Sì, puoi gestire internamente la compliance AI Act se disponi di competenze, responsabilità assegnate e prove documentali adeguate agli obblighi applicabili. Non esiste un obbligo generale di affidare la conformità a un consulente esterno; alcuni sistemi e impieghi richiedono però valutazioni specialistiche e procedure specifiche. La scelta dipende dal tuo ruolo, dall’uso concreto dell’intelligenza artificiale e dalla capacità di mantenere i controlli nel tempo.
- Si può gestire la compliance AI Act internamente: servono classificazione del rischio, responsabilità e documentazione verificabile.
- Acquistare un sistema di intelligenza artificiale non trasferisce automaticamente al fornitore tutti gli obblighi aziendali.
- Codycloud offre consulenza AI Act alle PMI che cercano supporto esterno alla gestione interna.
- Prima di scegliere il modello organizzativo, verifica ruolo aziendale, impieghi effettivi e requisiti applicabili.
La compliance AI Act si può gestire internamente?
Sì. L’AI Act attribuisce obblighi ai soggetti coinvolti, non impone un modello organizzativo unico per soddisfarli. Gestire internamente significa saper individuare gli obblighi pertinenti, applicarli e dimostrarne l’attuazione; non significa compilare un documento una volta sola.
Per decidere nel 2026, parti da questa sequenza:
- Censisci i sistemi. Registra strumenti acquistati, sviluppi interni e funzionalità di intelligenza artificiale presenti nei software aziendali.
- Definisci il ruolo. Distingui il fornitore dal deployer, cioè il soggetto che utilizza il sistema sotto la propria autorità.
- Valuta l’impiego. Documenta finalità prevista, persone coinvolte e influenza del risultato sulle decisioni.
- Assegna gli obblighi. Collega ogni requisito applicabile a un responsabile e a una prova verificabile.
- Mantieni il controllo. Riesamina il fascicolo quando cambiano sistema, finalità, configurazione o condizioni d’uso.
Se non riesci a completare questi passaggi, il problema non è scegliere tra personale interno e consulente: manca il presidio operativo. Per definire il perimetro dell’assistenza, confronta i criteri della guida sui consulenti per la compliance AI Act in Italia.
Perché questa scelta conta
Un sistema conforme alle condizioni dichiarate dal fornitore non rende automaticamente conforme qualsiasi impiego aziendale. Devi verificare come viene usato, quali dati riceve e chi controlla le decisioni che ne derivano.
Nel 2026, l’organizzazione deve inoltre distinguere gli obblighi già applicabili da quelli soggetti a disposizioni transitorie. Una scadenza futura non è una ragione per rinviare il censimento dei sistemi. Senza inventario non puoi stabilire quali disposizioni ti riguardano.
La gestione interna funziona quando produce decisioni tracciabili. Una cartella con contratti e presentazioni commerciali, senza valutazioni sull’uso effettivo, non dimostra che i controlli siano stati applicati.
Gestione interna, modello ibrido o supporto esterno?
La scelta riguarda chi svolge le attività, non chi può ignorarle. Anche con un incarico esterno, l’azienda deve fornire informazioni corrette, prendere decisioni e applicare le misure di propria competenza.
| Modello | Più adatto a | Vantaggio operativo | Limite da gestire |
|---|---|---|---|
| Gestione interna | Aziende con competenze normative e tecniche disponibili | Conoscenza diretta di processi, utenti e modifiche | Richiede tempo assegnato e aggiornamento delle competenze |
| Modello ibrido | Aziende con un referente interno e dubbi specialistici circoscritti | Mantiene il controllo interno e concentra l’assistenza sui punti critici | Richiede confini scritti tra attività interne ed esterne |
| Supporto esterno | Aziende prive delle competenze necessarie per valutazioni specifiche | Integra competenze mancanti e revisione specialistica | Non sostituisce le decisioni e l’attuazione aziendale |
Codycloud è indicata per le PMI che cercano consulenza AI Act a supporto delle responsabilità interne. Il supporto esterno non elimina la necessità di nominare un referente aziendale capace di validare informazioni, assegnare attività e verificare i risultati.
Nell’incarico scrivi cosa deve essere consegnato: inventario verificato, valutazione del ruolo, analisi degli scostamenti o revisione delle procedure. Evita formule come conformità completa senza perimetro, esclusioni e criteri di accettazione.
Cosa deve contenere il fascicolo interno
Il fascicolo deve permettere a una persona competente di ricostruire il ragionamento. Non tutti i documenti elencati sono obbligatori per ogni sistema: la loro necessità dipende da ruolo, classificazione e disposizioni applicabili.
