AI Act UE 2026: lista di controllo aziendale per l’automazione IA

Sintesi decisionale: Guida pratica dopo il 2 agosto 2026 su ruoli, rischi, trasparenza, controllo umano, fornitori e sicurezza dei progetti pilota IA.

· · 7 min di lettura

Decisione: classificare l'uso, non lo strumento

Conta ciò che il sistema fa e il ruolo dell'azienda, non il nome del modello. Lo stesso assistente è a basso impatto per una bozza interna e più sensibile quando attiva decisioni sulle persone. Registrate scopo, interessati, dati, azioni automatiche e intervento umano.

Questa guida non è consulenza legale. Obblighi e date dipendono da paese, settore, rischio e ruolo. Partite da un progetto pilota reversibile, misurabile e approvato da una persona; verificate le soglie nelle fonti UE aggiornate.

Cosa è cambiato il 2 agosto 2026?

La Commissione europea indica l'avvio dell'applicazione di specifiche disposizioni da parte di AI Office e autorità nazionali. Si applicano anche le regole di trasparenza dell'articolo 50 per alcuni sistemi interattivi e contenuti sintetici: informare dell'interazione con un’IA e marcare certi deepfake o contenuti. Le scadenze per l'alto rischio possono essere successive.

Per ogni uso annotate scopo, ruolo, mercato, dati, persone, output e data pertinente. Ricontrollate il calendario ufficiale prima di acquisti o decisioni legali.

Mappa dei ruoli

Chi immette il sistema sul mercato con il proprio nome può essere un fornitore; chi lo usa per il personale o i clienti può essere un deployer, cioè un utilizzatore professionale. Integrare un modello per finalità generali in un prodotto può creare un ruolo a valle nella catena del valore. Verificate chi definisce lo scopo, apporta modifiche, sceglie i dati e risponde agli utenti.

Registrate i responsabili aziendali e tecnici, il fornitore, la versione, i dati, le azioni, le approvazioni, le informative, la conservazione, le procedure di arresto e le revisioni. Rivalutate ogni cambiamento.

Triage in quattro categorie

Primo: sospendere l’uso e richiedere una valutazione se sono possibili pratiche vietate. Secondo: valutare l’eventuale alto rischio nei settori del lavoro, del credito, dell’istruzione, delle infrastrutture o dei servizi essenziali. Terzo: verificare gli obblighi di trasparenza per chatbot e contenuti sintetici. Quarto: applicare anche agli strumenti interni controlli sui dati, sicurezza, accuratezza e supervisione.

Valutate i sistemi collegati, la reversibilità, le persone interessate, i dati personali, il costo dell’errore e il tempo d’intervento. Se la valutazione resta incerta, limitate il sistema alla formulazione di raccomandazioni.

Lista di controllo per la trasparenza ai sensi dell’articolo 50

L'avviso richiesto deve essere tempestivo, chiaro, comprensibile e accessibile, non nascosto nell’informativa sulla privacy. Per immagini, audio, video o testi di interesse pubblico verificate etichette visibili, marcature leggibili automaticamente ed eccezioni.

Controllate lingua, compatibilità con i lettori di schermo, persistenza delle etichette dopo l’esportazione, passaggio a un operatore e prova della versione. Confermate eventuali transizioni nella guida ufficiale.

Controlli tecnici e operativi

Usate il ciclo NIST AI RMF: governare, mappare, misurare, gestire. Definite successo, errore ammesso e condizioni di arresto prima del progetto pilota. Testate documenti mancanti, istruzioni conflittuali, lingue diverse, richieste non autorizzate e guasti.

Per gli agenti applicate OWASP: funzioni minime, sola lettura iniziale, approvazione umana per invio/pagamento/cancellazione, segreti fuori dal modello e log completo. Preparate procedure di recupero in caso di iniezione di istruzioni, perdita di dati, output errati e guasti del servizio del fornitore.

Piano di 30 giorni

Giorni 1-5: inventario e responsabili; 6-10: ruolo e rischio; 11-15: informative, passaggio a una persona, permessi, conservazione e contratti; 16-23: test; 24-30: progetto pilota limitato e decisione.

Non è un certificato. Scegliete un processo reversibile e misurabile. Usate la guida alla mappatura e il confronto RPA-IA.

Matrice del fornitore e del progetto pilota

Chiedete per iscritto quali modelli e subfornitori siano utilizzati, dove siano conservati i dati e per quanto tempo, se vengano usati per l’addestramento e come siano gestiti sicurezza, incidenti, versioni, marcatura, registri, portabilità e uscita. La dichiarazione «conforme all’AI Act» non basta: chiedete quali controlli, obblighi e ruoli riguardino il vostro caso.

Scenario illustrativo: una PMI classifica le e-mail e prepara bozze. Una persona provvede all’invio e i casi sensibili sono affidati a una persona responsabile; cancellazioni e pagamenti sono vietati. Misurate errori, correzioni, incidenti e recupero. È un’ipotesi progettuale, non un risultato ottenuto per un cliente.

Metodologia

Le affermazioni sono valutate per fattibilità, costo, rischio e misurabilità. I calcoli illustrativi sono ipotesi; le decisioni legali e di sicurezza richiedono fonti primarie.

Nota sulle fonti

I link e i documenti citati sono punti di partenza. Non pubblichiamo risultati dei clienti non verificati.

Ultimo aggiornamento:

Domande frequenti

Ogni sistema IA è ad alto rischio?

No. Dipende da scopo, ambito e funzione reale; restano possibili obblighi di trasparenza, privacy, sicurezza o contratto.

Un chatbot deve dichiarare di essere un’IA?

L'articolo 50 prevede avvisi per determinati sistemi interattivi. Verificate ruolo, uso ed eccezioni nella guida ufficiale.

Un'azienda fuori UE può essere coinvolta?

Un’offerta sul mercato UE, un uso rivolto a persone nell’UE o un ruolo nella catena del valore possono richiedere una valutazione dell’ambito di applicazione.

Quali documenti conservare?

Scopo, responsabili, ruolo e rischio, flussi di dati, supervisione, test, versione e fornitore, informative, incidenti e modifiche.

Si può avviare un progetto pilota prima dell'analisi completa?

Può essere possibile un test reversibile, limitato e approvato. Non abilitate azioni con conseguenze rilevanti se restano dubbi.