Obblighi di trasparenza dell’AI Act applicabili dal 2 agosto 2026
Aiuto le imprese che stanno inserendo l’AI nella catena del valore a farlo in modo documentato e difendibile. Vent’anni di diritto d’impresa applicati a una tecnologia che il diritto ha appena finito di normare.
Perché adesso
Il Regolamento europeo sull’intelligenza artificiale è entrato nella fase applicativa. Alcune scadenze sono passate, una parte è stata spostata più avanti e l’Italia sta scrivendo le proprie regole di attuazione. Ecco dove siamo, senza allarmismi e senza sconti.
Entrata in vigore Il Regolamento (UE) 2024/1689 diventa parte dell’ordinamento europeo.
Divieti e alfabetizzazione Scattano le pratiche vietate e l’obbligo di garantire un livello adeguato di competenza sull’AI a chi la utilizza in azienda.
Modelli di uso generale Obblighi per i fornitori di modelli GPAI, avvio della governance europea e designazione delle autorità nazionali.
Trasparenza e sanzioni Si applicano gli obblighi di trasparenza dell’articolo 50, il regime sanzionatorio nazionale e le sanzioni della Commissione sui modelli di uso generale.
Decreti attuativi italiani Termine per i decreti delegati della legge 132/2025. La vigilanza sarà ripartita fra AgID e Agenzia per la cybersicurezza nazionale.
Alto rischio, Allegato III Obblighi per i sistemi ad alto rischio elencati nell’Allegato III, spostati in avanti dal Digital Omnibus.
Alto rischio nei prodotti Sistemi incorporati in prodotti già regolati da normativa settoriale, come macchine e dispositivi medici.
Il rinvio non è una pausa. Il Digital Omnibus, approvato dal Parlamento europeo il 16 giugno 2026 e dal Consiglio il 29 giugno, ha spostato in avanti solo gli obblighi sull’alto rischio. Tutto il resto è già applicabile. E poiché l’inventario dei sistemi, la revisione dei contratti con i fornitori e la formazione del personale richiedono in genere dai dodici ai diciotto mesi, il tempo guadagnato serve a lavorare, non ad aspettare.
Servizi
Interventi a progetto, con un perimetro definito e una consegna documentale precisa. Nessun contratto aperto a tempo indeterminato, nessuna relazione che resta in un cassetto.
Accompagno l’introduzione di nuove tecnologie nei processi produttivi e amministrativi: chi fa cosa, con quale strumento, sotto quale responsabilità e con quale traccia documentale.
Dall’inventario di ciò che l’azienda già usa fino a una politica interna che le persone possano davvero seguire. Il punto non è frenare l’adozione: è renderla dimostrabile.
L’AI moltiplica i trattamenti di dati personali e ne cambia la natura. Rimetto in ordine l’impianto privacy e, dove serve, assumo la funzione di responsabile della protezione dei dati in forma esterna.
Il catalogo dei reati presupposto comprende ormai anche l’area informatica e quella ambientale. Costruisco o aggiorno il Modello e posso sedere nell’Organismo di Vigilanza.
Metodo
So che cosa teme chi firma: un progetto che si allarga, si allunga e non produce nulla di utilizzabile. Per questo ogni fase ha una durata stimata e una consegna riconoscibile.
Dove siete davvero, non dove risulta dalle procedure. Interviste ai responsabili, esame dei sistemi in uso, lettura dei contratti già firmati. Si chiude con una relazione che elenca gli scostamenti in ordine di gravità e di costo.
La parte che produce carta utile: politiche, registri, nomine, clausole contrattuali, moduli informativi, protocolli. Scritti per essere applicati da chi lavora, non per superare un’ispezione e poi essere dimenticati.
La conformità non è uno stato ma un’abitudine. Verifiche periodiche, formazione delle persone che usano gli strumenti, aggiornamento quando la norma cambia. Con una cadenza concordata, non a chiamata.
Percorso
Non arrivo alla compliance dalla teoria. Ho negoziato joint venture in Cina, seguito accreditamenti sanitari per l’export e presidiato per sei anni la conformità dei processi dentro hub logistici che non si fermano mai. È da lì che so quanto costa una procedura scritta male.
Gestione operativa delle infrastrutture tecniche su quattro siti, supervisione della conformità dei processi, controllo qualità e reportistica, coordinamento dei team operativi.
