Conformità al regolamento dell'UE sull'IA: cosa serve a ogni impresa prima di agosto 2026

Cosa dovrebbero preparare le imprese prima di agosto 2026

Il regolamento dell'UE sull'IA sta passando dal dibattito sulle policy alla realtà operativa. Per le imprese che sviluppano, acquistano, implementano o integrano sistemi di IA collegati all'Unione europea, la domanda non è più se la governance dell'IA sarà importante. È se l'organizzazione sia in grado di dimostrare che i propri sistemi di IA sono classificati, documentati, monitorati e gestiti in modo proporzionato al rischio che creano.

Il regolamento sull'IA è entrato in vigore il 1° agosto 2024. Le sue regole si applicano per fasi. I divieti relativi alle pratiche di IA e gli obblighi di alfabetizzazione sull'IA hanno iniziato ad applicarsi il 2 febbraio 2025. Gli obblighi relativi ai modelli di IA per finalità generali hanno iniziato ad applicarsi il 2 agosto 2025. Il regolamento è generalmente applicabile dal 2 agosto 2026, sebbene alcuni sistemi ad alto rischio, in particolare quelli integrati in prodotti regolamentati, abbiano periodi transitori più lunghi secondo il calendario di attuazione e i recenti sforzi di semplificazione.

Questa tempistica è importante perché molte organizzazioni non dispongono ancora di un inventario affidabile dei luoghi in cui viene utilizzata l'IA. Alcuni sistemi sono evidenti: chatbot rivolti ai clienti, strumenti decisionali automatizzati, piattaforme di recruiting assistite dall'IA, sistemi di rilevamento delle frodi o flussi di lavoro abilitati dall'IA in ambito medico, finanziario o lavorativo. Altri sono meno visibili: funzionalità di IA integrate nelle piattaforme SaaS, assistenti per sviluppatori, strumenti di revisione dei documenti, flussi di lavoro analitici, modelli di scoring dei clienti e automazione interna.

Un'organizzazione non può gestire la preparazione al regolamento sull'IA se non sa quali sistemi di IA utilizza, cosa fanno tali sistemi, quali dati trattano e se incidono sulle persone in modi che la normativa considera a rischio più elevato.

L'approccio basato sul rischio

Il regolamento dell'UE sull'IA adotta un quadro basato sul rischio. È utile perché riconosce che non tutti i sistemi di IA meritano lo stesso livello di controllo. Un filtro antispam non è la stessa cosa di un sistema di IA utilizzato nelle assunzioni, nell'istruzione, nelle attività di contrasto, nelle infrastrutture critiche, nell'assistenza sanitaria o nell'accesso a servizi essenziali.

In termini generali, il quadro suddivide i sistemi di IA in diverse categorie:

• Rischio inaccettabile: Alcune pratiche sono vietate, tra cui determinate forme di social scoring, manipolazione dannosa, sfruttamento di gruppi vulnerabili e altri utilizzi che il regolamento considera incompatibili con i diritti fondamentali e la sicurezza pubblica.
• Rischio elevato: I sistemi utilizzati in contesti sensibili possono essere soggetti a obblighi estesi in materia di gestione del rischio, governance dei dati, documentazione tecnica, registrazione degli eventi, trasparenza, supervisione umana, accuratezza, robustezza e cybersicurezza.
• Rischio limitato: I sistemi come i chatbot e alcuni strumenti per contenuti sintetici possono far scattare obblighi di trasparenza, tra cui informare gli utenti quando interagiscono con l'IA o quando un contenuto è generato o manipolato artificialmente.
• Rischio minimo: Molti sistemi di IA di uso quotidiano non sono soggetti a obblighi specifici previsti dal regolamento sull'IA, oltre alle altre leggi applicabili e alle normali aspettative di utilizzo responsabile.

La conclusione pratica è che la classificazione viene prima di tutto. Prima che un'impresa possa decidere quali controlli creare, deve capire in quale categoria rientra ciascun sistema di IA e quale ruolo svolge l'azienda. È il fornitore? Il deployer? Un importatore, distributore, fabbricante del prodotto o integratore a valle? Queste distinzioni incidono sugli obblighi.

