopo vengono usati, quali dati trattano e quale livello di rischio ricade su ciascun sistema. Da questa mappa derivano obblighi di formazione, trasparenza, documentazione, controllo fornitori, monitoraggio e, nei casi ad alto rischio, requisiti più strutturati di governance e conformità.

Perché questo tema è importante

L’AI Act non riguarda soltanto le aziende che sviluppano modelli generativi o algoritmi proprietari. Coinvolge anche imprese che acquistano software con componenti AI, integrano API di terzi, usano strumenti di scoring, automazione documentale, chatbot, sistemi HR, strumenti di analisi immagini, sistemi di previsione o soluzioni di cybersecurity potenziate da machine learning. Il problema pratico è che molte organizzazioni usano AI senza un inventario reale: strumenti attivati da singoli reparti, funzionalità AI incluse nei SaaS già acquistati, plugin installati nei browser, automatismi nei CRM, moduli di suggerimento nei sistemi HR. Senza inventario non esiste governance; senza governance non esiste prova di controllo.

Per GAPOFF il punto editoriale è sempre lo stesso: normativa → problema aziendale → rischio concreto → azione operativa → evidenza richiesta → modulo utile → CTA. L’AI Act non deve essere presentato come una raccolta astratta di articoli, ma come un sistema di controlli che l’organizzazione può applicare, dimostrare e aggiornare.

Quadro normativo e fonti ufficiali

Il riferimento principale è il Regolamento (UE) 2024/1689, cioè l’AI Act. Le fonti istituzionali da monitorare sono la pagina della Commissione Europea sull’AI Act, l’AI Act Service Desk, le pagine dedicate all’AI literacy, all’Articolo 6 sui sistemi ad alto rischio, all’Annex III, agli obblighi di provider, deployer, trasparenza e sanzioni.

Alla data di revisione di questo articolo va considerato anche l’accordo provvisorio del 7 maggio 2026 tra Consiglio e Parlamento sul pacchetto di semplificazione AI. Prima della pubblicazione definitiva, il coding agent o il revisore editoriale dovrà verificare lo stato dell’adozione formale e aggiornare date e note di manutenzione se necessario.

Cosa significa per l’azienda

Per un’organizzazione l’AI Act significa passare da uso spontaneo dell’intelligenza artificiale a governance documentata. Questo richiede almeno quattro livelli di controllo: inventario dei sistemi, classificazione del rischio, definizione dei ruoli e raccolta delle evidenze. Nei casi più delicati entrano in gioco valutazioni su dati personali, contratti con fornitori, human oversight, log, incidenti, formazione e reporting verso direzione o clienti.

La valutazione dipende dal caso concreto e deve essere verificata con professionisti qualificati e fonti ufficiali aggiornate. In particolare, non basta sapere che uno strumento “usa AI”: bisogna descrivere come viene usato, chi subisce gli effetti, se l’output influenza decisioni e se il sistema rientra in un’area sensibile.

Percorso operativo in sette fasi

1. Creare un inventario completo dei sistemi AI, distinguendo sviluppo interno, SaaS, API e componenti embeddate nei prodotti.
2. Individuare il ruolo dell’organizzazione: provider, deployer, importatore, distributore, rappresentante autorizzato o soggetto che modifica sostanzialmente un sistema.
3. Classificare ogni sistema per rischio: vietato/inaccettabile, alto, limitato o minimo, usando Articolo 6, Annex III e regole sulle pratiche vietate.
4. Verificare se il sistema tratta dati personali e se occorre collegare DPIA GDPR, basi giuridiche, informative, misure Art. 32 e controlli sui responsabili esterni.
5. Definire owner, policy, formazione AI literacy e processo di approvazione prima dell’uso di nuovi sistemi.
6. Raccogliere evidenze: istruzioni d’uso, contratti, dichiarazioni del fornitore, registro decisionale, valutazioni rischio, log, test, controlli umani.
7. Preparare reporting periodico per direzione, audit interni, clienti e autorità competenti.

Queste attività dovrebbero essere assegnate a owner interni, con data, stato, evidenza collegata e riesame periodico. La logica corretta non è completare un documento una tantum, ma mantenere un sistema aggiornato quando cambia il fornitore, il modello, il contesto d’uso o il processo aziendale.

