DPO WorkspaceInizia gratis

Guida operativa · Reg. UE 2024/1689

AI Act: cosa devono fare aziende ed enti (e i documenti per dimostrarlo)

Il Regolamento europeo sull'intelligenza artificiale non riguarda solo le big tech: chi usa sistemi di IA — un chatbot sul sito, uno strumento di screening dei CV, l'IA generativa in ufficio — ha obblighi propri, alcuni gia' in vigore. La scadenza vicina e' il 2 agosto 2026: gli obblighi di trasparenza dell'art. 50.

Le date che contano

2 febbraio 2025Pratiche vietate (art. 5) e alfabetizzazione IA del personale (art. 4): GIA' IN VIGORE.
2 agosto 2025Regole sui modelli di IA per finalita' generali (GPAI) e governance.
2 agosto 2026Trasparenza art. 50 (chatbot, contenuti generati, deepfake): LA SCADENZA CHIAVE, confermata dal Digital Omnibus.
2 dicembre 2026Trasparenza art. 50(2) per i modelli GPAI che generano contenuti sintetici: rinviata dal Digital Omnibus.
2 dicembre 2027Obblighi per i sistemi ad alto rischio dell'Allegato III (stand-alone): rinviati dal 2 agosto 2026.
2 agosto 2028Alto rischio 'embedded' in prodotti regolamentati (All. I): rinviato dal 2 agosto 2027.

Aggiornamento: il pacchetto Digital Omnibus ha spostato le date

Per due anni il 2 agosto 2026 e' stato indicato come l'avvio degli obblighi per i sistemi ad alto rischio. Non lo e' piu': l'Allegato III e' stato rinviato al 2 dicembre 2027 e l'Allegato I al 2 agosto 2028. Restano invece confermati per il 2 agosto 2026 gli obblighi di trasparenza dell'art. 50. Molti articoli in circolazione riportano ancora il calendario vecchio.

I 7 documenti della conformita'

L'accountability dell'AI Act si dimostra con documenti. Questi sono quelli che un'azienda o un ente dovrebbe avere — tutti generabili in pochi minuti con DPO Workspace, in italiano e inglese:

  • Registro dei sistemi di IA — L'inventario: quali sistemi usi, con che ruolo, finalita' e sorveglianza umana.
  • Classificazione del rischio — Vietato / alto rischio / trasparenza / minimo, con gli obblighi che ne derivano.
  • Informativa di trasparenza (art. 50) — Per chatbot, contenuti generati dall'IA e deepfake. Obbligatoria dal 2/8/2026.
  • Policy aziendale sull'uso dell'IA — Strumenti autorizzati, dati che non si inseriscono, verifica umana degli output.
  • FRIA (art. 27) — Valutazione d'impatto sui diritti fondamentali per i deployer ad alto rischio.
  • Registro formazione IA (art. 4) — La prova dell'alfabetizzazione del personale: chi, quando, su cosa.
  • Designazione referente IA — Il presidio organizzativo che tiene insieme registro, classificazioni e formazione.

Sezione AI Act nel generatore di documenti

Tutti e 10 i modelli sono nel generatore di DPO Workspace: compili una procedura guidata e scarichi il documento in PDF o Word. La classificazione del rischio calcola l'esito dalle tue risposte.

Provalo gratis

Da dove iniziare, in pratica

  1. Censisci i sistemi di IA in uso (anche i tool 'di reparto' che nessuno ha dichiarato).
  2. Classifica il rischio di ciascuno: vietato, alto rischio, trasparenza, minimo.
  3. Adotta una policy interna e forma il personale (art. 4: e' gia' obbligatorio).
  4. Prepara le informative art. 50 prima di agosto 2026.
  5. Per l'alto rischio: sorveglianza umana, log e, ove serve, FRIA.

Domande frequenti

L'AI Act si applica anche alle PMI che usano solo ChatGPT o strumenti simili?

Sì: chi utilizza sistemi di IA (deployer) ha obblighi propri, a partire dall'alfabetizzazione del personale (art. 4, gia' in vigore) e dalla trasparenza (art. 50, dal 2 agosto 2026). Gli obblighi piu' pesanti riguardano i sistemi ad alto rischio e decorrono dal 2 dicembre 2027.

Cosa scatta il 2 agosto 2026?

Gli obblighi di trasparenza dell'art. 50: dichiarare i chatbot, i contenuti generati dall'IA e i deepfake. NON il quadro sui sistemi ad alto rischio, che il pacchetto Digital Omnibus ha rinviato al 2 dicembre 2027 (Allegato III, sistemi stand-alone) e al 2 agosto 2028 (Allegato I, IA incorporata in prodotti regolamentati). Le pratiche vietate e l'alfabetizzazione sono gia' in vigore dal 2 febbraio 2025.

Il Digital Omnibus ha eliminato degli obblighi?

No. Ha spostato le date, non il contenuto: valutazione di conformita', documentazione tecnica, sistema di gestione della qualita', marcatura CE, registrazione nella banca dati UE, sorveglianza umana e FRIA restano identici. Chi usa il rinvio per non iniziare si ritrova lo stesso lavoro con meno tempo.

Quali documenti servono per dimostrare la conformita'?

Come minimo: registro dei sistemi di IA, classificazione del rischio per ciascun sistema, policy interna sull'uso dell'IA, registro della formazione (art. 4) e, ove applicabili, informativa di trasparenza art. 50 e FRIA art. 27. Tutti disponibili nel generatore di DPO Workspace.

AI Act e GDPR si sovrappongono?

Si integrano: quando un sistema di IA tratta dati personali, il GDPR continua ad applicarsi (base giuridica, informative, DPIA). La FRIA dell'AI Act puo' poggiare sulla DPIA gia' svolta.

Arriva pronto ad agosto 2026

Registro IA, classificazione, trasparenza, policy, FRIA e formazione: tutto in una piattaforma.

Inizia gratis