È nell'IA ad alto rischio che il lavoro operativo diventa serio

I sistemi di IA ad alto rischio sono l'area su cui molte imprese devono concentrarsi. Possono includere l'IA utilizzata nelle decisioni in materia di lavoro, nell'accesso all'istruzione, nelle infrastrutture critiche, nell'identificazione biometrica, nelle attività di contrasto, nella migrazione e nei controlli alle frontiere, nell'amministrazione della giustizia e nell'accesso a servizi essenziali privati o pubblici, a seconda dello specifico caso d'uso e delle regole di classificazione.

Per i sistemi ad alto rischio, il regolamento sull'IA non chiede alle organizzazioni di limitarsi a pubblicare una policy. Si aspetta un modello di conformità e governance funzionante. Questo può includere gestione del rischio, governance dei dati, documentazione tecnica, registrazione degli eventi, trasparenza, supervisione umana, accuratezza, robustezza, cybersicurezza e monitoraggio post-commercializzazione.

Questo lavoro non è solo burocrazia legale. Ha conseguenze tecniche. I sistemi potrebbero necessitare di registri di audit migliori. Le pipeline di dati potrebbero richiedere controlli di provenienza più solidi. I flussi di revisione umana potrebbero dover essere riprogettati. Le prestazioni dei modelli potrebbero dover essere monitorate. I contratti con i fornitori potrebbero richiedere maggiori dettagli. La documentazione potrebbe dover spiegare capacità, limitazioni, uso previsto e rischi noti del sistema.

In altre parole, la conformità al regolamento sull'IA coinvolge architettura, progettazione del prodotto, approvvigionamento, governance dei dati, sicurezza, operazioni ed esperienza utente.

Agosto 2026 non è il momento di iniziare

È facile considerare agosto 2026 come una scadenza futura. È l'istinto sbagliato. Anche quando specifici obblighi hanno tempistiche graduali, il lavoro necessario per prepararsi non è trascurabile.

Le imprese hanno bisogno di tempo per identificare i sistemi di IA, classificare il rischio, valutare le dipendenze dai fornitori, documentare l'uso previsto, esaminare le fonti dei dati, valutare la supervisione umana, aggiornare i processi di approvvigionamento, creare organi di governance e implementare il monitoraggio. Le organizzazioni più grandi devono inoltre coordinarsi tra i team legale, sicurezza, prodotto, ingegneria, dati, conformità, approvvigionamento, risorse umane e business.

Le aziende che aspettano che la scadenza sia vicina probabilmente scopriranno che il loro vero problema non è l'assenza di una policy, ma la mancanza di visibilità operativa.

Potrebbero non sapere quali funzionalità di IA sono integrate nelle piattaforme dei fornitori. Potrebbero non sapere se un flusso di lavoro interno è passato dal supporto alle decisioni umane all'influenza automatizzata sulle decisioni. Potrebbero non sapere se un modello viene utilizzato in un contesto ad alto rischio. Potrebbero non disporre di registri di audit, documentazione o procedure di revisione umana adeguati al ruolo svolto dal sistema di IA.

Per questo, il primo passo di solito non è la remediation, ma l'inventario.

Cosa dovrebbero fare ora le imprese

Un'iniziativa pratica di preparazione dovrebbe iniziare con un quadro chiaro dell'ambiente di IA. Questo non significa che ogni sistema necessiti di un programma di conformità massiccio. Significa che l'organizzazione dovrebbe sapere cosa esiste prima di decidere quale livello di governance sia appropriato.

