Adeguamento AI Act
Inquadriamo gli obblighi dell'AI Act e costruiamo un percorso di conformità documentato.
Cos'è l'AI Act e quando si applica
Il Regolamento (UE) 2024/1689 — l'AI Act — regola lo sviluppo, la messa in servizio e l'uso dei sistemi di intelligenza artificiale nell'Unione, con obblighi proporzionati al livello di rischio.
Cosa comporta per le aziende
- Ruolo e obblighi. Chi sviluppa, integra o usa sistemi AI deve capire ruolo e obblighi — anche nelle PMI, dove l'AI entra da cloud, ERP e fornitori, spesso senza una mappa chiara. Servono inventario, classificazione del rischio, policy, literacy e responsabilità documentabili.
- Cosa fare per adeguarsi. Inventariare i sistemi AI in uso; definire il ruolo (fornitore, deployer, ecc.); classificare il livello di rischio; applicare gli obblighi pertinenti — literacy (art. 4), pratiche vietate (art. 5), sistemi ad alto rischio (capo III), trasparenza (art. 50) e, se rilevante, modelli GPAI — e documentare le scelte. Con l'applicazione generale in vigore dal 2 agosto 2026, serve evidenza dimostrabile.
- L'art. 99 dell'AI Act prevede ammende fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate; fino a 15 milioni o 3% per altri obblighi; fino a 7,5 milioni o 1% per informazioni inesatte alle autorità. Con l'applicazione generale in vigore dal 2 agosto 2026, serve avere sistemi e obblighi mappati.
Date chiave
- Entrata in vigore1° agosto 2024
- Applicazione generale2 agosto 2026 (art. 113)
- FonteReg. (UE) 2024/1689
Cosa facciamo
Trasformiamo il quadro in un percorso operativo e dimostrabile: inventario, classificazione, governance e documentazione — con raccordo a GDPR. L'assessment di conformità di terza parte interviene solo nei casi previsti per sistemi ad alto rischio, non come passaggio standard.
- Inventario. Mappatura dei sistemi AI in uso nell'organizzazione.
- Classificazione del rischio. Inquadramento dei sistemi rispetto ai livelli previsti dal regolamento.
- Policy e governance. Regole d'uso e responsabilità minime, documentabili.
- Literacy. Inquadramento degli obblighi di AI literacy (art. 4): consapevolezza e competenze adeguate per chi opera con i sistemi AI.
- Formazione. Percorsi formativi operativi e sensibilizzazione del personale, per tradurre i requisiti di AI literacy in pratiche documentabili.
- Integrazione GDPR. Raccordo con privacy e trattamenti di dati personali.
AB Horizon fornisce consulenza di preparazione all'adeguamento AI Act. Non è organismo di certificazione né di valutazione della conformità dei sistemi AI.
Prossimo passo
Valutiamo insieme preliminare: definiamo ambito, gap e piano di lavoro con tempi chiari.
Cosa ottieni
- Inventario sistemi AI documentato
- Report classificazione rischio per sistema
- Policy e governance AI
- Piano AI literacy (art. 4)
- Documentazione obblighi per livello di rischio
- Roadmap adeguamento con milestone
A chi serve
L'AI Act interessa chi usa, integra o vende sistemi di intelligenza artificiale — anche quando l'AI entra da cloud, ERP o fornitori.
- PMI con AI in cloud / ERP / tool operativi. Anche senza sviluppare modelli propri: l'uso via fornitori va inventariato e classificato.
- Chi vende a clienti che chiedono garanzie su AI. Questionari, clausole contrattuali o diligence su conformità e governance.
- Chi sviluppa o mette in servizio sistemi AI. Ruolo provider o deployer (e altri ruoli della catena) con obblighi diversi per livello di rischio.
- Chi deve dimostrare AI literacy e governance minima. Competenze e responsabilità documentabili entro le scadenze del regolamento.
Errori comuni
Questi errori lasciano obblighi scoperti o documentazioni inutili in caso di richiesta cliente o controllo.
- Policy di facciata senza inventario. Regole generiche senza elenco dei sistemi AI in uso non dimostrano nulla.
- Confondere ISO 42001 con l'AI Act. ISO 42001 è volontaria e utile alla governance; non sostituisce gli obblighi del regolamento.
- Ignorare l'AI “nascosta”. SaaS, ERP, assistenti e automazioni spesso contengono AI non dichiarata nel perimetro interno.
- Ruolo non definito. Provider, deployer, importer, distributor: senza ruolo chiaro non si sa quali obblighi applicare.
- Solo IT, senza GDPR e responsabilità operativa. Dove ci sono dati personali e decisioni operative servono trasparenza, base giuridica e ownership chiare.
