Il regolamento europeo sull'intelligenza artificiale non è più un argomento da collocare in una sorveglianza lontana. Dal 2 agosto 2026, l'applicazione del testo raggiunge una tappa importante: le autorità europee e nazionali entrano in una fase di attuazione e controllo, mentre diverse obbligazioni di trasparenza diventano applicabili.
Per un'azienda, la risposta sbagliata consiste nel lanciare una produzione massiccia di politiche generiche. Il giusto approccio inizia con quattro domande: quali sistemi di IA sono realmente utilizzati, a quali scopi, da quali persone e con quale ruolo giuridico nella catena del valore?
Il calendario, le linee guida e le interpretazioni possono evolversi. Questo articolo fornisce un metodo operativo e non costituisce un parere legale.
Ciò che cambia concretamente nell'agosto 2026
L’AI Act organizza gli obblighi in base agli usi, ai rischi e al ruolo di ciascun attore. Una stessa tecnologia può essere soggetta a requisiti molto diversi a seconda che riassuma documenti interni, selezioni candidati, gestisca un'apparecchiatura o generi un video diffuso al pubblico.
Le regole sono state applicate progressivamente. Gli obblighi riguardanti alcuni modelli di IA ad uso generale hanno iniziato a produrre i loro effetti nel 2025. Dal 2 agosto 2026, la governance e l’applicazione si rafforzano, e gli obblighi di trasparenza dell’articolo 50 si applicano in particolare ad alcune interazioni e a certi contenuti generati o manipolati dall’IA.
Ciò non significa che ogni uso dell’IA diventi un sistema ad alto rischio. Gran parte degli usi rimane in una categoria a rischio limitato o minimo. Al contrario, l’azienda deve essere in grado di spiegare perché ha scelto una qualificazione e quali misure applica.
Iniziare con un inventario reale
Il registro non deve limitarsi ai progetti approvati dalla DSI. Deve coprire:
- le funzionalità di intelligenza artificiale integrate in software esistenti;
- gli assistenti acquistati direttamente da una direzione di settore;
- le API utilizzate dai team di sviluppo;
- i modelli open weights auto-ospitati ;
- le automazioni no-code ;
- i POC ancora collegati a dati reali ;
- gli strumenti gratuiti utilizzati senza contratto;
- i sistemi sviluppati per i clienti.
Per ogni voce, registrare la finalità, il proprietario, gli utenti, la popolazione interessata, i dati, il modello o fornitore, le decisioni influenzate, gli strumenti collegati, i luoghi di hosting e lo stato di distribuzione.
Un inventario incompleto è spesso il primo rischio: l'organizzazione non può né classificare, né informare, né monitorare ciò che non conosce.
Identificare il proprio ruolo nella catena del valore
Il regolamento distingue diversi ruoli, in particolare fornitore e deployer. A seconda del contesto, possono aggiungersi altre posizioni nella catena di distribuzione o del prodotto. Un'azienda che acquista un assistente per i propri dipendenti sarà spesso deployer. Quella che integra un modello in un servizio venduto sotto il proprio nome può assumere responsabilità aggiuntive. Una personalizzazione profonda o un cambiamento di finalità può anche modificare l'analisi.
Bisogna documentare, sistema per sistema:
- chi ha progettato il sistema;
- qui sceglie lo scopo;
- qui lo mette sul mercato o in servizio;
- sotto quale nome è presentato;
- chi controlla i dati, i prompt, gli strumenti e le soglie;
- qui riceve gli incidenti e le richieste delle persone;
- chi può sospendere il servizio.
Questa analisi deve essere messa in relazione con i contratti. Un fornitore commerciale può descrivere una funzionalità, ma non conosce necessariamente l'uso commerciale esatto fatto dal suo cliente.
Classificare per utilizzo, non per nome del fornitore
La classificazione non deve basarsi sulla marca del modello o sull'etichetta « copilota ». Essa dipende dalla finalità e dal contesto. Le grandi famiglie di questioni sono le seguenti.
L’uso è vietato o molto delicato?
Alcuni usi sono vietati o fortemente regolamentati. Qualsiasi progetto legato alla biometria, alla manipolazione, allo sfruttamento di vulnerabilità, alla valutazione delle persone o alla sorveglianza deve essere esaminato immediatamente con un consiglio competente.
Il sistema interviene in un settore potenzialmente ad alto rischio?
Reclutamento, istruzione, accesso a servizi essenziali, infrastrutture critiche, giustizia, sicurezza o alcuni prodotti regolamentati richiedono un'analisi approfondita. Assistere un essere umano non è sempre sufficiente a eliminare il rischio se la raccomandazione influenza realmente la decisione.
Si applica un obbligo di trasparenza?
È necessario verificare in particolare se una persona interagisce direttamente con un sistema di IA, se un contenuto sintetico deve essere contrassegnato in modo leggibile dalle macchine, o se un deepfake o alcuni testi su una questione di interesse pubblico devono essere segnalati.
Un modello ad uso generale è fornito o solo consumato?
Le responsabilità del fornitore del modello e dell'integratore non sono identiche. L'azienda deve ottenere la documentazione disponibile e definire cosa deve completare per il proprio sistema.
Roadmap AI Act su 90 giorni, dall’inventario alle prove, contratti, test e controlli permanenti.
Trattare gli obblighi di trasparenza come un percorso utente
Una menzione nascosta nelle condizioni generali non costituisce un'esperienza di trasparenza soddisfacente. L'informazione deve essere collocata al momento pertinente, compresa dal pubblico e coerente con l'uso.
Per un assistente conversazionale, specificare chiaramente che si tratta di un sistema automatizzato, i suoi limiti, il modo di contattare un umano e il modo in cui i dati sono trattati. Per un contenuto generato o manipolato, distinguere la marcatura tecnica destinata al rilevamento dalla menzione visibile destinata al pubblico.