• Creare un inventario dell'IA: Identificare gli strumenti interni, i sistemi rivolti ai clienti, le funzionalità di IA integrate nei SaaS, le capacità di IA fornite dai vendor, gli strumenti per sviluppatori, i sistemi di analisi e i flussi di lavoro decisionali automatizzati.
• Classificare i sistemi in base al rischio: Determinare quali sistemi possano rientrare nelle categorie di rischio inaccettabile, alto, limitato o minimo.
• Mappare i ruoli organizzativi: Determinare se, per ciascun sistema, l'azienda agisce in qualità di fornitore, deployer, importatore, distributore o integratore a valle.
• Individuare i potenziali sistemi ad alto rischio:Presta particolare attenzione all’IA utilizzata nell’occupazione, nell’istruzione, nei servizi essenziali, nelle infrastrutture critiche, nei prodotti sensibili per la sicurezza, nell’assistenza sanitaria, nell’accesso ai servizi finanziari o in altri contesti regolamentati.
• Esamina la governance dei dati:Comprendi le fonti dei dati di addestramento, convalida, test, input e operativi, inclusi qualità, provenienza, accesso e conservazione.
• Valuta la supervisione umana:Determina dove le persone esaminano gli output, annullano le decisioni, gestiscono le escalation e rimangono responsabili dei risultati.
• Migliora la documentazione:Documenta l’uso previsto, i limiti del sistema, i controlli dei rischi, le procedure di monitoraggio, le dipendenze dai fornitori e i processi di gestione delle modifiche.
• Integra il monitoraggio nelle operazioni:Monitora le prestazioni, gli errori, il drift, il comportamento degli utenti, gli incidenti e i cambiamenti nel modo in cui i sistemi vengono utilizzati nel tempo.

Nulla di tutto questo deve iniziare come un enorme progetto di trasformazione aziendale. Ma deve iniziare. La governance dell’IA è molto più difficile da introdurre a posteriori, dopo che i sistemi si sono già diffusi in tutta l’organizzazione.

L’IA dei fornitori crea un problema di conformità nascosto

Molte aziende non sviluppano internamente ogni sistema di IA. Acquistano piattaforme SaaS con funzionalità di IA, integrano API di modelli fondazionali, utilizzano assistenti per la produttività, adottano strumenti per sviluppatori e abilitano funzionalità di IA all’interno di sistemi che facevano già parte dell’azienda.

Questo crea un problema di governance facile da non notare. Un’azienda potrebbe non considerarsi un fornitore di IA, ma potrebbe comunque essere un utilizzatore di sistemi di IA. Potrebbe fare affidamento sulla documentazione del fornitore, ma dover comunque comprendere come il sistema viene utilizzato nei propri flussi di lavoro. Potrebbe ritenere che il fornitore sia responsabile del comportamento del modello, ma rimanere comunque responsabile del modo in cui lo strumento influisce su dipendenti, clienti, candidati o utenti.

Gli uffici acquisti e la gestione dei fornitori devono mettersi al passo. Le aziende dovrebbero chiedere ai fornitori informazioni sull’uso dei dati, sulla documentazione del modello, sulla classificazione dei rischi, sulla registrazione degli eventi, sulla trasparenza, sulla supervisione umana, sulla conservazione, sulla sicurezza, sui subappaltatori e sul supporto agli obblighi previsti dall’AI Act. Queste domande devono rientrare nelle decisioni di acquisto, non soltanto nella revisione legale successiva all’adozione.

La conformità non dovrebbe trasformarsi in una messinscena di caselle da spuntare

L’AI Act creerà documentazione burocratica. È inevitabile. Ma le organizzazioni dovrebbero evitare di ridurre la governance dell’IA a un esercizio di documentazione.

Una politica ben redatta non dimostra che un sistema di IA sia sicuro, equo, spiegabile, monitorato o appropriato per il caso d’uso. Un registro dei rischi non serve se nessuno lo esamina. Un processo con supervisione umana non significa molto se il revisore umano non dispone del contesto, dell’autorità o del tempo necessari. Una scheda del modello non è sufficiente se il sistema viene utilizzato al di fuori dello scopo previsto.

Una buona governance dell’IA collega la politica alle operazioni. Offre ai team un modo per classificare il rischio, prendere decisioni di progettazione, monitorare il comportamento, rispondere agli incidenti e apportare modifiche quando un sistema cambia. Offre inoltre alla leadership visibilità sui punti in cui l’IA sta creando valore aziendale e su quelli in cui sta creando rischio.

