Checklist AI Act per PMI: inventario, ruoli e controlli

In breve

Una PMI può iniziare dall’inventario dei sistemi AI e dalle responsabilità, prima ancora di discutere la classificazione. Questa checklist organizza il lavoro operativo ma non sostituisce una valutazione legale sul singolo caso.

• 1. Creare l’inventario dei sistemi AI: Elenca strumenti acquistati, funzionalità AI incluse nei software, modelli sviluppati internamente e utilizzi non formalizzati. Per ciascuno registra finalità, proprietario operativo, fornitore, dati utilizzati, persone interessate e azioni influenzate.
• 2. Identificare ruolo e livello di rischio: Stabilisci con supporto qualificato se l’azienda agisce come fornitore, deployer, importatore o distributore. Il ruolo può cambiare tra sistemi e influenza gli obblighi applicabili.
• 3. Verificare trasparenza e controllo umano: Controlla se le persone devono essere informate che interagiscono con un sistema AI e come vengono etichettati contenuti generati o manipolati. Dal 2 agosto 2026 sono applicabili specifici obblighi di trasparenza dell’articolo 50.

1. Creare l’inventario dei sistemi AI

Elenca strumenti acquistati, funzionalità AI incluse nei software, modelli sviluppati internamente e utilizzi non formalizzati. Per ciascuno registra finalità, proprietario operativo, fornitore, dati utilizzati, persone interessate e azioni influenzate.

L’inventario deve includere anche prove pilota e strumenti gratuiti quando trattano dati aziendali o contribuiscono a decisioni. Una revisione periodica aiuta a individuare shadow AI, duplicazioni e cambiamenti di finalità.

2. Identificare ruolo e livello di rischio

Stabilisci con supporto qualificato se l’azienda agisce come fornitore, deployer, importatore o distributore. Il ruolo può cambiare tra sistemi e influenza gli obblighi applicabili.

Documenta poi il contesto d’uso, le persone coinvolte, la possibilità di contestare l’esito e le conseguenze di un errore. Non classificare un sistema soltanto dal nome commerciale o dal modello che utilizza.

Fonte: Commissione europea — quadro normativo dell’AI Act

3. Verificare trasparenza e controllo umano

Controlla se le persone devono essere informate che interagiscono con un sistema AI e come vengono etichettati contenuti generati o manipolati. Dal 2 agosto 2026 sono applicabili specifici obblighi di trasparenza dell’articolo 50.

Definisci chi può approvare, correggere, sospendere e riesaminare il sistema. La supervisione è concreta solo se la persona dispone di informazioni, autorità e tempo per intervenire.

Fonte: Commissione europea — obblighi di trasparenza dell’articolo 50

4. Governare dati, fornitori e incidenti

Verifica basi informative, accessi, conservazione, trasferimenti e condizioni contrattuali dei fornitori. Registra versioni, modifiche sostanziali, test e dipendenze esterne rilevanti.

Prepara un canale per segnalare errori e incidenti, criteri di sospensione e un processo per comunicare con fornitore, responsabile privacy, sicurezza e consulenti quando necessario.

5. Formare le persone e aggiornare la checklist

La formazione deve riflettere ruolo, contesto e rischio: chi usa un assistente testuale ha esigenze diverse da chi approva decisioni o integra un modello nei processi. Registra contenuti, destinatari e data della formazione.

Le scadenze e le regole applicabili sono cambiate nel tempo e possono ricevere nuove linee guida. Riesamina quindi la checklist dopo modifiche normative, nuove funzionalità, cambiamenti dei dati o incidenti.

Fonte: Commissione europea — navigare l’AI Act

Approfondisci

• Sistema operativo AI aziendale: cos’è e come funziona
• AI agentica per PMI: casi d’uso, limiti e percorso di adozione
• AI governance aziendale: ruoli, policy e controlli operativi

Domande frequenti