Regolamento UE 2024/1689
Adeguamento all’AI Act
per chi usa e per chi sviluppa
Gli obblighi non riguardano solo chi costruisce modelli: dal 2 agosto 2026 le regole di trasparenza sono pienamente applicabili e la vigilanza è operativa, e toccano anche l’azienda che si limita a usare l’AI nei propri processi. Il primo passo non è un documento, è sapere quali sistemi di AI girano davvero dentro l’azienda.
La domanda che viene prima di tutte: quale AI state usando davvero
Nella maggior parte delle aziende l’intelligenza artificiale non è entrata da una decisione, è entrata dal basso. Qualcuno in marketing ha attivato un abbonamento, il customer care ha messo un assistente sul sito, uno sviluppatore usa un assistente di codice, le risorse umane provano uno strumento che legge i curriculum. Nessuno di questi passaggi è passato da una delibera, e quindi non esiste un elenco.
L’AI Act ragiona per ruoli e per rischio: cambia molto se un sistema lo fornite voi al mercato o se lo usate soltanto, e cambia molto a seconda di cosa quel sistema decide. Un assistente che risponde a domande sui prodotti e uno strumento che filtra candidature non stanno sullo stesso piano. Senza inventario questa valutazione non si può nemmeno iniziare, ed è il motivo per cui partiamo sempre da lì.
Va poi separato ciò che è già dovuto da ciò che è stato spostato in avanti. Le regole di trasparenza dell’articolo 50, cioè dire alle persone che stanno parlando con una macchina e marcare i contenuti generati, sono pienamente applicabili dal 2 agosto 2026, insieme alla vigilanza delle autorità nazionali e al regime sanzionatorio. La disciplina dei sistemi ad alto rischio è stata invece differita dal pacchetto europeo di semplificazione: questo non toglie gli obblighi di trasparenza, di alfabetizzazione del personale e di controllo sui fornitori, che valgono adesso. Su questa materia lavoriamo in due: il team legale interno per gli obblighi e la documentazione, gli sviluppatori per quello che va cambiato dentro il prodotto. Quello che richiede un avvocato iscritto all’albo resta agli avvocati che collaborano con noi.
Situazioni in cui questo lavoro serve davvero
Usate strumenti AI senza inventario
Abbonamenti attivati dai reparti, nessun elenco centrale
Avete un chatbot sul sito
Obbligo di dire chiaramente che l’interlocutore non è una persona
Pubblicate contenuti generati
Testi, immagini, audio e video che vanno marcati come artificiali
Vendete un prodotto con AI dentro
Il vostro ruolo cambia e con esso gli obblighi documentali
L’AI tocca persone
Selezione del personale, valutazioni, accesso a servizi: alta attenzione
Un cliente vi chiede conto dell’AI
Questionari fornitori che ora includono una sezione dedicata
Concretamente
Cosa consegniamo
Inventario dei sistemi di AI
L’elenco reale di cosa è in uso, in quale reparto, con quale fornitore e su quali dati: raccolto guardando strumenti e spese, non chiedendo a memoria.
Qualificazione del ruolo
Per ogni sistema stabiliamo se agite come fornitore o come utilizzatore, perché gli obblighi cambiano radicalmente e molte aziende scoprono di essere entrambe le cose su prodotti diversi.
Classificazione del rischio
Valutazione caso per caso rispetto alle categorie del Regolamento, con particolare attenzione agli usi che incidono su persone: lavoro, accesso a servizi, valutazioni.
Obblighi di trasparenza
Le informazioni da dare agli utenti quando interagiscono con un sistema di AI e la marcatura dei contenuti generati, tradotte in modifiche concrete a interfacce e testi.
Alfabetizzazione del personale
Il livello minimo di competenza richiesto a chi usa questi strumenti in azienda: cosa si può caricare, cosa no, come si verifica un output prima di usarlo.
Policy d’uso interna
Regole scritte in modo che vengano lette: quali strumenti sono ammessi, quali dati non escono dall’azienda, chi approva l’adozione di un servizio nuovo.
Verifica dei fornitori
Cosa dicono davvero i contratti dei servizi che usate: se gli input alimentano l’addestramento, dove avviene l’elaborazione, quali garanzie e quale documentazione offrono.
Interventi sul prodotto
Quando l’AI è dentro un software vostro: log delle decisioni, supervisione umana nei punti giusti, tracciabilità delle versioni del modello e documentazione tecnica.
Dall’inventario alla policy operativa in 3-6 settimane
Ricognizione
Mappiamo che dati trattate, con quali strumenti e con quali fornitori. Non da questionario: guardando i sistemi che usate davvero, perché quasi sempre la mappa che esiste su carta e quella che esiste in produzione non coincidono.
