Siete in sala riunioni. I risultati trimestrali sembrano buoni. Ma poi un legale parla:

"Dobbiamo parlare degli strumenti di IA nelle operazioni. Il nuovo regolamento dell'UE entrerà in vigore l'anno prossimo e al momento non sappiamo nemmeno cosa stiamo usando".

Vi suona familiare?

L'EU AI Act non è un problema futuro. È il prossimo GDPR, solo che questa volta non si tratta di privacy, ma di controllo.

Controllo su quali sistemi di intelligenza artificiale costruire, acquistare o incorporare. Controllo su chi è responsabile quando qualcosa va storto. E il controllo su come documentare, monitorare e dimostrare che si stanno rispettando le regole.

Proprio come il GDPR ha costretto le aziende a ripensare i dati, questa legge vi costringerà a ripensare il modo in cui vengono prese le decisioni relative all'IA, a livello di IT, legale, operativo, di prodotto e di consiglio di amministrazione.

Ma c'è una buona notizia: se agite per tempo, non eviterete solo le multe. Otterrete chiarezza operativa, allineamento dei rischi e persino la fiducia del mercato.

A cosa si applica effettivamente la legge

Una startup tedesca del settore medicale lancia una funzione AI per la diagnostica. È solo una parte del prodotto, fino a quando non viene segnalata come ad alto rischio ai sensi della legge sull'IA dell'UE.

Ora ci si aspetta che il fondatore mostri i controlli del rischio, la registrazione, la supervisione e la documentazione di conformità... velocemente.

Questa è la realtà. L'AI Act non riguarda il software. Si tratta di responsabilità.cosa fa il sistema e quale ruolo ricopre nell'utilizzo o nella distribuzione.

⚖️ Quattro livelli di rischio

Inaccettabile
Completamente vietato. Copre il social scoring, il riconoscimento facciale in pubblico, il rilevamento delle emozioni sul lavoro e altro ancora.

Ad alto rischio
Consentito con controlli rigorosi. Si pensi alla diagnostica medica, agli strumenti di assunzione, allo scoring finanziario.

Rischio di trasparenza
Potete usarla, ma gli utenti devono essere informati che stanno interagendo con l'IA. Si applica ai chatbot, ai media sintetici, ecc.

Rischio minimo
Nessun obbligo. Si applica a sistemi a basso impatto come i filtri antispam o i controllori grammaticali abilitati dall'intelligenza artificiale.

🧩 Quattro ruoli, quattro serie di doveri

Fornitore
Avete costruito o venduto il sistema. Siete responsabili della conformità, della documentazione, dei controlli del rischio e del monitoraggio post-vendita.

Esempio: Un'azienda francese che offre uno strumento di assunzione basato sull'intelligenza artificiale in tutta Europa.

Distributore
Utilizzate il sistema nelle vostre operazioni. Dovete garantire la supervisione, la trasparenza e i controlli interni.

Esempio: Un rivenditore che utilizza un chatbot AI per automatizzare il servizio clienti.

Importatore
Portate l'IA non UE nell'UE. È necessario verificare la conformità del fornitore prima dell'ingresso nel mercato.

Esempio: Un'azienda olandese importa un modello analitico statunitense per gli ospedali locali.

Distributore
Offrite strumenti di IA ad altri. Se scoprite un problema di conformità, dovete agire.

Esempio: Un fornitore IT che vende ai clienti soluzioni di intelligenza artificiale di terzi.

La tua prima mossa?
Mappate tutti gli strumenti di IA toccati dalla vostra azienda. Identificate il ruolo che svolgete in ognuno di essi e identificate il livello di rischio.
È così che inizia la conformità.

La vostra timeline in parole povere

Considerate la tempistica dell'EU AI Act come un programma di progetto, non solo come un conto alla rovescia legale. Prima ci si muove, più è facile controllare il risultato. Se ritardate troppo, reagirete sotto pressione.

