Checklist AI Act per le aziende: i controlli da spuntare, con la prova da conservare

Le checklist sull’AI Act che si trovano in rete hanno quasi sempre lo stesso difetto. Elencano obblighi, a volte trenta, senza dire chi in azienda li deve portare a casa e cosa resta in archivio quando sono fatti.

Il risultato è una lista che si legge, si condivide in una riunione e poi non si spunta mai.

Quella che segue è costruita al contrario. Ogni controllo ha un responsabile tipico e una prova. Se alla fine non hai la prova, il controllo non è fatto.

Prima di spuntare: in che ruolo sei

Il Regolamento UE 2024/1689 distingue chi fornisce un sistema di intelligenza artificiale da chi lo utilizza. Quasi tutte le aziende italiane stanno nel secondo gruppo: usano ChatGPT, Claude, Copilot, un chatbot sul sito o uno strumento che un fornitore ha costruito con dentro un modello.

C’è però un caso in cui si cambia ruolo senza accorgersene. Se prendi un sistema e lo metti sul mercato col tuo nome, se lo modifichi in modo sostanziale o se lo usi per uno scopo diverso da quello previsto dal fornitore, il regolamento può trattarti come fornitore. Con obblighi molto più pesanti.

Per questo il primo controllo non è tecnico. È una domanda: stiamo solo usando oppure stiamo anche costruendo e rivendendo?

I controlli che valgono per tutti

Sono sette. Riguardano qualsiasi azienda che usa l’AI al lavoro. I primi quattro si fanno internamente in poche settimane.

1. 01

   Inventario degli strumenti in uso

   Chi: il referente AI con i responsabili di reparto. Prova: un elenco con strumento, reparto, uso concreto, tipo di account (aziendale o personale), dati che ci passano. Non l'elenco di quello che è autorizzato: quello che si usa davvero. Nelle ricognizioni che facciamo prima dei percorsi è sempre più lungo di quello che si aspetta la direzione.

2. 02

   Classificazione di ogni voce

   Chi: il referente, con un legale solo se emerge alto rischio. Prova: una colonna in più nell'inventario con la fascia di rischio e una riga di motivazione. La classificazione riguarda l'uso, non lo strumento: lo stesso modello può stare in fasce diverse a seconda di cosa gli fai fare.

3. 03

   Verifica delle pratiche vietate

   Chi: il referente con acquisti e HR. Prova: una nota che dice che nessuno strumento in uso o in valutazione ricade nell'articolo 5. Il caso che si incontra davvero è il riconoscimento delle emozioni sul posto di lavoro, proposto da qualche fornitore per colloqui o clima aziendale: è vietato.

4. 04

   Formazione delle persone

   Chi: direzione del personale. Prova: programma con le ore, registro presenze firmato, materiali, test finale, attestato nominativo. È l'obbligo dell'articolo 4, in vigore dal 2 febbraio 2025. Va proporzionato al rischio degli strumenti che ogni gruppo usa.

5. 05

   Trasparenza verso chi interagisce

   Chi: marketing e customer service. Prova: la schermata del chatbot che dichiara di essere automatico e la regola interna su come si marcano i contenuti generati. Si applica dal 2 agosto 2026.

6. 06

   Contratti con i fornitori

   Chi: acquisti con il referente. Prova: per ogni strumento, il contratto aziendale con le condizioni sull'uso dei dati e le istruzioni d'uso del fornitore in archivio. Un account personale gratuito non ha nessuna di queste due cose.

7. 07

   Policy interna

   Chi: direzione con il referente. Prova: un documento breve, datato e comunicato a tutti, che dice quali strumenti si usano, cosa non si incolla mai e chi autorizza le eccezioni. Si scrive per ultima, dopo inventario e formazione.

Un dettaglio sull’ordine. È fatto per dipendenza, non per importanza: la formazione giusta dipende da cosa è emerso dall’inventario, la policy dipende da entrambi. Una policy scritta al primo giorno vieta cose che nessuno fa e ignora quelle che fanno tutti.

I controlli che scattano solo con l’alto rischio

Se la classificazione ha trovato un sistema ad alto rischio, la lista si allunga. Nelle aziende che incontriamo succede quasi sempre per un motivo: qualcosa che interviene sulla selezione o sulla gestione del personale.

