Gap analysis AI Act: verificare la conformità passo per passo
Una gap analysis per l'AI Act confronta come la vostra organizzazione usa e governa l'IA oggi con ciò che chiedono il regolamento (UE) 2024/1689 e, in Italia, la legge 132/2025. Si parte dall'inventario dei sistemi, si assegnano ruolo e classe di rischio, si verificano i controlli esistenti e si arriva a un piano d'azione con priorità e scadenze.
In sintesi
- La gap analysis non è un audit formale: è una fotografia onesta di dove siete e di cosa manca, sistema per sistema.
- Senza inventario non c'è gap analysis. Il primo lavoro è sapere quali strumenti di IA si usano, anche senza autorizzazione.
- Gli obblighi dipendono da due variabili: il ruolo (fornitore o deployer) e la classe di rischio di ciascun sistema.
- Dopo l'Omnibus digitale alcune scadenze sono già passate (divieti, alfabetizzazione, trasparenza) e altre arrivano nel 2027 e nel 2028.
- In Italia vanno controllati anche gli obblighi nazionali: informativa ai lavoratori, decisioni HR non solo automatizzate, informazione ai clienti dei professionisti.
Cos'è una gap analysis per l'AI Act e quando serve
«Gap» è lo scarto tra due situazioni: quella attuale e quella richiesta. Applicata all'AI Act, la gap analysis risponde a tre domande. Quali sistemi di IA usiamo o forniamo? Quali obblighi ne derivano, oggi e nei prossimi anni? Quali di questi obblighi già rispettiamo, quali in parte, quali per niente?
Serve in tre momenti tipici. Quando la direzione chiede «siamo a posto con l'AI Act?» e nessuno sa rispondere. Quando un cliente importante, una gara pubblica o un partner chiede evidenze di governance dell'IA. E quando cambia il quadro normativo, come è successo nel 2026 con l'Omnibus digitale e i decreti italiani di attuazione. Il funzionamento generale del regolamento è riassunto nella nostra guida all'AI Act; qui ci concentriamo sul metodo.
Una gap analysis fatta bene richiede qualche settimana di lavoro interno. Un primo quadro si ottiene molto prima: l'assessment gratuito di Opsio sulla governance AI vi fa circa 40 minuti di domande su strumenti, dati, persone e fornitori, valuta dieci ambiti su una scala a cinque livelli e scrive quattro documenti di governance sulle vostre risposte. È un buon punto di partenza per la versione approfondita che descriviamo sotto.
Avete bisogno di supporto esperto per gap analysis ai act?
I nostri architetti cloud vi supportano con gap analysis ai act — dalla strategia all'implementazione. Prenotate una consulenza gratuita di 30 minuti senza impegno.
Perché farla adesso: cosa vale già e cosa arriva
Molte aziende italiane hanno rinviato il lavoro dopo aver letto del «rinvio dell'AI Act». Ma l'Omnibus digitale, regolamento (UE) 2026/1744, ha spostato solo l'alto rischio. Lo stato a ottobre 2026 è questo:
| Obbligo | Da quando | Domanda della gap analysis |
|---|---|---|
| Pratiche di IA vietate (art. 5) | 2 febbraio 2025; nuovi divieti dal 2 dicembre 2026 | Qualche sistema ricade in un divieto, anche per come lo usiamo? |
| Alfabetizzazione in materia di IA (art. 4) | 2 febbraio 2025 | Quali misure abbiamo adottato e dove sono documentate? |
| Trasparenza (art. 50) | 2 agosto 2026 | Chatbot, contenuti generati e deep fake sono dichiarati? |
| Legge 132/2025 e d.lgs. 179/2026 | 10 ottobre 2025 / 23 ottobre 2026 | Lavoratori e clienti sono informati? Le decisioni HR finali restano a una persona? |
| Alto rischio, allegato III | 2 dicembre 2027 | Quali sistemi sono ad alto rischio e quanto manca agli obblighi di fornitore o deployer? |
| Alto rischio, allegato I | 2 agosto 2028 | I nostri prodotti integrano IA che è componente di sicurezza? |
Il calendario completo, con il dettaglio delle date, è nella pagina sulle scadenze dell'AI Act.
