Un'azienda che usa l'intelligenza artificiale senza svilupparla deve fare sette cose: censire dove l'AI è già in uso, classificare ogni uso per rischio, sistemare gli avvisi di trasparenza, formare e documentare, verificare i contratti con i fornitori, conservare i registri, e rivedere il tutto a ogni cambiamento. Sotto trovate ciascun passaggio con i criteri per dire che è concluso.
La checklist vale per chi è utilizzatore, cioè la quasi totalità delle PMI. Chi sviluppa e immette sistemi sul mercato ha un percorso diverso e più lungo, descritto in provider o deployer. Se vi serve prima il quadro generale, leggete la guida all'AI Act per le PMI.
1 · Censire
Serve un elenco di ogni sistema di AI attivo in azienda, con quattro informazioni per ciascuno: chi lo fornisce, chi lo usa, a cosa serve, quali dati riceve in ingresso.
Non fermatevi ai progetti ufficiali. Cercate:
- gli abbonamenti individuali sottoscritti dalle singole persone
- le funzioni di AI già incluse nel gestionale, nel CRM, nella posta
- i plugin e le estensioni installate nei browser aziendali
- gli strumenti usati dalle agenzie esterne per conto vostro
Concluso quando: ogni voce ha un responsabile interno con nome e cognome.
2 · Classificare per rischio
Per ogni voce dell'inventario, la domanda è a cosa serve, non cosa sia tecnicamente.
- Vietato. Riconoscimento delle emozioni su dipendenti o studenti, punteggio sociale, categorizzazione biometrica su caratteristiche sensibili. Se trovate qualcosa qui, si spegne subito. L'elenco completo è in pratiche vietate e sanzioni.
- Alto rischio. Selezione del personale, valutazione del merito creditizio, accesso a servizi essenziali, istruzione, giustizia, infrastrutture critiche. Obblighi dal 2 dicembre 2027.
- Rischio limitato. Chatbot, generazione di contenuti, riconoscimento emozioni in contesti ammessi. Obblighi di trasparenza già in vigore.
- Rischio minimo. Tutto il resto.
Concluso quando: ogni voce ha una classe assegnata e una riga che spiega perché.
3 · Sistemare la trasparenza
Gli obblighi dell'articolo 50 sono in vigore dal 2 agosto 2026.
- Il chatbot dichiara di essere un sistema automatico, in modo visibile prima dell'interazione. Non basta una riga nelle condizioni d'uso.
- I contenuti generati o manipolati sono etichettati come tali, testi immagini audio e video.
- Chi è sottoposto a riconoscimento delle emozioni o categorizzazione biometrica viene informato.
- La marcatura tecnica leggibile dalle macchine, per i sistemi già sul mercato al 2 agosto 2026, si applica dal 2 dicembre 2026.
Concluso quando: una persona esterna che apre il sito capisce, senza cercare, quando sta parlando con una macchina.
4 · Formare e documentare
L'articolo 4 obbliga dal 2 febbraio 2025 ad adottare misure a sostegno dell'alfabetizzazione AI di chi usa questi sistemi.
Non è richiesto un attestato. È richiesto poter dimostrare che le persone sanno cosa fa lo strumento, quali limiti ha e come si riconosce un risultato sbagliato.
Serve un registro con: chi ha ricevuto la formazione, su cosa, quando, con quale materiale.
Concluso quando: esiste il registro ed è aggiornato all'ultimo assunto.
5 · Verificare i contratti
Il fornitore ha obblighi verso di voi. Deve consegnare istruzioni d'uso adeguate, informazioni su prestazioni e limiti, indicazioni sulla sorveglianza umana necessaria.
Nei contratti conviene mettere per iscritto:
- chi è fornitore e chi utilizzatore, esplicitamente
- quali informazioni il fornitore si impegna a dare
- cosa succede se il sistema viene aggiornato in modo sostanziale
Attenzione al punto che sposta il ruolo: se rivendete con il vostro marchio, modificate sostanzialmente il sistema o ne cambiate la finalità, diventate fornitori e vi assumete tutti gli obblighi relativi.
Concluso quando: per ogni fornitore avete un documento che dice chi risponde di cosa.
6 · Conservare i registri
Per i sistemi ad alto rischio, i registri generati automaticamente vanno conservati per il periodo previsto.
Per tutti gli altri conviene tenere comunque traccia delle decisioni prese: perché avete classificato un sistema in un certo modo, chi ha approvato, quando. In caso di controllo, la documentazione del ragionamento vale quanto la conformità sostanziale.
Dove il sistema tratta dati personali, questo lavoro si incrocia con il registro dei trattamenti: il rapporto fra le due normative è in AI Act e GDPR.
Concluso quando: sapete dove sono i registri e chi li conserva.
7 · Rivedere
L'inventario invecchia in fretta. Ogni nuovo strumento, ogni aggiornamento del gestionale, ogni cambio di finalità d'uso può spostare la classificazione.
Fissate una revisione trimestrale e una straordinaria a ogni introduzione di un sistema nuovo.
Concluso quando: la revisione è a calendario con un responsabile.
Le tre scadenze da tenere sotto controllo
| Data | Cosa scatta |
|---|---|
| già in vigore | divieti, alfabetizzazione, trasparenza |
| 2 dicembre 2026 | marcatura tecnica per i sistemi preesistenti, due nuovi divieti |
| 2 dicembre 2027 | sistemi ad alto rischio dell'allegato III |
| 2 agosto 2028 | alto rischio integrato in prodotti regolamentati |
Quanto tempo serve davvero
Per un'azienda che usa l'AI senza svilupparla, i passaggi dall'uno al quattro si chiudono in due o tre giornate di lavoro, distribuite su qualche settimana per raccogliere le informazioni.
Il quinto passaggio dipende dai fornitori e dai loro tempi di risposta. Il sesto e il settimo sono manutenzione continua, poche ore a trimestre.
Chi rientra nell'alto rischio è su un altro ordine di grandezza: la valutazione di conformità, il sistema di gestione dei rischi e la documentazione tecnica richiedono almeno dodici mesi. Con la scadenza al 2 dicembre 2027, il momento per cominciare è adesso.
Fonti
- Regolamento (UE) 2024/1689, articoli 4, 5, 25, 26, 50, 99 e allegato III
- Digital Omnibus, in vigore dal 27 luglio 2026
- Commissione europea, linee guida sulle pratiche vietate
- EUR-Lex, testo integrale del regolamento
Ultimo aggiornamento: 25 agosto 2026. Questa checklist non sostituisce una valutazione legale sul caso concreto.