Il Regolamento (UE) 2024/1689 (AI Act) non ha una sola data. L’applicazione generale è il 2 agosto 2026 (art. 113). Prima di quella data valgono già i divieti, le definizioni e gli obblighi di literacy AI (dal 2 febbraio 2025) e, dal 2 agosto 2025, gli obblighi sui modelli GPAI. Le multe della Commissione sui fornitori GPAI (art. 101) partono dal 2 agosto 2026. Per alcuni sistemi ad alto rischio possono esserci scadenze successive: vanno lette sul testo consolidato, non su un calendario interno.
Con questo scadenzario, il problema tipico non è «manca la policy». È che nessuno ha una lista affidabile di dove sta l’AI: cloud, moduli in ERP o CRM, assistenti interni, modelli usati da un fornitore. Senza quella lista, classificazione e responsabilità restano opinioni.
Inventario e classificazione sono due lavori diversi
L’inventario risponde a: quali sistemi, chi li fornisce, chi li usa, su quali dati, con quale ruolo (provider, deployer, importer, distributor, o altro previsto dal regolamento). La classificazione risponde a: uso vietato, alto rischio (in particolare Allegato III e i casi legati a prodotti armonizzati), obblighi di trasparenza dell’art. 50, eventuale rilevanza GPAI.
Invertire l’ordine è costoso. Si scrivono policy su un perimetro inesistente, oppure si tratta come «alto rischio» uno strumento che non lo è — e si ignorano usi che invece lo sono. Lo stesso vale per il GDPR: un sistema AI che tratta dati personali non si chiude con una clausola AI Act; restano base giuridica, informative e, dove serve, DPIA.
Cosa non significa «essere in regola»
Avere un chatbot in azienda non equivale a un sistema ad alto rischio. Aver firmato un’informativa al fornitore non chiude gli obblighi del deployer. ISO/IEC 42001 può strutturare la governance (AIMS), ma è uno standard volontario: non sostituisce il regolamento, non è richiesto dall’AI Act e non dà presunzione di conformità. Per i fornitori di sistemi ad alto rischio, lo standard europeo sul sistema di gestione della qualità (art. 17) è EN 18286:2026; la presunzione (art. 40) scatta solo se lo standard armonizzato è citato in Gazzetta ufficiale dell’UE.
Nessuno «certifica» il rispetto dell’AI Act come si certifica un SGQ. Si costruiscono inventario, ruoli, classificazione ed evidenze. Il percorso di consulenza è descritto nella pagina AI Act; questa nota serve a non partire dalla carta sbagliata.
← Torna agli approfondimenti