Consulenza per l'adeguamento AI Act
Inquadriamo gli obblighi dell'AI Act e costruiamo un percorso di conformità documentato.
Cos'è l'AI Act e quando si applica
Il Regolamento (UE) 2024/1689 — l'AI Act — regola lo sviluppo, la messa in servizio e l'uso dei sistemi di intelligenza artificiale nell'Unione, con obblighi proporzionati al livello di rischio.
Cosa comporta per le aziende
- Ruolo e obblighi. Chi sviluppa, integra o usa sistemi AI deve capire ruolo e obblighi — anche nelle PMI, dove l'AI entra da cloud, ERP e fornitori, spesso senza una mappa chiara. Servono inventario, classificazione del rischio, policy, literacy e responsabilità documentabili.
- Cosa fare per adeguarsi. Inventariare i sistemi AI in uso; definire il ruolo (fornitore, deployer, ecc.); classificare il livello di rischio; applicare gli obblighi pertinenti — literacy (art. 4), pratiche vietate (art. 5), sistemi ad alto rischio (capo III), trasparenza (art. 50) e, se rilevante, modelli GPAI — e documentare le scelte. Con l'applicazione generale in vigore dal 2 agosto 2026, serve evidenza dimostrabile.
- L'art. 99 dell'AI Act prevede ammende fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate; fino a 15 milioni o 3% per altri obblighi; fino a 7,5 milioni o 1% per informazioni inesatte alle autorità. Con l'applicazione generale in vigore dal 2 agosto 2026, serve avere sistemi e obblighi mappati.
Date chiave
- Entrata in vigore1° agosto 2024
- Applicazione generale2 agosto 2026 (art. 113)
- FonteReg. (UE) 2024/1689
Cosa facciamo
Trasformiamo il quadro in un percorso operativo e dimostrabile: inventario, classificazione, governance e documentazione — con raccordo a GDPR. L'assessment di conformità di terza parte interviene solo nei casi previsti per sistemi ad alto rischio, non come passaggio standard.
- Inventario. Mappatura dei sistemi AI in uso nell'organizzazione.
- Classificazione del rischio. Inquadramento dei sistemi rispetto ai livelli previsti dal regolamento.
- Policy e governance. Regole d'uso e responsabilità minime, documentabili.
- Literacy. Inquadramento degli obblighi di AI literacy (art. 4): consapevolezza e competenze adeguate per chi opera con i sistemi AI.
- Formazione. Percorsi formativi operativi e sensibilizzazione del personale, per tradurre i requisiti di AI literacy in pratiche documentabili.
- Integrazione GDPR. Raccordo con privacy e trattamenti di dati personali.
AB Horizon fornisce consulenza di preparazione all'adeguamento AI Act. Non è organismo di certificazione né di valutazione della conformità dei sistemi AI.
Prossimo passo
Valutiamo insieme preliminare: definiamo ambito, gap e piano di lavoro con tempi chiari.
Cosa ottieni
- Inventario sistemi AI documentato
- Report classificazione rischio per sistema
- Policy e governance AI
- Piano AI literacy (art. 4)
- Documentazione obblighi per livello di rischio
- Roadmap adeguamento con milestone
A chi serve
L'AI Act interessa chi usa, integra o vende sistemi di intelligenza artificiale — anche quando l'AI entra da cloud, ERP o fornitori.
- PMI con AI in cloud / ERP / tool operativi. Anche senza sviluppare modelli propri: l'uso via fornitori va inventariato e classificato.
- Chi vende a clienti che chiedono garanzie su AI. Questionari, clausole contrattuali o diligence su conformità e governance.
- Chi sviluppa o mette in servizio sistemi AI. Ruolo provider o deployer (e altri ruoli della catena) con obblighi diversi per livello di rischio.
- Chi deve dimostrare AI literacy e governance minima. Competenze e responsabilità documentabili entro le scadenze del regolamento.
Errori comuni
Questi errori lasciano obblighi scoperti o documentazioni inutili in caso di richiesta cliente o controllo.
- Policy di facciata senza inventario. Regole generiche senza elenco dei sistemi AI in uso non dimostrano nulla.
- Confondere ISO 42001 con l'AI Act. ISO 42001 è volontaria e non dà presunzione di conformità. Per l'art. 17 (fornitori di sistemi ad alto rischio) il riferimento europeo è EN 18286:2026, con presunzione solo se citato in GUUE.
- Ignorare l'AI “nascosta”. SaaS, ERP, assistenti e automazioni spesso contengono AI non dichiarata nel perimetro interno.
- Ruolo non definito. Provider, deployer, importer, distributor: senza ruolo chiaro non si sa quali obblighi applicare.
- Solo IT, senza GDPR e responsabilità operativa. Dove ci sono dati personali e decisioni operative servono trasparenza, base giuridica e ownership chiare.
Esperienza tipica
Contesto 2026: applicazione generale dell'AI Act in corso e richieste clienti su conformità AI.
