Checklist EU AI Act per le aziende

A chi si applica l'AI Act

L'AI Act si applica alle organizzazioni che sviluppano, forniscono o usano sistemi di AI nell'UE, comprese le aziende con sede fuori dall'UE i cui sistemi di AI sono immessi sul mercato dell'UE o il cui output è usato nell'UE. Ciò che dovete fare dipende dal vostro ruolo per ciascun sistema:

• Fornitore: sviluppa o fa sviluppare un sistema di AI o un modello di AI per finalità generali e lo immette sul mercato o lo mette in servizio con il proprio nome.
• Deployer: usa un sistema di AI sotto la propria autorità in un'attività professionale, come un'azienda che usa lo strumento di selezione di un vendor.
• Importatore e distributore: portano un sistema da fuori dell'UE sul mercato dell'UE o lo rendono disponibile su quel mercato.

La maggior parte delle aziende è deployer. Un deployer diventa fornitore se appone il proprio nome o marchio su un sistema ad alto rischio, se vi apporta una modifica sostanziale o se cambia la finalità di un sistema rendendolo ad alto rischio.

Le scadenze

Le date seguono l'AI Act come modificato dal Regolamento (UE) 2026/1744, il Digital Omnibus, in vigore dal 27 luglio 2026.

• 1 ago 2024L'AI Act entra in vigore.
• 2 feb 2025Le pratiche vietate sono proibite e si applica l'obbligo di AI literacy.
• 2 ago 2025Si applicano le norme sui modelli di AI per finalità generali, sulla governance e sulle sanzioni.
• 2 ago 2026Si applicano gli obblighi di trasparenza dell'articolo 50. L'AI Office può far rispettare le norme sui modelli di AI per finalità generali e le autorità nazionali vigilano sull'AI literacy.
• 2 dic 2026Si applicano due nuovi divieti, sull'AI che crea immagini intime o sessuali non consensuali e sul materiale pedopornografico. I sistemi generativi già sul mercato prima del 2 agosto 2026 devono contrassegnare il proprio output entro questa data.
• 2 ago 2027I modelli di AI per finalità generali immessi sul mercato prima del 2 agosto 2025 devono essere conformi.
• 2 dic 2027Si applicano gli obblighi per gli usi ad alto rischio elencati nell'Allegato III.
• 2 ago 2028Si applicano gli obblighi per l'AI ad alto rischio nei prodotti coperti dall'Allegato I.
• 2 ago 2030I sistemi ad alto rischio usati dalle autorità pubbliche e già sul mercato devono essere conformi.

Passaggio 1: elencare ogni sistema di AI

• Raccogliete gli strumenti AI usati dalle personeAssistenti come Claude, ChatGPT, Copilot o Gemini, con il piano e i team che li usano.
• Trovate l'AI dentro il vostro softwareFunzioni negli strumenti HR, CRM, finance e sicurezza che si basano sull'AI, dallo screening allo scoring.
• Aggiungete ciò che sviluppateModelli, agenti e automazioni sviluppati internamente o da un partner.
• Registrate finalità e datiA che cosa serve ogni sistema, quali dati usa e chi è interessato dal suo output.
• Assegnate un responsabile e un ruoloUna persona nominata per ogni sistema e l'indicazione se ne siete fornitore o deployer.

Passaggio 2: classificare il rischio

Ogni utilizzo rientra in uno di quattro livelli. Classificate ogni utilizzo, non ogni prodotto: lo stesso assistente può essere a rischio minimo per scrivere email e ad alto rischio quando è usato per selezionare i candidati.

La Commissione ha pubblicato le linee guida sulla definizione di sistema di AI e sulle pratiche vietate a febbraio 2025 e la bozza di linee guida sulla classificazione dell'alto rischio a maggio 2026. I sistemi ad alto rischio già sul mercato prima della rispettiva data sono coperti solo se in seguito vengono modificati in modo significativo; quelli usati dalle autorità pubbliche devono essere conformi entro il 2 agosto 2030.

Passaggio 3: mappare gli obblighi del vostro ruolo

Ogni fornitore e deployer

Adottare misure a sostegno dell'AI literacy del personale e delle altre persone che gestiscono o usano sistemi di AI per vostro conto, secondo l'articolo 4.