Gap analysis
Confrontiamo la situazione reale con quello che la norma chiede e vi restituiamo un elenco di scostamenti ordinato per rischio, non per comodità di chi lo scrive. Ogni voce dice chi deve fare cosa, e se è un lavoro legale, tecnico o organizzativo.
Adeguamento
Il team legale prepara documenti, nomine e procedure; gli sviluppatori mettono mano a ciò che va cambiato nel software: log, permessi, cancellazioni, esportazioni, informative dentro il prodotto. È la parte che di solito resta a metà quando i due mondi sono in aziende diverse.
Mantenimento
La conformità non è una consegna, è uno stato. Restiamo disponibili per aggiornare i documenti quando cambiate fornitore o funzionalità, o quando cambia la normativa, e per rispondere quando arriva una richiesta di un interessato, un audit di un cliente o una segnalazione.
FAQ
AI Act: domande frequenti
Le risposte che diamo più spesso alle aziende che ci scrivono su questo tema.
Sì, anche se con obblighi molto più leggeri di quelli di chi sviluppa e mette sul mercato sistemi di AI. Chi utilizza deve sapere quali strumenti sono in uso, garantire un livello adeguato di competenza a chi li adopera, rispettare gli obblighi di trasparenza quando l’AI interagisce con persone o genera contenuti pubblicati, e verificare cosa fanno i fornitori con i dati che riceve. È una lista corta, ma va scritta e mantenuta.
Da quella data il Regolamento è generalmente applicabile: sono pienamente operativi gli obblighi di trasparenza dell’articolo 50, le autorità nazionali di vigilanza hanno pieni poteri e si applica il regime sanzionatorio. Il pacchetto europeo di semplificazione ha invece spostato in avanti la parte sui sistemi ad alto rischio, quindi oggi la lista di ciò che è dovuto è più corta di quella scritta nel testo originale del 2024, ma non è vuota.
Sì. Quando una persona interagisce con un sistema di AI deve essere informata, a meno che non sia del tutto evidente dal contesto. In pratica si risolve con una riga nell’interfaccia della chat, che è un intervento di mezz’ora di sviluppo: il lavoro vero è accorgersi di tutti i punti in cui l’azienda ha un’AI che parla con qualcuno, compresi i canali che nessuno ricorda di aver attivato.
Del sistema che mettete voi sul mercato, non del modello in sé. Questo significa che dovete sapere cosa fa il modello che avete integrato, cosa dice il suo contratto sui vostri dati, come si comporta il vostro prodotto quando il modello sbaglia e cosa succede quando il fornitore lo dismette o lo sostituisce con una versione nuova. È una parte che si documenta durante lo sviluppo, non a posteriori.
Il Regolamento non impone un registro nella forma prevista dal GDPR per i trattamenti, ma senza un elenco aggiornato nessuno degli altri obblighi è dimostrabile. Lo costruiamo quindi in ogni caso, e quando i sistemi trattano dati personali lo teniamo agganciato al registro dei trattamenti, così che le due mappe non divergano dopo tre mesi.
Il Regolamento gradua le sanzioni in base alla gravità: le pratiche vietate hanno la fascia più alta, mentre per la violazione degli obblighi di trasparenza le fonti concordano su un massimo di 15 milioni di euro o del 3% del fatturato mondiale annuo. Come per il GDPR, il rischio concreto per una PMI passa più spesso dai rapporti contrattuali che da un provvedimento dell’autorità.
Preventivo
Parliamo dell’AI che usate
Descriveteci la situazione, anche in due righe. La prima call è gratuita e senza impegno: serve a capire da dove conviene partire. Rispondiamo entro 24 ore.
Richiesta inviata
Grazie! Ti ricontattiamo entro 24 ore per una prima call gratuita e senza impegno.
Torna alla homeInvio non riuscito
Qualcosa è andato storto. Riprova tra poco oppure scrivici direttamente a info@morfex.it.
RiprovaCollegato a questa pagina
- Approfondimento: l’articolo 50 spiegato Cosa dire agli utenti e come marcare i contenuti generati
- Adeguamento GDPR Quando il sistema di AI tratta dati personali
- Sviluppo conforme Supervisione umana e log decisi in fase di progetto
- Sviluppo AI su misura La parte tecnica: agenti, automazioni e modelli custom
- Caso studio: anonimizzazione documenti Un modello che gira in locale, senza inviare nulla in rete
- Legal & Compliance L’hub con tutte le aree e il metodo di lavoro