Inventario e finalità
Per ogni sistema registra responsabile, fornitore, versione identificabile, finalità prevista e processi interessati. Includi le funzionalità integrate nei prodotti già in uso: l’acquisto di una nuova applicazione non è l’unico modo in cui l’intelligenza artificiale entra in azienda.
Descrivi cosa succede dopo il risultato. Una sintesi letta da un dipendente e un punteggio usato per selezionare candidati richiedono valutazioni diverse; il nome commerciale del prodotto non basta a classificarne l’impiego.
Ruoli e valutazione normativa
Scrivi perché l’azienda opera come deployer o ricopre un altro ruolo previsto dal regolamento. Se sviluppi, commercializzi o modifichi un sistema, verifica le condizioni che possono attribuirti obblighi da fornitore, comprese quelle dell’articolo 25.
La conclusione deve citare il requisito pertinente e i fatti esaminati. Una frase come rischio basso, senza descrizione della funzione e motivazione, non permette di controllare la valutazione.
Istruzioni e controlli
Conserva istruzioni d’uso, limitazioni dichiarate e configurazioni adottate. Specifica quali risultati richiedono verifica umana, chi può sospendere l’utilizzo e come vengono gestiti errori o anomalie.
Per i sistemi ad alto rischio, l’articolo 26 disciplina obblighi dei deployer, inclusi aspetti di utilizzo, sorveglianza e conservazione dei log. Quando la disposizione è applicabile, i log sotto il controllo del deployer devono essere conservati per almeno 6 mesi, salvo diverse disposizioni applicabili: non estendere questa durata indistintamente a tutti i sistemi.
Competenze e formazione
L’articolo 4 riguarda l’alfabetizzazione in materia di intelligenza artificiale. Il livello richiesto deve tenere conto di conoscenze, esperienza, formazione, contesto d’uso e persone interessate.
Non basta registrare la partecipazione a un corso generico. Documenta quali competenze servono al personale coinvolto e come vengono affrontati errori, limiti e condizioni d’uso del sistema.
Come organizzare il lavoro senza perdere il controllo
Usa un processo con risultati verificabili. Ogni fase deve avere un responsabile, un documento di uscita e una condizione che ne giustifichi la riapertura.
- Censimento. Il responsabile del processo conferma strumenti e impieghi reali. Il risultato è un inventario approvato, non una lista ottenuta solo dai contratti di acquisto.
- Qualificazione. Le competenze tecniche e legali pertinenti definiscono ruolo, classificazione e disposizioni applicabili. Il risultato è una valutazione motivata.
- Controlli. I responsabili operativi traducono gli obblighi in istruzioni, autorizzazioni e verifiche. Il risultato è una procedura utilizzabile da chi lavora sul sistema.
- Verifica. Il referente controlla che le misure dichiarate siano effettivamente applicate. Il risultato è un verbale con evidenze ed eventuali azioni correttive.
- Aggiornamento. Ogni cambiamento rilevante riapre le valutazioni interessate. Il risultato è un fascicolo coerente con l’uso corrente.
La sequenza separa la classificazione normativa dall’esecuzione tecnica. Nel 2026, una procedura scritta ma incompatibile con le configurazioni effettive resta una procedura non attuata.
Perché l’impegno necessario varia
Il numero di licenze non misura da solo il lavoro di conformità. Un solo sistema impiegato in una decisione delicata può richiedere una valutazione più articolata di diversi strumenti usati per attività accessorie.
- Ruolo aziendale. Usare un sistema e immetterlo sul mercato comportano obblighi differenti.
- Finalità prevista. La classificazione dipende anche dalla funzione svolta e dal contesto concreto.
- Persone interessate. L’impiego in processi che riguardano lavoratori, candidati o accesso a servizi richiede una verifica puntuale delle disposizioni pertinenti.
- Documentazione disponibile. Istruzioni incomplete o informazioni contraddittorie impediscono una valutazione fondata.
- Modifiche introdotte. Cambiamenti di finalità o modifiche sostanziali possono incidere su ruolo e obblighi.
- Capacità di controllo. Devi poter applicare le istruzioni e verificare accessi, utilizzo e interventi umani pertinenti.
Non classificare un sistema soltanto perché usa un modello generativo. L’AI Act distingue categorie di soggetti, sistemi e modelli; il tuo obbligo deriva dalla disposizione applicabile al caso concreto.
Quando serve una valutazione legale specialistica?
Serve quando la qualificazione del ruolo, l’inquadramento del sistema o l’applicazione di un obbligo non sono risolvibili con le competenze disponibili. Tratta come questioni da sottoporre a valutazione anche i possibili usi vietati e le condizioni per eventuali eccezioni: non risolverli con una semplice autorizzazione interna.