Deployer di sistemi ad alto rischio, secondo l'articolo 26

• Usate il sistema secondo le istruzioniSeguite le istruzioni per l'uso del fornitore.
• Assegnate la supervisione umanaA persone con la competenza, la formazione e l'autorità per esercitarla.
• Controllate i dati di inputDove ne avete il controllo, manteneteli pertinenti e rappresentativi rispetto alla finalità.
• Monitorate e reagiteSe emerge un rischio, informate il fornitore e l'autorità e sospendete l'uso. Segnalate gli incidenti gravi.
• Conservate i logPer almeno sei mesi.
• Informate le personeInformate i lavoratori e i loro rappresentanti prima di usare AI ad alto rischio sul lavoro e informate le persone quando un sistema di questo tipo è usato in decisioni che le riguardano.
• Usate le informazioni del fornitoreNella vostra valutazione d'impatto sulla protezione dei dati ai sensi del GDPR.

Fornitori di sistemi ad alto rischio

Gestione del rischio, governance dei dati, documentazione tecnica, registrazione degli eventi, istruzioni per i deployer, supervisione umana, accuratezza, robustezza e cibersicurezza, un sistema di gestione della qualità, valutazione della conformità, marcatura CE, registrazione nella banca dati dell'UE e monitoraggio successivo all'immissione sul mercato.

Trasparenza, secondo l'articolo 50

I fornitori progettano i sistemi che interagiscono con le persone in modo che queste sappiano di avere a che fare con un'AI, a meno che sia evidente, e contrassegnano i contenuti generati dall'AI in un formato leggibile da macchina. I deployer dichiarano i deepfake e i testi generati dall'AI pubblicati per informare il pubblico su questioni di interesse pubblico, a meno che una persona li abbia rivisti e ne abbia la responsabilità editoriale. La Commissione ha pubblicato le linee guida su questi obblighi il 20 luglio 2026.

Fornitori di modelli di AI per finalità generali

Documentazione tecnica, informazioni per le aziende che costruiscono sul modello, una policy sul diritto d'autore e una sintesi pubblica dei contenuti di addestramento, con ulteriori doveri per i modelli con rischio sistemico. Il General-Purpose AI Code of Practice di luglio 2025 è un modo riconosciuto per dimostrare la conformità.

Passaggio 4: costruire l'AI literacy

L'articolo 4 si applica dal 2 febbraio 2025. Come modificato a luglio 2026, impone a fornitori e deployer di adottare misure a sostegno dell'AI literacy del proprio personale e di chi usa l'AI per loro conto, senza dover garantire un livello specifico. Le autorità nazionali vigilano dal 2 agosto 2026 e non è richiesto alcun certificato.

• Mappate chi usa quali sistemiPer ruolo, dagli utenti occasionali alle persone che supervisionano i sistemi ad alto rischio.
• Formate per ruoloOpportunità, rischi e regole della vostra policy AI, adattati a ogni ruolo e sistema.
• Tenete tracciaChi è stato formato, quando e su che cosa, per dimostrare le misure adottate.

Vedi la formazione AI literacy secondo l'articolo 4.

Passaggio 5: impostare la governance

• Scrivete una policy AIStrumenti approvati, dati consentiti, revisione degli output e chi decide sui nuovi utilizzi.
• Tenete un registro AIL'inventario del passaggio 1, mantenuto aggiornato, con livello di rischio e responsabile di ogni sistema.
• Verificate i vostri vendorChiedete ai fornitori la documentazione AI Act e le istruzioni per l'uso e inseritele nei contratti.
• Definite un processo per gli incidentiCome i problemi vengono segnalati, valutati e, per i sistemi ad alto rischio, notificati alle autorità.
• Rivedete ogni trimestreNuovi strumenti, nuovi utilizzi e nuove indicazioni della Commissione.

Uno standard per sistemi di gestione come la ISO/IEC 42001 dà a questa governance una struttura che gli auditor riconoscono.

Sanzioni

Si applica il più alto dei due importi. Per PMI e start-up si applica il più basso, in ogni fascia, e le small mid-cap beneficiano dell'importo più basso nelle due fasce inferiori.

Fonti

• Regolamento (UE) 2026/1744, il Digital Omnibus sull'AI, Gazzetta ufficiale
• AI Act Service Desk: articolo 4, AI literacy
• AI Act Service Desk: articolo 26, obblighi dei deployer di sistemi di AI ad alto rischio
• AI Act Service Desk: articolo 50, obblighi di trasparenza
• AI Act Service Desk: articolo 99, sanzioni
• AI Act Service Desk: articolo 113, entrata in vigore e applicazione
• Commissione europea: domande e risposte sull'AI literacy
• Commissione europea: linee guida sulla definizione di sistema di AI
• Commissione europea: linee guida sulle pratiche di AI vietate
• Commissione europea: bozza di linee guida sulla classificazione dell'alto rischio
• Commissione europea: linee guida sugli obblighi di trasparenza