Compliance AI

Di cosa si tratta

Il quadro si regge su due testi. L’AI Act (Regolamento UE 2024/1689) si applica in modo graduale e con un approccio basato sul rischio. La Legge 132/2025, in vigore dal 10 ottobre 2025, lo integra su lavoro, professioni, sanità, minori, deepfake e diritto d’autore.

La maggior parte delle imprese è deployer, cioè utilizzatore, e ha comunque obblighi: alfabetizzazione del personale, divieto delle pratiche vietate, trasparenza verso clienti e utenti. Chi modifica in modo sostanziale un sistema o lo commercializza con il proprio marchio può diventare a sua volta fornitore.

Come lavoriamo

1. 01
   Inventario

   Mappiamo gli strumenti AI usati in azienda, anche quelli non ufficiali (“shadow AI”), con finalità, dati trattati e reparti coinvolti.

2. 02
   Ruolo e classificazione del rischio

   Per ogni sistema stabiliamo se sei fornitore o deployer e il livello di rischio: vietato, alto, limitato, minimo.

3. 03
   Policy di utilizzo

   Regole chiare su strumenti ammessi, dati che si possono inserire, verifica degli output e responsabilità.

4. 04
   Lavoratori e clienti

   Informativa ai lavoratori sull’uso di sistemi AI prevista dalla L. 132/2025, trasparenza verso i clienti, aggiornamento di informative privacy e DPIA.

5. 05
   Fornitori AI

   Valutazione dei fornitori di soluzioni AI e clausole su dati, sicurezza, localizzazione e responsabilità.

6. 06
   Alto rischio e FRIA

   Per i sistemi ad alto rischio: uso secondo le istruzioni, sorveglianza umana, conservazione dei log e, nei casi previsti, valutazione d’impatto sui diritti fondamentali.

L’ordine non è casuale. Senza inventario non si sa cosa classificare, senza classificazione non si scrive una policy sensata, senza policy la formazione resta generica. Per questo partiamo sempre dalla mappa degli strumenti.

Cosa ricevi

• Il registro dei sistemi AI con ruolo, livello di rischio e responsabile interno.
• La policy aziendale sull’uso dell’intelligenza artificiale.
• L’informativa ai lavoratori e i testi di trasparenza per clienti e utenti.
• Le informative privacy e le DPIA aggiornate dove serve.
• Questionari e clausole per i fornitori di soluzioni AI.
• Per i sistemi ad alto rischio, la FRIA e le procedure di sorveglianza umana.
• Il percorso di alfabetizzazione AI con attestazione.

Il registro dei sistemi AI si aggiorna quando entra un nuovo strumento o cambia l’uso di uno esistente. Definiamo chi lo tiene e come si autorizza un nuovo strumento.

AI e cybersicurezza insieme

Gli strumenti di AI generativa introducono rischi nuovi: fuga di dati verso servizi esterni, prompt injection, uso non controllato da parte dei dipendenti, dipendenza da fornitori extra-UE. Per i soggetti NIS2 vanno inclusi nell’analisi dei rischi e nella gestione dei fornitori.

In Italia l’ACN è autorità di vigilanza sia per la NIS2 sia per l’AI, insieme ad AgID. Per questo usiamo un unico sistema di gestione: un inventario, una valutazione dei rischi, un set di policy, una formazione integrata.

In pratica, gli strumenti AI entrano nel registro degli asset, i fornitori AI nel processo di valutazione dei fornitori, i rischi AI nell’analisi dei rischi, gli incidenti legati all’AI nella procedura di gestione degli incidenti.

Cosa ti serve per partire

• L’elenco degli strumenti AI che sai di usare, con licenze e abbonamenti attivi.
• I software aziendali che hanno integrato funzioni di AI: gestionali, CRM, strumenti per la selezione del personale.
• Eventuali regole già date al personale sull’uso dei chatbot.
• Informative privacy, registro dei trattamenti e DPIA esistenti.
• I contratti con i fornitori di soluzioni AI.

Per gli strumenti non ufficiali usiamo un breve questionario al personale. È il modo più rapido per scoprire cosa si usa davvero e per cosa.

Chi coinvolgiamo in azienda

• Direzione: decide quali strumenti ammettere e approva la policy.
• IT e sicurezza: configurazioni, accessi, dati, inserimento dei rischi AI nell’analisi dei rischi.
• Risorse umane: informativa ai lavoratori, uso dell’AI nella gestione del personale, formazione.
• Legale e DPO: trasparenza, informative, DPIA, contratti con i fornitori.
• Responsabili di reparto: sanno quali strumenti si usano davvero e per quali attività.

Gli errori più comuni

• Pensare che l’AI Act riguardi solo chi sviluppa sistemi: anche il deployer ha obblighi.
• Vietare tutto senza alternative, spingendo il personale verso strumenti non controllati.
• Inserire dati personali o riservati in servizi esterni senza sapere dove finiscono.
• Usare l’AI nella selezione del personale senza considerare che è un ambito ad alto rischio.
• Dimenticare l’informativa ai lavoratori prevista dalla L. 132/2025.
• Personalizzare in modo sostanziale un sistema, o venderlo con il proprio marchio, senza valutare se si diventa fornitore.

Per chi è

Per qualunque impresa che usi strumenti di AI, anche fuori perimetro NIS2. In particolare per chi usa l’AI nella selezione e gestione del personale, nella valutazione del merito creditizio o in altri ambiti che l’AI Act considera ad alto rischio, e per gli studi professionali che devono informare i clienti dell’uso dell’AI.

Il servizio vale anche per chi è fuori perimetro NIS2: gli obblighi dell’AI Act e della Legge 132/2025 dipendono dall’uso dell’AI, non dalla NIS2.

Domande frequenti