Infrastrutture tecniche del sito, supporto alle attività operative sul versante della conformità, controllo della qualità del servizio.
Coordinamento di un team multiculturale di oltre cinquanta professionisti su un progetto pubblico-privato, con interlocutori universitari, doganali, istituzionali e bancari dello Zhejiang.
Gestione della costituzione di una joint venture italo-cinese: due diligence, negoziazione internazionale, coordinamento di professionisti e portatori di interesse.
Compliance documentale e rapporti con gli enti certificatori. Supporto all’ottenimento delle certificazioni HACCP e all’accreditamento FDA per l’export verso Stati Uniti e Canada.
Diritto commerciale e del lavoro, contrattualistica, arbitrati e contenzioso. Accreditamento presso l’Ordine degli Avvocati di Tallinn, legale fiduciario dell’Ambasciata d’Italia in Estonia. Collaudi di appalti per l’erogazione di finanziamenti europei.
Trattazione di pratiche amministrative riservate, nel rispetto di procedure rigorose e di stringenti obblighi di riservatezza.
Formazione
Aree di intervento
Domande frequenti
Risposte reali, non commerciali. Se una di queste vi riguarda da vicino, probabilmente vale una conversazione.
Sì, nel ruolo di utilizzatore. Chi impiega un sistema di intelligenza artificiale nell’esercizio della propria attività ha obblighi propri, distinti da quelli di chi il sistema lo sviluppa: informare le persone quando interagiscono con un’AI, garantire un livello adeguato di competenza al personale che la utilizza, assicurarsi che il trattamento dei dati resti conforme al GDPR. Sono adempimenti leggeri se affrontati per tempo e costosi se ci si arriva dopo un controllo.
Il rinvio riguarda soltanto i sistemi ad alto rischio, che slittano al 2 dicembre 2027 e al 2 agosto 2028. Gli obblighi di trasparenza, il divieto delle pratiche vietate, l’alfabetizzazione del personale e il regime sanzionatorio sono già pienamente applicabili. Va poi considerato che inventariare i sistemi, rivedere i contratti con i fornitori e formare le persone richiede in media dai dodici ai diciotto mesi: il tempo guadagnato serve a lavorare, non ad attendere.
Sì. L’articolo 37, paragrafo 6, del GDPR prevede espressamente che il DPO possa essere un dipendente oppure assolvere i propri compiti in base a un contratto di servizi. La scelta esterna ha un vantaggio sostanziale: evita il conflitto di interessi con i ruoli operativi, che è il motivo per cui molte nomine interne vengono contestate.
La nomina non dipende dal numero di dipendenti ma dal tipo di trattamento: è obbligatoria per gli enti pubblici e quando l’attività principale comporta un monitoraggio regolare e sistematico su larga scala, oppure il trattamento su larga scala di categorie particolari di dati. Molte piccole imprese non sono obbligate, ma nominano comunque un referente — anche perché la valutazione va in ogni caso svolta e documentata, e in caso di controllo è la prima cosa che viene chiesta.
Per una realtà di media dimensione, dalle tre alle sei settimane. Il primo passo è l’inventario dei sistemi effettivamente in uso, che quasi sempre restituisce un numero più alto di quello atteso, perché comprende gli strumenti introdotti dai singoli reparti senza passare dalla direzione. Seguono la classificazione del rischio, l’analisi degli scostamenti e un piano di intervento con priorità e responsabilità assegnate.
Il Modello non è obbligatorio, ma è l’unico strumento che consente all’ente di andare esente da responsabilità amministrativa quando un reato presupposto viene commesso nel suo interesse o a suo vantaggio. Adottato dopo il fatto non produce alcun effetto. Va aggiunto che negli anni il catalogo dei reati presupposto si è ampliato molto, fino a comprendere fattispecie informatiche, ambientali e tributarie che riguardano imprese di qualsiasi settore.
Sì. AI Act e GDPR sono regolamenti europei, applicabili in modo uniforme in tutti gli Stati membri, e hanno entrambi effetto extraterritoriale: vincolano anche i soggetti stabiliti fuori dall’Unione quando il risultato del sistema viene utilizzato al suo interno. Ho lavorato in Estonia, in Cina e su percorsi di accreditamento per l’export verso Stati Uniti e Canada. Le riunioni si tengono in italiano o in inglese.
Contatto
Trenta minuti per capire dove siete e se posso esservi utile. Se la risposta è no, ve lo dico subito e vi indico chi cercare.