PMI con AI in cloud — inventario e classificazione rischio
Una PMI usava AI soprattutto via cloud e tool di terzi, senza inventario formale. Con l'applicazione generale dell'AI Act e domande da clienti, abbiamo mappato gli usi interni e quelli dei fornitori, definito il ruolo per ciascun uso e classificato il rischio (pratiche vietate, alto rischio, obblighi di trasparenza, GPAI se rilevante). Abbiamo impostato un piano di AI literacy (art. 4) con documentazione delle scelte e raccordato i punti di contatto con il GDPR dove circolavano dati personali.
Esito
Quadro chiaro degli obblighi pertinenti e piano prioritizzato, senza claim di “conformità certificata” inventata. AB Horizon prepara e documenta: non è organismo di valutazione della conformità AI.
Checklist operativa
Cosa verificare per un assessment AI Act realistico, anche con soli tool di terzi.
- InventarioSistemi e usi AI mappati, inclusi SaaS e fornitori
- RuoloRuolo dell'organizzazione definito per ciascun uso
- ClassificazioneRischio inquadrato secondo la logica AI Act
- AI literacyCompetenze minime e sensibilizzazione documentate (art. 4)
- MisureObblighi su alto rischio / trasparenza applicati dove pertinenti
- Raccordo GDPRBase giuridica, informative e responsabilità allineate
Domande frequenti
Quali sono i sistemi AI a rischio alto?
Nell'AI Act i sistemi ad alto rischio sono quelli che possono incidere in modo significativo su salute, sicurezza o diritti fondamentali, tipicamente elencati nell'Allegato III (e in altri casi previsti dal regolamento, ad esempio prodotti soggetti a normativa di armonizzazione UE). Non tutti gli usi di AI in azienda sono ad alto rischio: serve classificazione caso per caso su ruolo, contesto e Allegato pertinente. Valutiamo insieme inventario e classificazione.
Cosa devono fare le PMI per l'AI Act?
Inventariare i sistemi AI (anche da cloud, ERP e fornitori), definire il ruolo (provider, deployer, importer, distributor, ecc.), classificare il rischio e applicare gli obblighi pertinenti — literacy (art. 4), pratiche vietate (art. 5), alto rischio, trasparenza (art. 50) e GPAI se rilevante — documentando le scelte. Gli obblighi variano per ruolo e livello di rischio.
Entro quando bisogna adeguarsi all'AI Act?
Il Reg. (UE) 2024/1689 è entrato in vigore il 1° agosto 2024. Pratiche vietate e literacy (art. 4-5) dal 2 febbraio 2025. Dal 2 agosto 2025 si applicano gli obblighi sui modelli GPAI (capo V). Le multe della Commissione sui fornitori GPAI (art. 101) dal 2 agosto 2026. Dalla stessa data (art. 113) si applicano le restanti disposizioni non già in vigore, tra cui trasparenza (art. 50). Gli obblighi sui sistemi ad alto rischio dell'Allegato III slittano al 2 dicembre 2027 e quelli sui prodotti dell'Allegato I al 2 agosto 2028 (Reg. UE 2026/1744). Valutiamo insieme inventario e piano.
La formazione del personale è obbligatoria?
Sì: l'art. 4 (AI literacy) è in applicazione dal 2 febbraio 2025. Fornitori e deployer devono adottare misure per l'alfabetizzazione AI del personale e di chi usa i sistemi per loro conto, tenendo conto di conoscenze, esperienza e contesto d'uso. Non impone un corso o attestato specifico: servono misure proporzionate a ruolo e rischi.
Cosa cambia se uso solo AI di terzi (cloud / SaaS)?
Anche usando solo AI di terzi restano obblighi tipici del deployer o di altri ruoli: inventario degli usi, comprensione del rischio, literacy, trasparenza dove applicabile e raccordo contrattuale con il fornitore. L'AI «nascosta» in ERP, CRM o assistenti non esclude responsabilità. Mappiamo insieme cosa usate e chi è responsabile di cosa.
AI Act e GDPR: come si raccordano?
Sono due quadri distinti che spesso si sovrappongono: se l'AI tratta dati personali restano base giuridica, informative, diritti degli interessati e responsabilità del titolare/responsabile. L'AI Act aggiunge obblighi su rischio, trasparenza e governance dei sistemi. Nei progetti integriamo i due piani per evitare documentazioni duplicate o contraddittorie.
ISO 42001 è obbligatoria?
No: ISO 42001 è uno standard volontario di sistema di gestione per l'AI. Può strutturare governance e controlli, ma non sostituisce gli obblighi dell'AI Act e non dà presunzione di conformità al regolamento. Per i fornitori di sistemi ad alto rischio, lo standard europeo sul sistema di gestione della qualità (art. 17) è EN 18286:2026; la presunzione (art. 40) scatta solo se lo standard armonizzato è citato in Gazzetta ufficiale dell'UE.
Progetto tecnologico
Serve anche sviluppo IA? Il progetto è Next Be
Next Be traduce l’IA in strumenti operativi: sviluppo tecnologico, automazione dei processi e formazione applicata. Dal bisogno al risultato, senza restare sulla teoria.