Risposta rapida

Un software per la governance AI Act non è un semplice registro di sistemi di intelligenza artificiale, ma una piattaforma che traduce gli obblighi del Regolamento (UE) 2024/1689 in processi operativi verificabili. Deve supportare la classificazione del rischio, la gestione documentale, il monitoraggio continuo e la tracciabilità delle decisioni. Nessuno strumento certifica la conformità: il software organizza le evidenze, ma la responsabilità finale resta dell'organizzazione.

Perché questo tema è importante

Il Regolamento (UE) 2024/1689, noto come AI Act, introduce un quadro normativo basato sul rischio che coinvolge sia i fornitori (provider) sia gli utilizzatori (deployer) di sistemi di intelligenza artificiale. Le imprese italiane, dalle PMI alle grandi organizzazioni, stanno integrando l'IA in processi critici: selezione del personale, valutazione del credito, manutenzione predittiva, assistenza sanitaria. Ogni caso d'uso può ricadere in una delle quattro categorie di rischio previste dal regolamento: rischio inaccettabile, alto, limitato o minimo.

La complessità non sta nella norma in sé, ma nella sua applicazione pratica. Servono inventari aggiornati, valutazioni d'impatto, documentazione tecnica, log di funzionamento e procedure di sorveglianza. Senza un software per la governance AI Act, queste attività diventano presto ingestibili, soprattutto quando i sistemi di IA vengono aggiornati o riconfigurati. La Commissione europea ha avviato iniziative come l'AI Pact per accompagnare la transizione, ma l'adeguamento richiede strumenti concreti, non solo buone intenzioni.

Quadro normativo e fonti ufficiali

Il riferimento principale è il Regolamento (UE) 2024/1689, che stabilisce norme armonizzate sull'intelligenza artificiale. La Commissione europea, attraverso l'AI Office, è l'autorità di riferimento a livello unionale e pubblica linee guida e documenti interpretativi, tra cui le guidelines on prohibited AI practices e le guidelines on the AI system definition. Questi documenti sono essenziali per capire cosa rientra nel perimetro del regolamento e cosa invece ne è escluso.

In Italia, il quadro di attuazione coinvolge AgID e ACN per gli aspetti di digitalizzazione e cybersecurity, con un coordinamento che si sta definendo attraverso le strategie nazionali sull'IA. Il regolamento prevede tempistiche scaglionate: le pratiche proibite (nove categorie, dalla manipolazione dannosa allo scoring sociale) sono già efficaci da febbraio 2025, mentre altre disposizioni entreranno in vigore progressivamente. Per le organizzazioni, questo significa che alcune attività vanno avviate subito, altre possono essere pianificate.

Cosa significa per l'azienda

L'AI Act non si applica solo ai giganti tecnologici. Qualsiasi impresa che sviluppa, importa, distribuisce o utilizza sistemi di IA in ambito professionale può essere coinvolta, a seconda del livello di rischio del caso d'uso. Per le aziende italiane, questo comporta:

• Mappatura dei sistemi di IA: identificare tutti gli strumenti basati su IA in uso o in sviluppo, inclusi quelli integrati in software di terze parti.
• Classificazione del rischio: determinare se un sistema è a rischio inaccettabile, alto, limitato o minimo, seguendo i criteri del regolamento e le linee guida della Commissione.
• Gestione documentale: predisporre e mantenere la documentazione tecnica, le istruzioni per l'uso e i registri degli eventi.
• Governance interna: definire ruoli e responsabilità, nominare un referente per l'IA e stabilire procedure di controllo.

Il punto critico è che molti sistemi di IA "nascosti" — ad esempio un software HR con funzionalità di screening automatico dei CV — possono rientrare in categorie ad alto rischio senza che l'azienda se ne accorga. Un software per la governance AI Act aiuta a fare emergere questi casi.

Cosa deve fare concretamente l'organizzazione

L'approccio operativo si articola in cinque fasi:

1. Inventario completo dei sistemi di IA. Creare un registro di tutti i sistemi di IA utilizzati, con indicazione di fornitore, versione, finalità, dati trattati e ambito di applicazione. Questo registro deve essere aggiornato ogni volta che un sistema viene introdotto, modificato o dismesso.

2. Valutazione del rischio e classificazione. Per ogni sistema, determinare la categoria di rischio applicabile. Per i sistemi ad alto rischio, va condotta una valutazione d'impatto sui diritti fondamentali, documentando i risultati.