Esempio pratico

Una società di servizi usa un chatbot commerciale per assistenza clienti, un tool HR che filtra candidature, un sistema di scoring lead e funzioni AI in un software documentale. Il chatbot può ricadere in obblighi di trasparenza verso gli utenti; il tool HR può richiedere analisi più severa perché l’Annex III comprende sistemi usati per reclutamento e selezione; il software documentale può essere a rischio minimo se è solo supporto interno senza decisioni su persone. L’azienda non deve trattare tutti gli strumenti nello stesso modo: deve classificare, documentare e governare in modo proporzionato.

Errori comuni da evitare

• Confondere “usiamo ChatGPT” con una mappatura AI completa.
• Pensare che l’AI Act riguardi solo i produttori di modelli.
• Non distinguere provider e deployer.
• Ignorare le funzionalità AI già incluse nei SaaS aziendali.
• Sottovalutare il collegamento con GDPR, contratti fornitori e sicurezza informatica.

Come GAPOFF aiuta

GAPOFF consente di trasformare l’AI Act in un processo gestibile: inventario dei sistemi AI, wizard di classificazione, assessment, collegamento con DPIA GDPR e Vendor Risk, registro dei sistemi potenzialmente ad alto rischio, raccolta documentale e report PDF audit-ready. Il valore non è solo avere una checklist, ma mantenere nel tempo una fotografia aggiornata di dove l’AI entra nei processi aziendali.

Checklist operativa

• Inventario AI iniziale approvato.
• Ruolo aziendale definito per ogni sistema.
• Classificazione rischio documentata.
• Verifica pratiche vietate completata.
• Collegamento GDPR/Vendor Risk effettuato.
• AI literacy pianificata.
• Evidenze salvate in repository controllato.

FAQ

L’AI Act si applica anche se uso solo strumenti AI di terzi?

Sì, l’azienda può essere deployer anche quando non sviluppa il sistema. Gli obblighi dipendono dal contesto d’uso, dal rischio e dalle istruzioni del provider.

Da dove si parte per adeguarsi?

Dal censimento dei sistemi AI e dalla classificazione del rischio. Senza inventario non è possibile capire obblighi, priorità e documentazione necessaria.

Serve nominare un AI Officer?

Il regolamento non impone in modo generale un ruolo con questo nome, ma è opportuno assegnare responsabilità operative chiare.

GAPOFF sostituisce la consulenza legale?

No. GAPOFF organizza processi, evidenze e workflow; la valutazione legale finale deve essere svolta da professionisti qualificati.

Fonti ufficiali e riferimenti

• EUR-Lex - Regulation (EU) 2024/1689 Artificial Intelligence Act
• European Commission - AI Act overview
• AI Act Service Desk - Implementation timeline
• European Commission - AI Literacy Q&A
• AI Act Service Desk - Article 4 AI literacy
• AI Act Service Desk - Article 6 high-risk classification
• AI Act Service Desk - Annex III high-risk areas
• AI Act Service Desk - Article 16 provider obligations
• AI Act Service Desk - Article 26 deployer obligations
• AI Act Service Desk - Article 50 transparency obligations
• AI Act Service Desk - Article 99 penalties
• European Commission - General-Purpose AI Code of Practice
• Council of the EU - Provisional agreement on AI simplification, 7 May 2026

Disclaimer legale

Questo contenuto ha finalità informative e di orientamento generale. Non costituisce consulenza legale, tecnica, fiscale o organizzativa personalizzata. Per determinare obblighi, responsabilità e misure applicabili al caso concreto, è necessario svolgere una valutazione specifica con professionisti qualificati e fonti ufficiali aggiornate.

FAQ

L’AI Act si applica anche se uso solo strumenti AI di terzi?

Sì, l’azienda può essere deployer anche quando non sviluppa il sistema. Gli obblighi dipendono dal contesto d’uso, dal rischio e dalle istruzioni del provider.

Da dove si parte per adeguarsi?

Dal censimento dei sistemi AI e dalla classificazione del rischio. Senza inventario non è possibile capire obblighi, priorità e documentazione necessaria.

Serve nominare un AI Officer?

Il regolamento non impone in modo generale un ruolo con questo nome, ma è opportuno assegnare responsabilità operative chiare.

GAPOFF sostituisce la consulenza legale?

No. GAPOFF organizza processi, evidenze e workflow; la valutazione legale finale deve essere svolta da professionisti qualificati.