Conformità all'AI Act: cosa fare, entro quando, con chi

Da dove si comincia per rispettare l'AI Act?

Si comincia dal registro dei sistemi AI che usate davvero.

Contano anche gli strumenti accesi da un singolo ufficio, e quelli inclusi nei programmi che avete già.

Senza registro non sapete quali obblighi vi riguardano. Con il registro, ogni obbligo ha una riga e un nome.

• Nome del sistema e fornitore.
• Scopo: cosa fa, per quale ufficio.
• Persone coinvolte: clienti, dipendenti, candidati.
• Chi decide sull'esito e chi può spegnerlo.
• Livello di rischio e data della prossima revisione.

Come si capisce il livello di rischio di ciascun sistema?

L'AI Act ragiona per uso, non per tecnologia. Lo stesso strumento cambia livello se cambia lo scopo.

Fate due domande: su chi agisce il sistema, e chi decide sull'esito.

Quali date contano davvero?

Il calendario è cambiato con il Reg. (UE) 2026/1744, in vigore dal 27 luglio 2026.

Questa è la sequenza aggiornata per chi usa sistemi AI in azienda.

Cosa chiede l'obbligo di trasparenza?

Chi parla con un sistema AI deve saperlo, salvo che sia evidente dal contesto (art. 50).

In pratica l'assistente lo dice nella prima frase, per iscritto o a voce.

Testi, immagini e audio generati con l'AI richiedono a loro volta indicazioni specifiche.

Verificate ogni canale: sito, telefono, WhatsApp, posta interna. Un canale dimenticato basta a sbagliare.

Cosa vuol dire alfabetizzazione del personale?

L'art. 4 riguarda chi usa sistemi AI per conto dell'azienda.

Dopo il Reg. (UE) 2026/1744 chiede misure effettive e proporzionate, non un corso uguale per tutti.

Chi firma le decisioni dell'agente ha bisogno di più formazione di chi usa un correttore di testi.

Conservate traccia di chi ha ricevuto quale formazione, e quando.

Cosa preparare già oggi per i sistemi ad alto rischio?

Il 2 dicembre 2027 sembra lontano. Il lavoro sui dati e sulle persone richiede però molti mesi.

L'art. 26 elenca gli obblighi di chi usa un sistema ad alto rischio. Conviene trasformarli subito in compiti con un nome.

Chiedete al fornitore istruzioni per l'uso, limiti noti e documentazione tecnica. Senza questi documenti non potete rispettare i vostri obblighi.

• Usare il sistema secondo le istruzioni del fornitore, senza cambiarne lo scopo.
• Nominare persone competenti per la sorveglianza, con l'autorità per fermarlo.
• Controllare che i dati inseriti siano pertinenti allo scopo.
• Conservare i registri generati automaticamente dal sistema.
• Informare i lavoratori prima di usare il sistema sul luogo di lavoro.
• Segnalare al fornitore e alle autorità i rischi e gli incidenti gravi.

Quali sanzioni prevede il regolamento?

L'art. 99 fissa tre fasce di sanzioni. Per le imprese si applica l'importo più alto tra cifra fissa e quota di fatturato.

Per le piccole e medie imprese vale invece il più basso dei due.

• Pratiche vietate: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo.
• Altri obblighi, trasparenza compresa: fino a 15 milioni di euro o al 3%.
• Informazioni inesatte alle autorità: fino a 7,5 milioni di euro o all'1%.

Chi controlla in Italia?

La legge 23 settembre 2025, n. 132 indica le autorità nazionali per l'intelligenza artificiale (art. 20).

L'Agenzia per l'Italia digitale (AgID) cura promozione e accreditamento degli organismi che valutano la conformità.

L'Agenzia per la cybersicurezza nazionale (ACN) vigila sul mercato, anche con ispezioni e sanzioni.

Per banche, assicurazioni e mercati finanziari restano competenti Banca d'Italia, CONSOB e IVASS.

Domande frequenti