3. Predisposizione della documentazione tecnica. Per i sistemi ad alto rischio, il regolamento richiede una documentazione che descriva l'architettura del sistema, i dati di addestramento, le metriche di accuratezza e le misure di controllo. Questa documentazione va conservata e resa disponibile alle autorità competenti su richiesta.

4. Implementazione di misure di sorveglianza. I sistemi ad alto rischio devono essere soggetti a supervisione umana e a monitoraggio continuo. Vanno definiti indicatori di performance e procedure per intervenire in caso di anomalie.

5. Formazione e sensibilizzazione. Il personale coinvolto nella gestione o nell'uso dei sistemi di IA deve essere formato sugli obblighi del regolamento e sulle procedure interne.

Un software per la governance AI Act supporta tutte queste fasi, centralizzando le informazioni e automatizzando i flussi di lavoro. La piattaforma deve però essere configurata in base al contesto specifico dell'azienda: non esiste una soluzione "taglia unica".

Esempio pratico

Un'azienda manifatturiera italiana di medie dimensioni utilizza un sistema di manutenzione predittiva basato su IA per monitorare i macchinari di produzione. Il sistema analizza i dati dei sensori e prevede guasti imminenti. L'azienda non aveva mai considerato questo strumento come soggetto all'AI Act, ritenendolo un semplice software industriale.

Con l'introduzione di un software di governance, l'azienda ha:

• Registrato il sistema nell'inventario, indicando fornitore, versione e dati trattati.
• Classificato il rischio: il sistema rientra potenzialmente tra quelli ad alto rischio perché è un componente di sicurezza in infrastrutture critiche (il guasto non rilevato potrebbe mettere a rischio la sicurezza dei lavoratori).
• Predisposto la documentazione tecnica, includendo le specifiche del modello, i dati di addestramento e le metriche di affidabilità.
• Definito un piano di sorveglianza, con controlli periodici e un referente interno responsabile del monitoraggio.

Il risultato è un quadro chiaro e verificabile, pronto per eventuali controlli dell'autorità competente.

Errori comuni da evitare

• Sottovalutare la portata del regolamento: pensare che l'AI Act riguardi solo i grandi player tecnologici. In realtà, anche un piccolo sistema di IA interno può essere soggetto a obblighi.
• Confondere il registro con la governance: tenere un elenco di sistemi senza processi associati non è sufficiente. Serve un sistema che colleghi inventario, valutazione del rischio, documentazione e monitoraggio.
• Ignorare i sistemi di terze parti: se l'azienda utilizza un software fornito da un vendor che incorpora funzionalità di IA, deve comunque verificare la conformità del fornitore e documentare l'uso.
• Trascurare la formazione: senza personale formato, le procedure di governance restano lettera morta.
• Affidarsi a checklist statiche: la conformità è un processo dinamico. Un sistema di IA aggiornato richiede una nuova valutazione del rischio.

Come GAPOFF aiuta

La piattaforma GAPOFF offre il modulo AI Act Governance (modulo AI Act), progettato per supportare le organizzazioni italiane nell'implementazione pratica del Regolamento (UE) 2024/1689. Il modulo permette di:

• Centralizzare l'inventario dei sistemi di IA, con campi personalizzabili per fornitore, versione, finalità e dati trattati.
• Guidare la classificazione del rischio, con percorsi basati sui criteri del regolamento e sulle linee guida della Commissione europea.
• Gestire la documentazione tecnica, con archiviazione versionata e controllo degli accessi.
• Monitorare le scadenze e le attività di sorveglianza, con notifiche automatiche per i responsabili.
• Generare report per la direzione e per eventuali verifiche delle autorità.

Il modulo si integra con gli altri strumenti della piattaforma, come la gestione della privacy e della cybersecurity, per offrire una visione completa dei rischi aziendali. GAPOFF supporta il lavoro di DPO, consulenti e responsabili della conformità, ma non sostituisce il giudizio professionale: la piattaforma organizza le evidenze, la responsabilità delle decisioni resta all'organizzazione.

La piattaforma è provabile gratuitamente per 14 giorni, senza impegno, per valutare se il modulo risponde alle esigenze specifiche della tua azienda.