Esperienza tipica
Contesto 2026: applicazione generale dell'AI Act in corso e richieste clienti su conformità AI.
PMI con AI in cloud — inventario e classificazione rischio
Una PMI usava AI soprattutto via cloud e tool di terzi, senza inventario formale. Con l'applicazione generale dell'AI Act e domande da clienti, abbiamo mappato gli usi interni e quelli dei fornitori, definito il ruolo per ciascun uso e classificato il rischio (pratiche vietate, alto rischio, obblighi di trasparenza, GPAI se rilevante). Abbiamo impostato un piano di AI literacy (art. 4) con documentazione delle scelte e raccordato i punti di contatto con il GDPR dove circolavano dati personali.
Esito
Quadro chiaro degli obblighi pertinenti e piano prioritizzato, senza claim di “conformità certificata” inventata. AB Horizon prepara e documenta: non è organismo di valutazione della conformità AI.
Checklist operativa
Cosa verificare per un assessment AI Act realistico, anche con soli tool di terzi.
- InventarioSistemi e usi AI mappati, inclusi SaaS e fornitori
- RuoloRuolo dell'organizzazione definito per ciascun uso
- ClassificazioneRischio inquadrato secondo la logica AI Act
- AI literacyCompetenze minime e sensibilizzazione documentate (art. 4)
- MisureObblighi su alto rischio / trasparenza applicati dove pertinenti
- Raccordo GDPRBase giuridica, informative e responsabilità allineate
Domande frequenti
Quali sono i sistemi AI a rischio alto?
Nell'AI Act i sistemi ad alto rischio sono quelli che possono incidere in modo significativo su salute, sicurezza o diritti fondamentali, tipicamente elencati nell'Allegato III (e in altri casi previsti dal regolamento, ad esempio prodotti soggetti a normativa di armonizzazione UE). Non tutti gli usi di AI in azienda sono ad alto rischio: serve classificazione caso per caso su ruolo, contesto e Allegato pertinente. Valutiamo insieme inventario e classificazione.
Cosa devono fare le PMI per l'AI Act?
Inventariare i sistemi AI (anche da cloud, ERP e fornitori), definire il ruolo (provider, deployer, importer, distributor, ecc.), classificare il rischio e applicare gli obblighi pertinenti — literacy (art. 4), pratiche vietate (art. 5), alto rischio, trasparenza (art. 50) e GPAI se rilevante — documentando le scelte. Gli obblighi variano per ruolo e livello di rischio.
Entro quando bisogna adeguarsi all'AI Act?
L'AI Act è entrato in vigore il 1° agosto 2024; l'applicazione generale decorre dal 2 agosto 2026 (art. 113). Alcuni obblighi (ad esempio pratiche vietate e literacy) hanno scadenze anticipate. Conviene avere inventario, classificazione e piano documentati. Valutiamo insieme un assessment mirato.
La formazione del personale è obbligatoria?
Sì, in chiave di AI literacy: l'art. 4 obbliga fornitori e deployer ad adottare misure per sostenere lo sviluppo dell'alfabetizzazione AI del personale e di chi opera con i sistemi AI per loro conto, tenendo conto di conoscenze, esperienza e contesto d'uso. Non impone un corso o attestato specifico: serve formazione e sensibilizzazione proporzionate a ruolo, rischi e modalità di utilizzo.
Cosa cambia se uso solo AI di terzi (cloud / SaaS)?
Anche usando solo AI di terzi restano obblighi tipici del deployer o di altri ruoli: inventario degli usi, comprensione del rischio, literacy, trasparenza dove applicabile e raccordo contrattuale con il fornitore. L'AI «nascosta» in ERP, CRM o assistenti non esclude responsabilità. Mappiamo insieme cosa usate e chi è responsabile di cosa.
AI Act e GDPR: come si raccordano?
Sono due quadri distinti che spesso si sovrappongono: se l'AI tratta dati personali restano base giuridica, informative, diritti degli interessati e responsabilità del titolare/responsabile. L'AI Act aggiunge obblighi su rischio, trasparenza e governance dei sistemi. Nei progetti integriamo i due piani per evitare documentazioni duplicate o contraddittorie.
ISO 42001 è obbligatoria?
No: ISO 42001 è uno standard volontario di sistema di gestione per l'AI. Può aiutare a strutturare governance e controlli, ma non sostituisce gli obblighi dell'AI Act né equivale a una «conformità certificata» al regolamento.
Progetto tecnologico
Vuoi integrare l'IA per migliorare i tuoi processi? La risposta è Next Be!
Next Be traduce l’IA in strumenti operativi: sviluppo tecnologico, automazione dei processi e formazione applicata. Dal bisogno al risultato, senza restare sulla teoria.