Come adeguarsi all’AI Act: Guida pratica e roadmap di conformità per le aziende

L’entrata in vigore del Regolamento Europeo sull’Intelligenza Artificiale (EU AI Act) ha ufficialmente aperto una nuova era per la governance aziendale. Con l’avvicinarsi della cruciale scadenza del 2 agosto 2026 — data che segna l’applicazione delle regole di trasparenza, delle sanzioni severe e l’avvio formale dei presidi nazionali — l’adeguamento normativo non è più un progetto a lungo termine. È un’urgenza operativa.

Anche alla luce dei recenti aggiornamenti europei (come l’accordo sul pacchetto Digital Omnibus, che rimodula le tempistiche tecniche per alcuni sistemi ad alto rischio), i fondamentali della conformità rimangono invariati. Aspettare l’ultimo minuto significa esporsi a sanzioni che superano quelle del GDPR, raggiungendo il 7% del fatturato globale o 35 milioni di euro.

In questa guida pratica, gli esperti di Sicuro.it ti mostrano il percorso strutturato in 5 step per comprendere se la tua azienda è a norma e come costruire un piano di adeguamento efficace.

Step 1: Identifica il tuo ruolo nella filiera dell’IA

Prima di toccare qualsiasi riga di codice o aggiornare le policy interne, devi capire qual è la tua veste giuridica secondo l’AI Act. Il regolamento distingue chiaramente i soggetti coinvolti:

• Fornitore (Provider): È l’azienda che sviluppa un sistema di IA (o lo fa sviluppare) e lo immette sul mercato con il proprio marchio, sia a pagamento che gratuitamente.

• Utilizzatore (Deployer): È l’azienda che utilizza un sistema di IA sotto la propria autorità nel corso di un’attività professionale (ad esempio, un’azienda che integra nel proprio reparto HR un software di terze parti per lo screening dei CV).

La regola generale: La stragrande maggioranza delle imprese italiane rientra nella categoria dei Deployer. Ricorda però che se modifichi in modo sostanziale un software IA acquistato da terzi, potresti essere riqualificato legalmente come Provider, ereditando obblighi molto più stringenti.

Step 2: Classifica i tuoi sistemi secondo la Piramide del Rischio

L’AI Act adotta un approccio proporzionale basato sul rischio. Il tuo intero piano di adeguamento dipenderà dalla categoria in cui ricadono gli strumenti in uso nella tua azienda.

1. Rischio Inaccettabile (Vietato): Sistemi di classificazione sociale (social scoring), manipolazione comportamentale o riconoscimento delle emozioni sul posto di lavoro. Devono essere dismessi immediatamente.

2. Alto Rischio (High-Risk): Sistemi usati per la selezione del personale, la valutazione del merito creditizio, la gestione delle infrastrutture critiche o l’accesso a servizi pubblici. Richiedono una valutazione d’impatto, la registrazione in una banca dati UE e la marcatura CE (per i provider).

3. Rischio Trasparenza / Limitato: Chatbot basati su modelli linguistici (LLM), generatori di immagini o testi (Deepfake). L’obbligo principale è la trasparenza: l’utente finale deve essere esplicitamente informato che sta interagendo con un’Intelligenza Artificiale.

4. Rischio Minimo: Filtri antispam, IA nei videogiochi o sistemi di ottimizzazione logistica interna senza dati personali. Non hanno obblighi normativi stringenti, ma è consigliato seguire codici di condotta volontari.

Step 3: Attiva l’obbligo di AI Literacy (Alfabetizzazione)

Un adempimento immediato e spesso ignorato dalle aziende riguarda l’AI Literacy (Articolo 4 dell’AI Act). La legge impone a tutti i fornitori e utilizzatori di adottare misure per garantire un livello adeguato di alfabetizzazione sull’IA all’interno del proprio personale.

Cosa devi fare concretamente:

• Organizzare corsi di formazione obbligatori per i dipendenti che utilizzano o gestiscono sistemi di IA.

• Istruire lo staff sui rischi tecnici, etici e di privacy legati all’uso corretto degli strumenti aziendali.

• Creare una policy interna chiara sull’uso dell’IA generativa (es. vietare l’inserimento di codice sorgente aziendale o dati dei clienti su piattaforme pubbliche).

Step 4: Unifica la Governance: AI Act e GDPR

L’Intelligenza Artificiale si nutre di dati, il che significa che l’AI Act non può viaggiare su un binario separato rispetto al GDPR. Le aziende più lungimiranti stanno adottando lo standard internazionale ISO/IEC 42001 (il sistema di gestione dell’Intelligenza Artificiale) per ordinare la propria governance.

Quando adegui un processo:

• Incrocia i registri: Integra il Registro dei Trattamenti GDPR con l’inventario dei sistemi AI.

• Aggiorna le informative: Se un dato personale viene elaborato da un algoritmo predittivo o da un LLM, l’informativa privacy deve spiegare la logica del trattamento e i diritti dell’interessato (incluso il diritto all’intervento umano ex Art. 22 GDPR).

Step 5: Implementa i controlli di supervisione umana (Human-in-the-Loop)

Per tutti i sistemi che presentano un livello di rischio medio-alto, l’AI Act vieta l’automazione decisionale totale senza un controllo critico. Devi progettare e implementare presidi di supervisione umana (Human-in-the-Loop).

Ciò significa che l’output generato dall’IA (es. un punteggio di idoneità di un candidato, una proposta di fido bancario o una diagnosi preliminare) deve essere validato da un operatore umano competente, formato e autorizzato a ignorare o sovrascrivere la decisione della macchina.

Tabella riassuntiva: Roadmap di adeguamento