Sei fasi, un registro che regge a un controllo.
Il nostro metodo è scritto, ripetibile e documentato. Le fasi 0, 1 e 2 sono il progetto Mappa AI e si chiudono in circa cinque settimane; le fasi 3, 4 e 5 completano il progetto Conformità AI, per un totale di sette-nove settimane; la fase 6 è il presidio.
I giorni indicati sono giorni di calendario, comprensivi dei tempi di risposta della tua struttura, non giornate di lavoro fatturate.
Perimetrazione
2-3 giorniDefiniamo quali società, quali sedi e quali funzioni rientrano nell’analisi, e stabiliamo il tuo ruolo ai sensi del regolamento: fornitore, deployer, importatore, distributore, o più di uno insieme. È il passaggio che determina tutti gli obblighi successivi, ed è quello che nei lavori fatti male viene saltato.
Scoperta
5-10 giorniÈ il cuore del lavoro. Intervistiamo un referente per ogni funzione con una griglia costruita sugli usi, non sui nomi dei prodotti: chiediamo «chi vi aiuta a scrivere le offerte», non «usate l’intelligenza artificiale». In parallelo analizziamo i servizi cloud contattati dalla rete, ricostruiamo abbonamenti e spese ricorrenti, leggiamo contratti e note di rilascio per trovare le funzioni AI incorporate in prodotti che non consideri AI.
Classificazione
4-6 giorniOgni sistema viene verificato contro la definizione dell’art. 3, contro le pratiche vietate dell’art. 5, contro gli allegati I e III per l’alto rischio e contro l’art. 50 per la trasparenza. Verifichiamo anche il caso dell’art. 25, cioè se qualcosa che fai su un sistema di terzi ti trasforma da deployer in fornitore. Ogni decisione è motivata per iscritto, e ogni caso dubbio è dichiarato tale.
Valutazione del rischio
4-8 giorniPer i sistemi ad alto rischio e per quelli borderline la valutazione è approfondita: fonti di rischio, impatto sui diritti delle persone, controlli già presenti, misure da adottare. Per i sistemi a rischio minimo la valutazione è sintetica, perché la proporzionalità è un principio del regolamento e non uno sconto.
Documentazione
5-8 giorniPrepariamo il fascicolo completo e te lo consegniamo in formato modificabile, non in PDF chiuso: è tua documentazione, devi poterla mantenere anche senza di noi.
Governance e formazione
3-5 giorniDefiniamo chi autorizza un nuovo sistema, chi tiene il registro, chi decide nei casi dubbi. Formiamo il personale con moduli differenziati per ruolo, in attuazione delle misure previste dall’art. 4, e registriamo le presenze perché la formazione va dimostrata, non dichiarata.
Presidio
continuativoRiesame trimestrale o semestrale, allerta normativa, aggiornamento dei documenti, formazione dei nuovi assunti, simulazione annuale di controllo.
Otto documenti, tutti modificabili
- Registro dei sistemi AI, consultabile e aggiornabile
- Schede di classificazione motivate, una per sistema
- Politica aziendale sull’uso dell’AI e procedure operative
- Testi di informativa ex art. 50, pronti all’uso
- Piano di alfabetizzazione e registro della formazione ex art. 4
- Relazione di sintesi per la direzione, 15-25 pagine
- Piano di adeguamento con priorità e scadenze
- Verbali delle interviste e tracciabilità delle fonti
Il calendario dell’AI Act
Le date del 2026, del 2027 e del 2028 non sono una previsione: derivano dal Regolamento (UE) 2026/1744, l’omnibus digitale sull’intelligenza artificiale, pubblicato in Gazzetta ufficiale il 24 luglio 2026 e in vigore dal 27 luglio 2026, che ha modificato l’art. 113 dell’AI Act.
| Data | Cosa si applica | Stato |
|---|---|---|
| 2 febbraio 2025 | Pratiche vietate (art. 5) e alfabetizzazione (art. 4) | applicato |
| 2 agosto 2025 | Modelli per finalità generali, governance, sanzioni | applicato |
| 2 agosto 2026 | Applicazione generale, trasparenza (art. 50) | in corso |
| 3 agosto 2026 | Avvio della vigilanza sull’art. 4 | in corso |
| 2 dicembre 2026 | Nuovi divieti su immagini intime e materiale pedopornografico | in corso |
| 2 dicembre 2027 | Sistemi ad alto rischio dell’art. 6.2 e dell’allegato III | futuro |
| 2 agosto 2028 | Sistemi ad alto rischio dell’art. 6.1 e dell’allegato I | futuro |
Questa tabella la aggiorniamo noi, con la data dell’ultima revisione in testa. Se leggi altrove date diverse, guarda quando è stata scritta la pagina.
Dove si nascondono i sistemi ad alto rischio
Manifattura
Visione artificiale per il controllo qualità, manutenzione predittiva, ottimizzazione della produzione. La maggior parte ricade nel rischio minimo, ma due situazioni vanno guardate: l’AI che è componente di sicurezza di un macchinario con marcatura CE (allegato I, dal 2 agosto 2028) e i sistemi che monitorano le prestazioni degli operatori (allegato III, dal 2 dicembre 2027).
Sanità
Supporto alla diagnosi, triage, pianificazione dei turni, scoring dei pazienti. È il settore con la maggiore concentrazione di sistemi ad alto rischio e la sovrapposizione più delicata fra AI Act, disciplina dei dispositivi medici e GDPR.
Servizi e personale
Il caso più sottovalutato. Reclutamento, selezione, assegnazione dei compiti e monitoraggio delle prestazioni sono in allegato III. La classificazione non dipende dalla dimensione dell’azienda: un sistema che ordina i candidati va guardato allo stesso modo in un’impresa di quaranta persone e in una di mille.
Credito e assicurazioni
Merito creditizio delle persone fisiche e tariffazione nelle assicurazioni vita e salute sono in allegato III. Con una particolarità italiana: la vigilanza del mercato resta a Banca d’Italia, Consob e IVASS, non ad ACN.
Pubblica amministrazione
Assistenti conversazionali per i cittadini, protocollazione automatica, supporto all’istruttoria, videosorveglianza intelligente. Oltre all’AI Act rilevano le linee guida AgID sul procurement, ancora in bozza.