Ecco cosa conta e quando:

📅 Agosto 2024

La legge è in vigore. Siete già in tempo, anche se alcune disposizioni non sono ancora entrate in vigore.

📅 Febbraio 2025

Le disposizioni generali iniziali iniziano ad essere applicate. Questo è il momento giusto per valutare quanto siete esposti alle GPAI, soprattutto se vi affidate a modelli esterni di grandi dimensioni.

📅 Agosto 2025

Entrano in vigore le norme specifiche per le GPAI. Ciò significa obblighi di trasparenza, garanzie di copyright e condivisione obbligatoria delle informazioni con gli utenti a valle.
Se utilizzate strumenti come OpenAI, Claude o LLM open-source, questo vale anche per voi.

📅 Agosto 2026

La maggior parte dei requisiti fondamentali diventa esecutiva, soprattutto per i sistemi ad alto rischio. È necessario predisporre una governance: classificazione del rischio, documentazione, supervisione umana, registrazione e monitoraggio post-vendita.

📅 Agosto 2027

È prevista l'introduzione completa, comprese le nuove regole per le GPAI a rischio sistemico e tutti gli standard in ritardo. A questo punto, le autorità di regolamentazione si aspettano che il vostro modello di governance dell'IA sia maturo: la preparazione non sarà più facoltativa.

Da dove cominciare

Non è necessario fare tutto in una volta, ma è necessario iniziare. Concentratevi su:

• Creare un inventario di IA
• Identificazione dei sistemi ad alto rischio
• Assegnazione di ruoli e proprietà di controllo

Ogni trimestre in cui agite in anticipo vi fa guadagnare tempo, controllo e credibilità. Se aspettate troppo, vi ritroverete a giocare a rimpiattino quando inizierà l'applicazione della legge.

Cosa è vietato e cosa è solo difficile

Una startup spagnola installa il riconoscimento facciale nelle aree pubbliche, senza rendersi conto che ora è vietato Articolo 5 della legge europea sull'intelligenza artificiale. Quando le autorità di regolamentazione intervengono, è troppo tardi.

Le multe arrivano rapidamente, così come i danni alla reputazione.

Nel frattempo, un'azienda di logistica classifica la sua IA per l'ottimizzazione dei percorsi come ad alto rischio. È complessa, certo, ma con una supervisione documentata, dati puliti e registrazioni interne, supera la pre-valutazione senza grossi problemi.

Questa è la linea di demarcazione tracciata dalla Legge.

❌ Alcuni casi d'uso dell'IA sono vietati, senza eccezioni.

• Sistemi di punteggio sociale da parte dei governi
• Riconoscimento facciale recuperato dal web
• Rilevamento delle emozioni nelle scuole o nei luoghi di lavoro
• Identificazione biometrica in tempo reale in pubblico, tranne che in condizioni molto ristrette
• Polizia predittiva basata sulla profilazione

Questi sistemi non sono rischiosi. Sono illegali. E l'applicazione della legge inizia presto.

Al contrario, i sistemi ad alto rischio sono consentiti, ma regolamentati. Strumenti come i software di screening dei CV, le piattaforme di test educativi, la diagnostica medica e l'intelligenza artificiale per la valutazione del credito rientrano in questa categoria.

Questi sistemi devono soddisfare requisiti rigorosi, tra cui:

• Gestione del rischio documentata
• Supervisione umana nel ciclo
• Dati di formazione di alta qualità
• Registrazione e tracciabilità
• Documentazione tecnica chiara
• Monitoraggio post-market in corso

Una categoria richiede un arresto completo. L'altra richiede una maturità operativa.

Per rispettare le norme ad alto rischio non serve la perfezione, ma servono proprietà, struttura e processo. Iniziate presto, procedete con costanza e la conformità diventerà gestibile.

GPAI senza clamore: Cosa fare ora

L'intelligenza artificiale generica non è solo un problema di Big Tech. Se i vostri team utilizzano strumenti come ChatGPT, Claude o Gemini, siete nel mirino, e ora anche nei guai.

