Conformità dei sistemi di IA
AI Act: che cosa deve fare la tua azienda
Se usi un assistente acquistato da terzi per attività ordinarie, la tua azienda è un utilizzatore (deployer): non deve ottenere la marcatura CE, registrarsi in banche dati europee o svolgere una valutazione di conformità. Non c'è neppure un obbligo generale di audit indipendente. L'articolo 4 sull'alfabetizzazione in materia di IA vale per le aziende che forniscono o usano sistemi di IA, anche piccole. Il primo passo è sapere quali strumenti usi e quali dati trattano.
Che cos'è la conformità di un sistema di IA
Verificare la conformità significa individuare gli obblighi applicabili a ciascun sistema di IA che la tua azienda usa o mette a disposizione. Contano il tuo ruolo, fornitore o utilizzatore, e l'uso del sistema. Da questa verifica ricaviamo le attività necessarie e le prove da conservare.
I problemi da risolvere
Le offerte fanno leva sulle sanzioni
Il ruolo dell'azienda non è chiaro
Manca un elenco degli strumenti in uso
Che cosa facciamo
Verifichiamo il tuo ruolo per ogni sistema
Per ogni sistema verifichiamo se la tua azienda è fornitore o utilizzatore. Rivediamo il ruolo se metti il tuo nome su un servizio o ne cambi la finalità: da questa distinzione dipendono gli obblighi da esaminare.
Elenchiamo gli strumenti in uso
Registriamo gli strumenti in uso, i reparti che li usano, le attività svolte e i dati trattati. Includiamo anche gli strumenti usati senza autorizzazione.
Mettiamo in ordine le prove
Raccogliamo le regole d'uso scritte, l'elenco degli strumenti ammessi, le indicazioni date al personale e gli avvisi dove servono. La documentazione deve corrispondere a ciò che fai davvero.
Verifichiamo anche l'uso dei dati personali
Rispettare l'AI Act non esonera dagli obblighi del GDPR. Esaminiamo con te la base giuridica, le informative, dove finiscono i dati e se serve una valutazione d'impatto.
Che cosa non facciamo
Non rilasciamo certificazioni
Non siamo un organismo di certificazione né un organismo notificato e non vendiamo bollini. Se serve una certificazione, te lo diciamo e ti indirizziamo a chi può rilasciarla.
Non vendiamo audit a chi non ne ha bisogno
Per l'uso ordinario di un assistente acquistato da terzi non esiste un obbligo generale di audit indipendente. Se è il tuo caso, te lo diciamo e definiamo solo il lavoro che serve.
Non usiamo le sanzioni per vendere
Non usiamo le sanzioni massime per convincerti a comprare un servizio. Per decidere ti servono gli obblighi che si applicano alla tua azienda e il lavoro necessario per rispettarli.
Il lavoro che resta alla tua azienda
Gli strumenti cambiano, le persone cambiano ruolo e gli usi si estendono. La tua azienda deve continuare a sapere che cosa è in uso e a quali condizioni. Un nuovo uso può cambiare il tuo ruolo da utilizzatore a fornitore senza che nessuno se ne accorga.
Tenere aggiornato l'elenco degli strumenti
Spiegare l'uso degli strumenti a chi inizia
Rivedere ruolo e obblighi quando cambia l'uso
Le domande da cui partire
Quanti sistemi di IA sono in uso nella tua azienda, compresi quelli con abbonamenti personali?
Per ciascun sistema, la tua azienda è fornitore o utilizzatore?
Quali di questi sistemi trattano dati personali di clienti, dipendenti o fornitori?
Chi li usa sa quali dati non deve inserire e perché le risposte vanno controllate?
Se ti venisse chiesto, riusciresti a mostrare che cosa hai fatto e quando?
Fatti e fonti
L'articolo 4 dell'AI Act vale per chi fornisce e per chi utilizza sistemi di intelligenza artificiale: entrambi devono adottare misure per sostenere lo sviluppo dell'alfabetizzazione in materia di IA del personale e di chi opera per loro conto. Si applica dal 2 febbraio 2025, insieme alle disposizioni generali e alle pratiche vietate.
La Commissione europea precisa che l'obbligo di alfabetizzazione non richiede di garantire un livello specifico di competenza per ogni singola persona: nessun corso obbligatorio, nessun numero minimo di ore, nessuna figura da nominare. Contano misure proporzionate al rischio e all'uso dei sistemi.
Le regole sui sistemi ad alto rischio dell'Allegato III, tra cui biometria, infrastrutture critiche, istruzione, lavoro, servizi essenziali e giustizia, si applicano dal 2 dicembre 2027. Fino ad allora, per quei sistemi, non sono in vigore gli obblighi che molte offerte commerciali presentano come già applicabili.
Per i sistemi ad alto rischio dei punti da 2 a 8 dell'Allegato III, la valutazione di conformità si basa sul controllo interno e non prevede il coinvolgimento di un organismo notificato (articolo 43). L'obbligo è di chi fornisce il sistema, non di chi lo usa.
In Italia, accanto all'AI Act, si applica la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025. Se eserciti una professione intellettuale, devi informare i tuoi clienti sui sistemi di intelligenza artificiale che usano, con un linguaggio chiaro, semplice ed esaustivo (art. 13).
Le domande che ci fanno più spesso
Un chatbot acquistato va certificato?
Se lo usi come ti è stato fornito, di norma non spetta a te certificarlo: gli obblighi tecnici sono del fornitore. La risposta può cambiare se lo offri ai tuoi clienti con il tuo nome o ne cambi la finalità.
Serve un corso obbligatorio per i dipendenti?
No. L'articolo 4 richiede misure di alfabetizzazione proporzionate al rischio e all'uso, senza imporre corsi o ore minime. Chi usa gli strumenti deve conoscerne i possibili errori, sapere quali dati non inserire e capire perché le risposte vanno controllate.
Quando un utilizzatore può diventare fornitore?
Il tuo ruolo può cambiare se apponi il tuo nome o marchio a un sistema ad alto rischio, se lo modifichi in modo sostanziale mantenendolo ad alto rischio o se cambi la finalità prevista di un sistema che non era ad alto rischio rendendolo tale. È un passaggio da verificare prima di pubblicare un nuovo servizio.
Ci sono obblighi specifici per alcuni settori?
Possono esserci. Banche, assicurazioni, sanità e pubblica amministrazione hanno regole proprie; la legge italiana 132/2025 aggiunge disposizioni su lavoro e professioni. Verifichiamo quali riguardano il tuo caso.
Quando serve una valutazione d'impatto sui dati personali?
Dipende dai dati trattati e dall'uso del sistema, non dall'etichetta «intelligenza artificiale». Si valuta caso per caso. Quando serve, va fatta prima di mettere il sistema in funzione.
Qual è il rischio di non occuparsene?
Il problema concreto per una piccola azienda è non sapere quali strumenti trattano i dati dei clienti. Rischi di scoprirlo quando qualcosa va storto o quando un cliente ti chiede queste informazioni durante una gara.
Una PMI deve fare un audit AI Act?
Per l'uso ordinario di un assistente acquistato da terzi non c'è un obbligo generale di audit indipendente. Partiamo dall'elenco degli strumenti e dal tuo ruolo per ciascuno, per definire regole d'uso e prove da conservare. Se emerge un caso più complesso, te lo segnaliamo prima di proseguire.
Raccontaci quali strumenti di IA usi già
Parti da un elenco, anche parziale, degli strumenti in uso e delle persone che li usano. Lo esaminiamo con te per distinguere gli obblighi della tua azienda da quelli dei fornitori e definire il lavoro necessario.