AGGIORNAMENTO (luglio 2026): questo calendario e' cambiato
Il pacchetto Digital Omnibus, adottato dal Parlamento il 16 giugno 2026 e dal Consiglio il 29 giugno 2026, ha rinviato gli obblighi per i sistemi ad alto rischio: 2 dicembre 2027 per l'Allegato III (sistemi stand-alone) e 2 agosto 2028 per l'Allegato I (IA incorporata in prodotti regolamentati). Il 2 agosto 2026 restano confermati gli obblighi di trasparenza dell'art. 50. Il testo che segue e' quello pubblicato prima della modifica e viene mantenuto per continuita' documentale.
Deadline 2 agosto 2026
Dal 2 agosto 2026 si applicano gli obblighi degli articoli 26 e 27 dell'AI Act per i deployer (utilizzatori) di sistemi di IA ad alto rischio. Se il tuo cliente usa sistemi di IA per recruiting, scoring creditizio, gestione delle risorse umane, biometria, valutazione studenti, o servizi pubblici critici, hai meno di 3 mesi per implementare il framework di compliance. Il DPO e' chiamato in causa direttamente.
Cosa cambia il 2 agosto 2026
L'AI Act (Regolamento UE 2024/1689) e' entrato in vigore il 1 agosto 2024 con un'applicazione graduale. Dal 2 febbraio 2025 sono gia' in vigore i divieti per le pratiche di IA proibite. Dal 2 agosto 2025 si applicano le regole per i fornitori di modelli GPAI. Dal 2 agosto 2026 si applicano gli obblighi per i deployer di sistemi ad alto rischio (Allegato III).
I deployer sono le persone fisiche o giuridiche che usano un sistema di IA sotto la propria autorita'. Esempi: l'azienda che usa un software di screening CV con IA, la banca che usa un algoritmo di credit scoring, l'ospedale che usa un sistema di triage automatico. Non e' il sviluppatore del sistema (provider), ma chi lo mette in uso.
Le 8 categorie di sistemi ad alto rischio (Allegato III)
- Biometria (identificazione, categorizzazione, riconoscimento emozioni)
- Infrastrutture critiche (gestione traffico, fornitura acqua/gas/elettricita')
- Istruzione e formazione (ammissione, valutazione, monitoraggio)
- Occupazione, gestione lavoratori, accesso al lavoro autonomo (recruiting, promotion, task allocation, monitoraggio)
- Accesso a servizi essenziali privati/pubblici (credit scoring, assicurazione vita/salute, emergenza)
- Forze dell'ordine (rischio criminalita', poligrafi, valutazione affidabilita' prove)
- Migrazione, asilo, controllo frontiere
- Amministrazione della giustizia e processi democratici
Gli obblighi del deployer (art. 26)
L'art. 26 elenca 12 obblighi per il deployer. Per il DPO ne contano almeno 6 che si sovrappongono o integrano gli obblighi GDPR:
- Uso conforme alle istruzioni del provider (art. 26.1): documentare per iscritto che si usa il sistema cosi' come e' stato progettato
- Supervisione umana competente (art. 26.2): la persona designata deve avere formazione e autorita' effettive sul sistema
- Monitoraggio del funzionamento (art. 26.5): log degli output del sistema per almeno 6 mesi (sovrapposizione con art. 32 GDPR)
- Informativa ai lavoratori (art. 26.7): se il sistema impatta i lavoratori, devono essere informati prima dell'uso (integra art. 13 GDPR + art. 4 Statuto Lavoratori)
- Informativa agli interessati (art. 26.11): le persone soggette a decisioni del sistema IA devono essere informate (integra art. 22 GDPR sul processo decisionale automatizzato)
- Valutazione di impatto sui diritti fondamentali (FRIA) (art. 27): obbligatoria per deployer pubblici e per categorie specifiche di rischio. Si integra con la DPIA GDPR
FRIA vs DPIA: confusione comune
La FRIA (Fundamental Rights Impact Assessment, art. 27 AI Act) NON sostituisce la DPIA (art. 35 GDPR). Sono valutazioni diverse con focus diversi: la DPIA valuta i rischi sul trattamento dati personali, la FRIA valuta i rischi sui diritti fondamentali (dignita', non discriminazione, accesso ai servizi pubblici, vita privata). Per i sistemi che trattano dati personali, vanno fatte ENTRAMBE, ma il documento puo' essere unificato se ben strutturato. L'EDPB ha annunciato linee guida unificate per il Q3 2026.
Il ruolo del DPO: 5 azioni concrete entro luglio 2026
- Inventario dei sistemi IA usati dai tuoi clienti: chiedi a ogni cliente di compilare un questionario sui sistemi IA in uso (incluso il legacy non documentato come 'IA')
- Classificazione del rischio: per ciascun sistema, valuta se ricade nell'Allegato III. Documenta la valutazione (anche quelli a basso rischio vanno tracciati)
- Mappa contrattuale provider-deployer: per ogni sistema, identifica il provider (chi lo ha sviluppato/distribuito) e ottieni la documentazione tecnica art. 13
- Aggiorna i Registri art. 30 GDPR: i trattamenti che usano IA vanno annotati con il riferimento al sistema, alla logica e alle conseguenze
- Prepara il template FRIA: l'EDPB ha pubblicato in marzo un template (allegato alle linee guida 02/2026). Adattalo al settore del tuo cliente
Le sanzioni: piu' alte del GDPR
L'art. 99 AI Act prevede sanzioni massime fino a 35 milioni di euro o al 7% del fatturato annuo mondiale (il maggiore dei due) per violazioni delle pratiche proibite, e fino a 15 milioni / 3% per violazioni degli obblighi del deployer. Sono superiori al massimo GDPR (20M / 4%).
Spunto pratico
Se sei DPO di un'azienda con piu' di 100 dipendenti, e' molto probabile che almeno un sistema IA in HR (screening CV, performance management, monitoraggio produttivita') ricada nell'Allegato III. Inizia da li. Chiedi al responsabile HR: 'usiamo qualche software con IA nelle assunzioni o nelle valutazioni?' Se la risposta non e' chiara, hai gia' un problema.
Risorse aggiuntive
Fonte ufficiale:AI Act - Regolamento UE 2024/1689 testo consolidatoFonte ufficiale:Commissione UE - AI Act timeline applicazioneFonte ufficiale:EDPB - Linee guida 02/2026 su DPIA e FRIA integrateStai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