Ai sensi della legge UE sull'AI, Fornitori GPAI devono pubblicare sintesi dei dati di formazione, mantenere la documentazione tecnica, seguire le regole del copyright e trasmettere i dettagli chiave a valle.

Se i loro modelli presentano un "rischio sistemico", si applicano misure di salvaguardia supplementari.

Ma se siete utilizzando Questi strumenti sono stati introdotti nella vostra azienda, ma non siete esenti da responsabilità. Ci si aspetta che lo facciate:

• Confermare la conformità del fornitore
• Richiesta di documentazione: schede modello, riepiloghi dei dati, destinazione d'uso.
• Casi d'uso interni al registro
• Applicare la supervisione umana dove necessario

Il Codice di condotta GPAI (luglio 2025) vi offre un chiaro vantaggio. Utilizzatela per orientare le richieste dei fornitori e per costruire il vostro libro dei giochi interno, anche se non siete ad alto rischio.

Iniziate in modo semplice: elencate gli strumenti, i fornitori e i documenti ricevuti. Questa è la vostra base di partenza.

Quando la velocità è importante, le aziende spesso ricorrono a un responsabile ad interim della conformità all'AI per costruire queste fondamenta e allineare tutti in fretta.

Costruire l'inventario dell'IA e classificare il rischio

Immaginate di essere in una sala riunioni e qualcuno vi chiede,
"Quanti sistemi di IA stiamo gestendo e qual è il loro livello di rischio?". Se la vostra risposta inizia con una pausa, non siete i soli. Ma non siete nemmeno pronti.

Ecco come prendere il controllo, in modo rapido e chiaro.

Si inizia creando una semplice tabella con cinque colonne:
Sistema | Proprietario | Livello di rischio | Ruolo | Documentazione

I. Iniziate da ciò che è ovvio: chatbot, motori di determinazione dei prezzi, vagliatori di CV, modelli di scoring.

II. Per ognuno di essi, etichettare il livello di rischio: vietato, ad alto rischio, solo trasparenza o minimo.

III. Identificate il vostro ruolo: L'avete costruito (provider)? Lo avete utilizzato (deployer)? L'avete acquistata esternamente (importatore/distributore)?

IV. Raccogliete ciò che già avete: contratti, schede modello, documenti dei fornitori, valutazioni interne.

In poche sessioni di lavoro, la nebbia inizia a diradarsi.

Prima: Nessun inventario, ipotesi vaghe, squadre scollegate.
Dopo: 15 strumenti mappati, 3 sistemi ad alto rischio segnalati, nomi di proprietari chiari, lacune nella documentazione visibili.

È così che la preparazione inizia: non con la teoria, ma con una visione condivisa di ciò che è reale e di ciò che deve essere migliorato.

Chiarezza dei ruoli e controlli minimi che funzionano

Gestire l'IA nella vostra azienda senza ruoli definiti è come gestire una fabbrica senza capoturno. Può funzionare nei giorni migliori, ma si rompe quando le cose vanno male.

Consideratela come la vostra task force AI. Ogni squadra ha un ruolo chiaro da svolgere e, sebbene la configurazione non debba essere pesante, deve essere intenzionale.

Il Consiglio di amministrazione definisce la propensione al rischio e verifica i progressi trimestralmente. Il loro compito è quello di chiedere: "È questo il nostro momento GDPR - e lo stiamo finanziando seriamente?".

Il CIO o Chief Data Officer possiede l'inventario dell'intelligenza artificiale, la supervisione dei fornitori e i flussi di lavoro per la conformità. Sa quali modelli sono in uso e chi è responsabile per ciascuno di essi.

Prodotto e operazioni mantenere le salvaguardie umane, assicurando che i processi di ripiego e i test del mondo reale facciano parte del flusso di lavoro. La loro domanda: "Cosa succede quando l'IA si mette di traverso alle 2 di notte?".

