Compliance AI Act per aziende italiane: dal gap analysis al fascicolo ACN-ready

Cos'è la compliance AI Act

Un percorso documentale che dimostra che la vostra azienda usa l'AI in modo conforme.

Il Regolamento UE 2024/1689 obbliga ogni azienda che usa sistemi di intelligenza artificiale a documentare i sistemi adottati, formare il personale e produrre un fascicolo tecnico verificabile. Le sanzioni dell'art. 99 raggiungono €35 milioni o il 7% del fatturato annuo mondiale. In vigore progressivamente dal 1 agosto 2024, regime pieno con vigilanza ACN dal 3 agosto 2026.

In Italia la vigilanza è affidata ad ACN (Agenzia per la Cybersicurezza Nazionale) per gli aspetti tecnici e di sicurezza, ad AgID per la promozione e governance, al Garante Privacy per l'interfaccia con il GDPR. Le autorità settoriali (Banca d'Italia, IVASS, AGCOM) intervengono nei rispettivi ambiti.

L'AI Act distingue tra fornitori (chi sviluppa e mette sul mercato sistemi AI) e deployer (chi usa sistemi AI per finalità professionali). La maggioranza delle aziende italiane rientra nella categoria deployer: chi integra ChatGPT, Copilot, Claude o tool AI verticali nei flussi aziendali è soggetto ai vincoli AI Act, anche senza sviluppare nulla in casa.

Gli articoli rilevanti per i deployer sono in particolare il 4 (alfabetizzazione del personale), il 5 (pratiche vietate come il social scoring o la manipolazione comportamentale), il 50 (obbligo di trasparenza per output AI generati o modificati come deepfake e contenuti sintetici), e il 99 (sanzioni). Per i sistemi ad alto rischio dell'allegato III si aggiungono gli artt. 6-49 con obblighi documentali sostanzialmente più estesi.

• PMI 50-500 dipendenti

  Aziende che usano ChatGPT, Copilot, Claude o tool AI verticali nei processi: customer care, content production, analisi documenti, sales enablement. Esposizione tipica: art. 4 (alfabetizzazione), art. 50 (trasparenza output AI), GDPR per trattamento dati personali tramite prompt.

• Studi professionali (legali, commercialisti, consulenti)

  Studi che integrano AI in revisione documentale, redazione atti, due diligence, controllo bilanci. Esposizione: art. 4 + obblighi deontologici di tracciabilità verso il cliente. Necessario fascicolo che dimostri governance AI specifica per la professione.

• Pubbliche Amministrazioni

  PA centrali e locali con progetti AI in corso o pianificati (chatbot cittadini, classificazione automatica pratiche, scoring rischio). Vincoli aggiuntivi: artt. 6 e 26 per sistemi alto rischio in ambito pubblico, valutazione di impatto algoritmico, trasparenza verso il cittadino.

• Aziende deployer di sistemi AI ad alto rischio

  Aziende che usano sistemi rientranti nell'allegato III dell'AI Act: HR (screening CV, valutazione performance), credito (scoring), sicurezza critica, biometria. Obblighi specifici artt. 6-49: registrazione sistema, valutazione conformità, monitoraggio post-market.

• Discovery & inventario

  Mappiamo tool AI espliciti e shadow (ChatGPT, Copilot e altri strumenti che il management spesso non sa siano già attivi nei browser dei dipendenti), raccogliamo flussi dati, identifichiamo categorie di rischio AI Act per ogni sistema.

• Gap analysis articoli 4, 5, 50

  Confronto strutturato tra prassi aziendali attuali e obblighi specifici del Regolamento UE 2024/1689. Output: report di non-conformità prioritizzato per impatto sanzionatorio e tempo di remediation.

• Remediation plan

  Piano operativo con tempi, ownership, budget per chiudere ogni gap identificato. Roadmap a 3-6 mesi con milestone documentate, assegnazione responsabilità interne, criteri di verifica completamento.

• Formazione del personale

  Percorso 5 mezze giornate, 24-30 partecipanti consigliati per qualità ottimale, con 3-4 formatori in rotazione. Test iniziale + test finale obbligatori, European Digital Credential eIDAS al superamento.

• Fascicolo tecnico ACN-ready

  Documentazione completa pronta per controllo: registri rischio sistemi AI, valutazioni conformità, evidenze formazione, policy interne uso AI, procedure incident response, audit trail decisioni di governance.

• Fascicolo tecnico AI Act

  PDF strutturato + cartella drive condivisa con tutta la documentazione versionata. Pronto per richieste di accesso ACN entro le 72 ore previste dalla normativa.

• Registri rischio sistemi AI aggiornati

  Inventario completo dei sistemi AI in uso, classificazione di rischio AI Act, valutazioni di impatto, evidenze controllo umano (art. 14 per sistemi alto rischio).

• Policy aziendale uso AI tools

  Template adattato alla vostra realtà: usi consentiti, dati protetti, responsabilità del dipendente, escalation incidenti, integrazione con codice disciplinare esistente.

• Personale formato con EDC eIDAS

  Da 24 a 30 dipendenti con credenziale digitale UE individuale, verificabile in 27 paesi, evidenza documentale conformità art. 4 nel fascicolo tecnico.

• Audit ricorrenti annuali

  Verifica annuale dello stato di conformità per nuove implementazioni AI introdotte nell'anno. Aggiornamento fascicolo, refresh formativo per nuovi assunti, gap analysis incrementale.