Tutte le produzioni assistite da IA non richiedono la stessa etichetta. Le eccezioni e le condizioni previste dal testo devono essere verificate. L’organizzazione deve comunque mantenere una politica editoriale: livello di revisione umana, responsabilità assunta, conservazione delle fonti e tracciabilità delle trasformazioni importanti.
Costituire prove piuttosto che una documentazione decorativa
Un dossier credibile collega ogni requisito a una prova concreta:
- scheda del sistema e versioni;
- finalità e limiti approvati;
- analisi dei rischi e degli impatti;
- origine e governance dei dati;
- protocollo di valutazione;
- risultati, soglie e incidenti;
- manuale utente;
- meccanismi di supervisione umana;
- log e politica di conservazione;
- sicurezza, accesso e continuità;
- contratti e responsabilità;
- storico delle modifiche.
La documentazione deve riflettere il sistema implementato. Una valutazione effettuata su una versione precedente o un set di dati non correlato alla produzione non protegge l’azienda.
Organizzare la supervisione umana
La presenza di un pulsante « convalida » non basta. Il controllore umano deve avere il tempo, le competenze, le informazioni e l’autorità necessarie per contestare l’output.
Definire :
- le decisioni che il sistema può solo preparare ;
- quelle che richiedono una convalida;
- i criteri di rifiuto;
- il livello di spiegazione fornito;
- la procedura di ricorso;
- le condizioni di arresto;
- i test della dipendenza eccessiva dall'automazione.
Più l'impatto sulle persone è forte, più la supervisione deve essere concreta e testata.
Rivedere i contratti e la catena di subappalto
Le clausole devono permettere di ottenere le informazioni necessarie: versioni, localizzazione, subappaltatori, sicurezza, incidenti, diritti sui contenuti, utilizzo dei dati, conservazione, reversibilità e notifica dei cambiamenti importanti.
Verificare anche la capacità di:
- esportare i dati e le configurazioni;
- disattivare una funzione;
- imporre una regione di hosting;
- padroneggiare l'allenamento sui dati;
- audire o ricevere rapporti;
- ottenere aiuto durante un incidente;
- cambiare modello senza ricostruire il prodotto.
Un contratto standard di strumento per ufficio può essere insufficiente per un processo critico.
Costruire un programma proporzionato
Tutte le voci del registro non richiedono lo stesso sforzo. Dare priorità in base all’impatto sui diritti, al numero di persone, all’autonomia, alla sensibilità dei dati, alla maturità del fornitore e all’assenza di ricorso.
Una governance efficace distingue:
- gli usi vietati o da sospendere;
- i sistemi da qualificare immediatamente;
- gli usi a trasparenza rafforzata;
- gli strumenti interni da inquadrare;
- le sperimentazioni senza dati reali;
- i sistemi a basso rischio da sorvegliare semplicemente.
La conformità diventa allora un portafoglio di rischi, non un questionario identico per tutti.
Un piano d'azione in 90 giorni
Giorni 0 a 30: visibilità e misure immediate
- nominare uno sponsor e un responsabile operativo;
- avviare l’inventario;
- individuare gli usi sensibili o non autorizzati;
- sospendere i flussi manifestamente pericolosi;
- identificare le obbligazioni di trasparenza immediate;
- centralizzare contratti e avvisi;
- definire un canale di segnalazione.
Giorni 31 a 60: qualificazione e prove
- analizzare i ruoli;
- classificare i casi prioritari;
- mappare dati e subappaltatori ;
- completare le analisi GDPR e sicurezza;
- definire le valutazioni e le soglie;
- correggere i percorsi di informazione;
- formalizzare la supervisione umana.
Giorni 61 a 90: industrializzazione
- adottare una politica IA;
- istituire il registro permanente;
- integrare i controlli nel ciclo del progetto;
- formare le squadre secondo il loro ruolo;
- negoziare le clausole mancanti;
- organizzare la sorveglianza e le revisioni;
- preparare la gestione degli incidenti e la reversibilità.
Gli errori da evitare
Aspettare una lista perfetta
L'inventario deve iniziare anche se è incompleto. Le voci « fornitore sconosciuto » o « dati da confermare » permettono di gestire l'incertezza.
Confondere conformità del fornitore e conformità all'uso
Una certificazione o una dichiarazione del fornitore non copre automaticamente la finalità, i dati e il percorso attuato dal cliente.
Classificare tutto ad alto rischio
Questa strategia sovraccarica la governance e finisce per banalizzare i veri rischi. La proporzionalità deve essere motivata.
Trattare l'argomento solo dal punto di vista giuridico
Le prove si trovano nel prodotto: codice, configurazione, dati, test, log, interfacce e procedure. Giuristi, DPO, sicurezza, settore e tecnico devono lavorare insieme.
Trasformare l'obbligo in disciplina produce
L’AI Act impone una migliore conoscenza dei sistemi, ma questa disciplina porta anche benefici operativi: meno strumenti invisibili, responsabilità chiare, test riproducibili, incidenti meglio gestiti e un'architettura più reversibile.
Partitech può intervenire sull’inventario tecnico, sulle mappature dei flussi, sulle valutazioni, sulla tracciabilità, sui controlli umani e sull’integrazione dei requisiti nel ciclo di consegna. La qualificazione giuridica finale resta condotta con i consigli competenti dell’azienda. L’obiettivo è collegare il regolamento a un sistema reale, misurabile e mantenibile.
Parliamo del tuo progetto
Strutturare una diagnosi AI Act e una roadmap di conformità con Partitech e i vostri consulenti legali. Contatta Partitech.