Checklist di conformità AI Act per chi usa AI generativa

Un'azienda che usa l'intelligenza artificiale senza svilupparla, cioè la quasi totalità delle PMI, deve fare sei cose: censire dove l'AI è già in uso, classificare ogni uso per livello di rischio, sistemare gli avvisi di trasparenza, formare le persone e documentarlo, mettere per iscritto le responsabilità con i fornitori, e rivedere il tutto a ogni cambiamento. Chi sviluppa e immette sistemi sul mercato ha un percorso diverso e più lungo, con obblighi da deployer che diventano obblighi da provider quando cambia il ruolo effettivo nella catena.

Censire

Serve un elenco di ogni sistema di AI attivo in azienda, con quattro informazioni per ciascuno: chi lo fornisce, chi lo usa, a cosa serve, quali dati riceve in ingresso. Non ci si può fermare ai progetti ufficiali: vanno cercati anche gli abbonamenti individuali sottoscritti dalle singole persone, le funzioni di AI già incluse nel gestionale, nel CRM, nella posta elettronica, i plugin e le estensioni installate nei browser aziendali, e gli strumenti usati dalle agenzie esterne per conto dell'azienda. L'inventario si considera concluso quando ogni voce ha un responsabile interno con nome e cognome, non una funzione generica.

Classificare per rischio, e tenere sotto controllo le scadenze

Per ogni voce dell'inventario, la domanda da porsi è a cosa serve, non cosa sia tecnicamente. Rientra tra le pratiche vietate il riconoscimento delle emozioni su dipendenti o studenti, il punteggio sociale, la categorizzazione biometrica su caratteristiche sensibili: se si trova qualcosa in questa categoria, va spento subito. Rientra nell'alto rischio la selezione del personale, la valutazione del merito creditizio, l'accesso a servizi essenziali, istruzione, giustizia, infrastrutture critiche, con obblighi pieni dal 2 dicembre 2027. Rientra nel rischio limitato tutto ciò che riguarda chatbot, generazione di contenuti, riconoscimento delle emozioni nei contesti ammessi, con obblighi di trasparenza già in vigore. Tutto il resto rientra nel rischio minimo. Le scadenze da tenere a mente sono tre: i divieti, l'alfabetizzazione AI e gli obblighi di trasparenza sono già in vigore; dal 2 dicembre 2026 scatta la marcatura tecnica leggibile dalle macchine per i sistemi già sul mercato e due nuovi divieti; dal 2 dicembre 2027 si applicano gli obblighi pieni per i sistemi ad alto rischio elencati nell'allegato dedicato; e dal 2 agosto 2028 anche per l'alto rischio integrato in prodotti già regolamentati da altre normative di settore. La classificazione si considera conclusa quando ogni voce ha una classe assegnata e una riga che ne spiega il motivo.

Sistemare la trasparenza

Gli obblighi di trasparenza sono in vigore dal 2 agosto 2026 e richiedono alcune verifiche concrete: il chatbot deve dichiarare di essere un sistema automatico, in modo visibile prima dell'interazione, non basta una riga nascosta nelle condizioni d'uso; i contenuti generati o manipolati, testi, immagini, audio, video, vanno etichettati come tali; chi è sottoposto a riconoscimento delle emozioni o categorizzazione biometrica va informato esplicitamente; e la marcatura tecnica leggibile dalle macchine, per i sistemi già sul mercato al 2 agosto 2026, si applica dal 2 dicembre 2026. Questo passaggio si considera concluso quando una persona esterna che apre il sito capisce, senza doverlo cercare, quando sta parlando con una macchina.

Formare, documentare e mettere per iscritto le responsabilità con i fornitori

L'obbligo di adottare misure a sostegno dell'alfabetizzazione AI di chi usa questi sistemi è in vigore dal 2 febbraio 2025. Non serve un attestato formale, serve poter dimostrare che le persone sanno cosa fa lo strumento, quali limiti ha e come si riconosce un risultato sbagliato, con un registro che indichi chi ha ricevuto la formazione, su cosa, quando, con quale materiale: concluso quando il registro esiste ed è aggiornato fino all'ultimo assunto. In parallelo, il fornitore ha obblighi verso chi usa i suoi sistemi, deve consegnare istruzioni d'uso adeguate, informazioni su prestazioni e limiti, indicazioni sulla sorveglianza umana necessaria, ed è buona pratica mettere per iscritto nei contratti chi è fornitore e chi utilizzatore in modo esplicito, quali informazioni il fornitore si impegna a dare, cosa succede se il sistema viene aggiornato in modo sostanziale. Attenzione al punto che sposta il ruolo: se un'azienda rivende un sistema con il proprio marchio, lo modifica sostanzialmente o ne cambia la finalità, diventa a sua volta fornitore e si assume tutti gli obblighi relativi. Concluso quando, per ogni fornitore, esiste un documento che dice chi risponde di cosa.

Conservare i registri e rivedere periodicamente

Per i sistemi ad alto rischio, i registri generati automaticamente vanno conservati per il periodo previsto dalla normativa; per tutti gli altri conviene comunque tenere traccia delle decisioni prese, perché un sistema è stato classificato in un certo modo, chi ha approvato quella classificazione, quando, dato che in caso di controllo la documentazione del ragionamento vale quanto la conformità sostanziale. Dove il sistema tratta dati personali, questo lavoro si incrocia con il registro dei trattamenti richiesto dal GDPR. L'inventario invecchia in fretta: ogni nuovo strumento, ogni aggiornamento del gestionale, ogni cambio di finalità d'uso può spostare la classificazione, quindi conviene fissare una revisione trimestrale e una straordinaria a ogni introduzione di un sistema nuovo. Questo passaggio si considera concluso quando sia i registri sia la revisione periodica hanno un responsabile assegnato e una data a calendario.

Quanto tempo serve davvero

Per un'azienda che usa l'AI senza svilupparla, i primi quattro passaggi, censimento, classificazione, trasparenza, formazione, si chiudono tipicamente in due o tre giornate di lavoro, distribuite su qualche settimana per raccogliere le informazioni necessarie. La verifica dei contratti con i fornitori dipende dai loro tempi di risposta, mentre la conservazione dei registri e la revisione periodica sono manutenzione continua, poche ore a trimestre una volta impostato il processo. Chi rientra nell'alto rischio è su un altro ordine di grandezza: la valutazione di conformità, il sistema di gestione dei rischi e la documentazione tecnica richiedono almeno dodici mesi di lavoro, e con la scadenza del 2 dicembre 2027 il momento per cominciare è adesso, non quando la scadenza sarà già vicina. Questa checklist si basa sul regolamento europeo sull'intelligenza artificiale e sulle modifiche introdotte dal pacchetto Digital Omnibus in vigore dal 27 luglio 2026, e non sostituisce una valutazione legale sul caso concreto. Se vuoi una valutazione della tua situazione specifica, parliamone.