Gli obblighi dell’Allegato III si applicano dal 2 dicembre 2027, dopo il rinvio introdotto dal Digital Omnibus. Il tempo c’è. I controlli qui sotto però richiedono di rivedere processi, non di scrivere un documento.

1. 01

   Istruzioni d'uso e uso conforme

   Chi: il responsabile del processo. Prova: le istruzioni del fornitore in archivio e una nota su come il sistema viene usato in azienda. L'utilizzatore deve usare il sistema secondo quelle istruzioni. Se le istruzioni non esistono, è già un'informazione sul fornitore.

2. 02

   Sorveglianza umana con un nome

   Chi: il responsabile del processo. Prova: la nomina delle persone che controllano le decisioni del sistema, con la formazione specifica e il potere effettivo di intervenire o di non tenere conto dell'output. Una sorveglianza che si limita a cliccare conferma non è sorveglianza.

3. 03

   Dati in ingresso e registri

   Chi: sistemi informativi. Prova: la verifica che i dati che l'azienda passa al sistema siano pertinenti rispetto allo scopo e la conservazione dei log generati automaticamente, per il periodo che il regolamento indica.

4. 04

   Informazione ai lavoratori

   Chi: direzione del personale. Prova: la comunicazione ai rappresentanti dei lavoratori e ai lavoratori interessati, fatta prima della messa in servizio del sistema sul luogo di lavoro. Si affianca all'informativa privacy, non la sostituisce.

5. 05

   Valutazioni d'impatto

   Chi: il referente con il responsabile privacy. Prova: la valutazione d'impatto sulla protezione dei dati prevista dal GDPR quando il trattamento lo richiede e, nei casi che il regolamento indica, la valutazione d'impatto sui diritti fondamentali.

Come si tiene in vita la checklist

Il punto debole di ogni lavoro di compliance è che si fa una volta e poi invecchia. Con l’AI invecchia più in fretta del solito, perché gli strumenti cambiano ogni pochi mesi e le persone ne provano di nuovi senza chiedere.

Tre abitudini la tengono viva.

Un momento di ingresso. Ogni strumento nuovo passa dal referente prima di essere usato su dati aziendali. Non serve un comitato: basta una riga nell’inventario e una classificazione.

Un cambio d’uso conta come uno strumento nuovo. Lo stesso assistente che riassumeva verbali e ora viene usato per ordinare le candidature ha cambiato fascia. È il caso più frequente in cui un’azienda finisce in alto rischio senza saperlo.

Una revisione fissa. Una volta l’anno si riprende l’inventario con i reparti, si aggiorna la policy e si verifica che chi è entrato nel frattempo abbia fatto la formazione.

Cosa non mettere nella checklist

Alcune voci compaiono in molte liste e per un’azienda che usa strumenti di terzi non servono.

Se la tua checklist ha la colonna di destra piena e quella di sinistra vuota, è stata scritta per un’altra azienda. La colonna di destra torna a riguardarti solo nel caso visto all’inizio: quando metti il tuo nome su un sistema, lo modifichi in modo sostanziale o lo usi fuori dallo scopo previsto.

Le sanzioni, senza allarmismo

I massimali che aprono molte guide, fino a 35 milioni o il 7% del fatturato mondiale, riguardano le pratiche vietate dell’articolo 5. Per le PMI e le startup il regolamento prevede che si applichi l’importo più basso fra valore assoluto e percentuale.

Il motivo per spuntare la lista non è la multa. È che ognuno di questi controlli risponde a un rischio concreto: il dato del cliente incollato in un account personale, il numero inventato finito in un preventivo, la candidatura scartata senza che nessuno abbia guardato perché.

Da dove si comincia lunedì

Dal primo controllo. L’inventario richiede qualche conversazione con i reparti e un foglio condiviso. Da solo cambia il modo in cui la direzione guarda il tema: da obbligo astratto a elenco di cose che le persone fanno già.

Se ti serve capire in quale fascia cade un uso specifico, la guida sulla classificazione del rischio nell’AI Act mostra come si ragiona caso per caso. Per un’azienda piccola, i passi essenziali sono riassunti nella guida su cosa deve fare una PMI e l’obbligo già in vigore è spiegato in quella sulla formazione obbligatoria.