Team di scienza dei dati e ML gestiscono la documentazione tecnica, il rilevamento della deriva dei modelli e il controllo delle versioni. Sono attenti a una preoccupazione fondamentale: "Stiamo ancora utilizzando il modello che abbiamo approvato il mese scorso?".

Legale e conformità guidano le politiche, le valutazioni e la preparazione alle revisioni. Il loro ruolo è semplice ma fondamentale: "Possiamo mostrare la documentazione - prima che ci venga richiesta?".

Qual è la pila di controlli più piccola che funziona davvero?

• Un inventario AI condiviso
• Supervisione umana definita per i sistemi ad alto rischio
• Registrazione attiva
• Un dossier tecnico in movimento
• Una lista di controllo standard per i fornitori

Mantenere la leggerezza. Mantenetelo vivo. Questo è ciò che sopravvive a un audit.

Quando ricorrere a una leadership temporanea

Quando le scadenze si accelerano o la portata va oltre le capacità del team, le aziende fanno intervenire un responsabile temporaneo della conformità all'AI - qualcuno che costruisca l'inventario, allinei i fornitori e faccia avanzare la documentazione senza trascinare i team di prodotto.

CE Interim è specializzata nel collocare questi operatori con mandati da 30 a 90 giorni - concentrati, incorporati e pronti ad eseguire.

Le multe non sono il punto: evitatele per progetto

Sì, le multe sono salate: fino a 35 milioni di euro o 7% del fatturato globale per le violazioni più gravi. Ma non è questo che dovrebbe tenervi svegli la notte.

Il rischio reale? Ritardi nelle transazioni a causa di lacune nella conformità. Prodotti bloccati al lancio. Le chiamate degli investitori deragliano per questioni di governance.

Risolvere questi problemi in un secondo momento costa di più, in termini di denaro, tempo e reputazione.

Il percorso più economico è quello di progettare la conformità fin dall'inizionon imbullonarlo a posteriori.

Piano di preparazione di 30 giorni

Siete arrivati fin qui: ecco come muovervi, in modo veloce e intelligente.

Settimana 1: Mappare il paesaggio

Costruire l'inventario dell'IA. Assegnare i proprietari. Segnalate tutto ciò che tocca dati sensibili, clienti o aree di conformità.

Punto di controllo: 80% di strumenti mappati, sono emerse bandiere rosse.

Settimana 2: Coinvolgere i fornitori

Richiedete la documentazione - schede modello, riepiloghi della formazione, dichiarazioni di conformità. Utilizzate il Codice di condotta GPAI come guida.

Punto di controllo: Raccolta dei documenti, stesura dei flussi di lavoro.

Settimana 3: Prova di pressione

Eseguire una simulazione su un caso d'uso ad alto rischio. Testate le procedure human-in-the-loop e verificate come vengono attivati i fallback e i log.

Punto di controllo: Individuate le lacune, pianificate le correzioni.

Settimana 4: Allineare la leadership

Informare il consiglio di amministrazione su rischi, lacune e richieste di budget. Presentate una chiara roadmap di 90 giorni legata agli obiettivi di prodotto e di conformità.

Punto di controllo: Piano approvato, slancio assicurato.

Quando i team sono in affanno, un responsabile del programma ad interim può gestire l'intero sprint, passare il testimone in modo pulito e uscire, lasciandosi alle spalle la struttura.

Conclusione - Dal rischio alla preparazione

Non si tratta di un'altra normativa. Si tratta di un pulsante di reset per il modo in cui le aziende gestiscono l'IA, a livello di tecnologia, prodotti, conformità e leadership.

L'AI Act non chiede la perfezione. Chiede di essere accettata. Di visibilità. Di essere pronti.

Iniziate con la mappatura di ciò che già utilizzate. Definite chi è responsabile. Mostrate come il rischio viene controllato.

Iniziare in piccolo. Mantenere la concretezza. Da lì, costruire uno slancio.
Iniziate questa settimana - e restate in vantaggio.