Checklist operativa

• Individuare tutti i sistemi di IA in uso o in sviluppo, inclusi quelli integrati in software di terze parti.
• Classificare ogni sistema secondo le quattro categorie di rischio dell'AI Act.
• Verificare se il sistema rientra nelle pratiche proibite (già efficaci da febbraio 2025).
• Predisporre la documentazione tecnica per i sistemi ad alto rischio.
• Definire un piano di sorveglianza e monitoraggio per i sistemi ad alto rischio.
• Nominare un referente interno per la governance dell'IA.
• Formare il personale coinvolto nella gestione e nell'uso dei sistemi.
• Aggiornare l'inventario ogni volta che un sistema viene modificato o introdotto.
• Conservare le evidenze in modo strutturato e accessibile.
• Pianificare le attività in base alle tempistiche di applicazione del regolamento.

FAQ

Il software per la governance AI Act è obbligatorio per legge?

No, il Regolamento (UE) 2024/1689 non impone l'uso di un software specifico. Gli obblighi riguardano i risultati: documentazione, registri, valutazioni e monitoraggio. Un software di governance è uno strumento che aiuta a organizzare e gestire queste attività in modo efficiente, ma la conformità può essere raggiunta anche con procedure manuali, purché adeguatamente documentate. La scelta dello strumento dipende dalla complessità dell'organizzazione e dal numero di sistemi di IA in uso.

Chi è responsabile della conformità all'AI Act in azienda?

La responsabilità ricade sull'organizzazione nel suo complesso, ma il regolamento individua ruoli specifici: il fornitore (provider) che sviluppa o fa sviluppare un sistema di IA, e il deployer (utilizzatore) che lo impiega in ambito professionale. In molti casi, l'azienda italiana è deployer di sistemi sviluppati da terzi. In questa situazione, deve verificare che il fornitore abbia adempiuto ai propri obblighi e deve comunque rispettare quelli che le competono, come la supervisione umana e la gestione dei dati. È consigliabile nominare un referente interno, ma non è un obbligo esplicito del regolamento.

Cosa succede se non ci si adegua all'AI Act?

Il regolamento prevede sanzioni amministrative per le violazioni, con importi che variano in base alla gravità e alla tipologia di infrazione. Le pratiche proibite, ad esempio, comportano le sanzioni più elevate. Tuttavia, le tempistiche di applicazione sono scaglionate: alcune disposizioni sono già in vigore, altre entreranno in vigore nei prossimi anni. È importante monitorare le indicazioni dell'AI Office della Commissione europea e delle autorità nazionali competenti, come AgID e ACN in Italia, per capire le priorità di enforcement. L'adeguamento tempestivo riduce il rischio di sanzioni e migliora la posizione dell'azienda in caso di controlli.

FAQ

Il software per la governance AI Act è obbligatorio per legge?

No, il Regolamento (UE) 2024/1689 non impone l'uso di un software specifico. Gli obblighi riguardano i risultati: documentazione, registri, valutazioni e monitoraggio. Un software di governance è uno strumento che aiuta a organizzare e gestire queste attività in modo efficiente, ma la conformità può essere raggiunta anche con procedure manuali, purché adeguatamente documentate. La scelta dello strumento dipende dalla complessità dell'organizzazione e dal numero di sistemi di IA in uso.

Chi è responsabile della conformità all'AI Act in azienda?

La responsabilità ricade sull'organizzazione nel suo complesso, ma il regolamento individua ruoli specifici: il **fornitore** (provider) che sviluppa o fa sviluppare un sistema di IA, e il **deployer** (utilizzatore) che lo impiega in ambito professionale. In molti casi, l'azienda italiana è deployer di sistemi sviluppati da terzi. In questa situazione, deve verificare che il fornitore abbia adempiuto ai propri obblighi e deve comunque rispettare quelli che le competono, come la supervisione umana e la gestione dei dati. È consigliabile nominare un referente interno, ma non è un obbligo esplicito del regolamento.

Cosa succede se non ci si adegua all'AI Act?

Il regolamento prevede sanzioni amministrative per le violazioni, con importi che variano in base alla gravità e alla tipologia di infrazione. Le pratiche proibite, ad esempio, comportano le sanzioni più elevate. Tuttavia, le tempistiche di applicazione sono scaglionate: alcune disposizioni sono già in vigore, altre entreranno in vigore nei prossimi anni. È importante monitorare le indicazioni dell'**AI Office** della Commissione europea e delle autorità nazionali competenti, come AgID e ACN in Italia, per capire le priorità di enforcement. L'adeguamento tempestivo riduce il rischio di sanzioni e migliora la posizione dell'azienda in caso di controlli.