Come Ridiculous Engineering considera la preparazione all’AI Act

Presso Ridiculous Engineering, affrontiamo la governance dell’IA come un problema sia di conformità sia di implementazione. L’interpretazione giuridica è importante e le organizzazioni dovrebbero collaborare con consulenti qualificati sugli obblighi normativi. Tuttavia, molti dei problemi più difficili sono operativi e tecnici: inventario, flusso dei dati, documentazione, progettazione dei sistemi, integrazione dei fornitori, monitoraggio, verificabilità e supervisione umana.

È qui che ingegneria e governance devono incontrarsi. Se un sistema di IA tratta dati sensibili, influenza decisioni o diventa parte di un flusso di lavoro aziendale critico, il modello di conformità deve riflettersi nell’architettura del sistema. Registrazione degli eventi, controlli di accesso, percorsi di escalation, documentazione, monitoraggio e processi di revisione non possono essere elementi aggiunti in un secondo momento.

Aiutiamo le organizzazioni a esaminare questo livello pratico. Quali sistemi di IA sono in uso? Quali flussi di lavoro comportano un rischio maggiore? Dove vengono trasferiti i dati? Quali sistemi dipendono da modelli di terze parti o da funzionalità di IA dei fornitori? Quale documentazione esiste? Che cosa sarebbe difficile dimostrare in un audit o nella revisione da parte di un cliente? Quali miglioramenti dovrebbero essere realizzati per primi?

Per alcuni team, il primo passo utile è un inventario leggero dell’IA e un esercizio di classificazione dei rischi. Per altri, potrebbe trattarsi della due diligence sui fornitori, della progettazione dei flussi di governance, della documentazione tecnica o della pianificazione degli interventi correttivi per i sistemi che probabilmente rientreranno in una categoria ad alto rischio.

La fiducia sta diventando parte del prodotto

L’AI Act dell’UE è uno dei segnali più chiari del fatto che i sistemi di IA stanno entrando in una fase più matura. La domanda iniziale era: “Possiamo usare l’IA?” La domanda successiva è: “Possiamo usarla in modo responsabile, dimostrare come funziona e continuare a gestirla dopo il lancio?”

Le aziende che considerano la conformità una casella da spuntare all’ultimo momento incontreranno difficoltà. Potranno produrre documenti, ma faranno più fatica a dimostrare che la governance raggiunge effettivamente i sistemi, i flussi di lavoro, i fornitori e le decisioni in cui l’IA viene utilizzata.

La strada migliore consiste nell’integrare ora la governance nel modello operativo. Inventaria i sistemi. Classifica il rischio. Comprendi i dati. Mappa le responsabilità. Documenta l’uso previsto. Progetta una supervisione umana dove conta. Monitora il comportamento dopo la distribuzione.

Se la tua organizzazione ha bisogno di assistenza nella preparazione ai requisiti di governance dell’IA, nella valutazione dei sistemi di IA o nella trasformazione delle aspettative normative in controlli tecnici e operativi concreti, Ridiculous Engineering può aiutarti. Collaboriamo con i clienti per collegare gli obiettivi di conformità all’architettura, ai flussi di lavoro e alla documentazione necessari per sostenerli.

La fiducia non è uno slogan nell’IA. Sta diventando parte del prodotto. Le organizzazioni che lo comprendono per tempo saranno in una posizione migliore rispetto a quelle che cercheranno di introdurre la fiducia a posteriori, quando il sistema è già sul campo.

Fonti e ulteriori letture: Commissione europea: quadro normativo e calendario dell’AI Act, AI Act dell’UE: regole di classificazione dell’articolo 6 per i sistemi di IA ad alto rischio, Cloud Security Alliance: preparazione alla scadenza per la conformità all’AI Act dell’UE per i sistemi ad alto rischio, Baker McKenzie: regolamento dell’UE sull’IA, Bird & Bird: guida all’Artificial Intelligence Act dell’Unione europea