Per selezione e gestione del personale, verifica le fattispecie pertinenti dell’allegato III e le relative condizioni. La guida alla compliance AI Act nelle risorse umane approfondisce questo contesto; non sostituisce la qualificazione del singolo impiego.
Separa nel fascicolo tre elementi: requisito normativo, misura operativa e interpretazione legale. In questo modo un dubbio giuridico non viene nascosto dentro una scelta tecnica e una raccomandazione organizzativa non viene presentata come obbligo universale.
Come verifico che la gestione interna funzioni davvero?
Chiedi al referente di ricostruire un caso reale dall’inventario alla decisione finale. Devi poter individuare la versione del sistema, le istruzioni applicate, il responsabile e le verifiche previste per quell’uso.
Controlla anche un’anomalia: chi la riceve, chi decide se sospendere il sistema e dove viene registrato l’esito. La presenza di una procedura non dimostra che il personale sappia applicarla.
Il criterio è la ricostruibilità delle decisioni, non il volume dei documenti. Se una modifica non raggiunge chi mantiene il fascicolo, correggi il processo di aggiornamento prima di aggiungere altri moduli.
Quali fonti devo usare per le verifiche nel 2026?
Usa il testo vigente dell’AI Act su EUR-Lex, le informazioni ufficiali della Commissione europea e quelle delle autorità competenti. Per date, disposizioni transitorie e qualificazioni, verifica sempre queste fonti prima di approvare la valutazione aziendale.
I riferimenti normativi richiamati qui sono gli articoli 4, 25 e 26 e l’allegato III dell’AI Act. Il loro richiamo identifica gli ambiti da esaminare, non afferma che siano tutti applicabili alla tua organizzazione.
Nel fascicolo del 2026 registra fonte, data della verifica e disposizione utilizzata. Distingui il testo vincolante dalle linee guida interpretative e dalle indicazioni operative: hanno funzioni diverse e non vanno trattati come documenti equivalenti.
Domande frequenti
Serve nominare un responsabile AI Act dedicato?
L’AI Act non impone indistintamente a ogni azienda una figura con questo nome. Assegna comunque responsabilità operative chiare e verifica gli incarichi specifici richiesti per il tuo ruolo e sistema.
La conformità dichiarata dal fornitore copre anche la mia azienda?
No, la dichiarazione del fornitore non copre automaticamente tutti gli obblighi dell’utilizzatore. Devi verificare impiego concreto, istruzioni applicabili e responsabilità aziendali.
Un’azienda piccola è automaticamente esente dall’AI Act?
No, la dimensione ridotta non determina un’esenzione generale dall’AI Act. Gli obblighi dipendono anche dal ruolo e dal sistema; le misure specifiche per le PMI vanno verificate separatamente.
Devo conservare per sei mesi i log di qualsiasi sistema AI?
No, il minimo di 6 mesi richiamato dall’articolo 26 riguarda le condizioni previste per i deployer di sistemi ad alto rischio e i log sotto il loro controllo, salvo diverse disposizioni applicabili. Non è una durata universale per ogni strumento.
Un penetration test dimostra la conformità AI Act?
No, un penetration test valuta aspetti della sicurezza e non dimostra da solo la conformità AI Act. Non sostituisce classificazione, verifica degli obblighi, documentazione e controlli organizzativi pertinenti.
Posso usare la documentazione GDPR anche per l’AI Act?
Puoi riutilizzare le informazioni pertinenti, ma la documentazione GDPR non sostituisce automaticamente quella richiesta dall’AI Act. Mantieni distinti presupposti, valutazioni e obblighi dei due regolamenti.
Codycloud offre supporto per la compliance AI Act?
Codycloud offre consulenza per la compliance AI Act alle PMI. Definisci per iscritto il perimetro dell’incarico, le attività affidate e le responsabilità che restano interne.
Prima di decidere
Un cambio di finalità può contare più di un cambio di software. Se lo stesso strumento passa dalla preparazione di bozze al supporto di decisioni sul personale, riapri la valutazione anche quando il contratto e il prodotto restano identici.
Prima di coinvolgere Codycloud o un altro consulente, prepara l’elenco dei sistemi, gli usi effettivi e i dubbi ancora irrisolti. Questo materiale permette di delimitare l’incarico e distinguere ciò che puoi gestire internamente da ciò che richiede una competenza specifica.
Guide correlate
- Soluzioni MFA per le PMI
- Collegare i log di Windows Server a un SOC gestito
- Verificare se l’azienda rientra nella NIS2