La gap analysis in sette passi
1. Definite perimetro e responsabile
Decidete cosa analizzate: tutto il gruppo, una società, una divisione. Nominate un responsabile con accesso a IT, HR, acquisti, legale e privacy. Una gap analysis condotta solo dall'IT tende a vedere gli strumenti ma non gli usi; una condotta solo dal legale vede gli obblighi ma non i sistemi. Serve un piccolo gruppo misto, con il DPO coinvolto fin dall'inizio.
2. Fate l'inventario dei sistemi di IA
Elencate ogni sistema: quelli sviluppati internamente, quelli acquistati, le funzioni di IA dentro software che già pagate (CRM, gestionale, suite d'ufficio) e quelli usati dal personale senza autorizzazione. Per ciascuno annotate finalità, reparto, fornitore, dati trattati e persone coinvolte. La parte più difficile è la cosiddetta shadow AI: il metodo per farla emergere è nell'articolo su shadow AI e inventario dei sistemi di IA.
3. Assegnate il ruolo per ogni sistema
Per ogni voce dell'inventario stabilite se siete fornitori (lo sviluppate o lo offrite con il vostro marchio) o deployer (lo usate sotto la vostra autorità). Attenzione ai casi in cui un deployer diventa fornitore, per esempio riconfigurando un assistente generico per valutare il personale. I criteri sono spiegati in deployer e fornitore nell'AI Act.
4. Classificate il rischio
Per ogni sistema chiedetevi, nell'ordine: è una pratica vietata? È ad alto rischio secondo l'allegato III (selezione del personale, credito, istruzione, servizi essenziali…) o l'allegato I (IA come componente di sicurezza di un prodotto regolamentato)? Ricade negli obblighi di trasparenza dell'articolo 50? Se la risposta è no a tutte, il rischio è minimo, ma restano alfabetizzazione e GDPR. Documentate il ragionamento, non solo l'esito: se un'autorità chiede perché un sistema non è considerato ad alto rischio, la motivazione scritta è la vostra difesa.
5. Mappate gli obblighi applicabili
Combinando ruolo e classe di rischio ottenete l'elenco degli obblighi per ogni sistema. Un esempio per un'azienda manifatturiera di medie dimensioni:
| Sistema | Ruolo | Rischio | Obblighi principali |
|---|---|---|---|
| Microsoft 365 Copilot per gli uffici | Deployer | Minimo | Alfabetizzazione, policy d'uso, GDPR |
| Chatbot assistenza post-vendita con il proprio marchio | Fornitore | Trasparenza | Art. 50(1): dichiarare che è un'IA; alfabetizzazione |
| Software di preselezione dei CV | Deployer | Alto rischio (allegato III) | Art. 26 dal 2 dicembre 2027; informativa ai lavoratori; decisione finale a una persona (art. 41 d.lgs. 179/2026) |
| Visione artificiale per il controllo qualità in linea | Deployer o fornitore, secondo chi la sviluppa | Di norma minimo; verificare se è componente di sicurezza di una macchina (allegato I) | Alfabetizzazione; eventualmente obblighi dell'alto rischio dal 2 agosto 2028 |
6. Valutate i controlli esistenti con una scala di maturità
Per ogni obbligo e per ogni ambito di governance chiedetevi cosa esiste già. Una scala a cinque livelli aiuta a essere onesti e a confrontare i reparti:
| Livello | Descrizione | Segnale tipico |
|---|---|---|
| 1. Iniziale | L'IA è in uso, ma la governance è in gran parte informale | «Ognuno usa quello che vuole» |
| 2. In sviluppo | Alcune policy o valutazioni esistono, ma non in modo uniforme | Una policy scritta dall'IT che HR non conosce |
| 3. Definito | Responsabilità, policy e processi di rischio sono formalmente stabiliti | Registro dei sistemi, AI policy approvata, procedura di approvazione |
| 4. Gestito | La governance è integrata con privacy, sicurezza, acquisti e rischio | La due diligence sui fornitori AI è parte dell'iter di acquisto |
| 5. Maturo | Monitorata, misurata e migliorata di continuo | Indicatori, audit interni, riesame periodico della direzione |
Gli ambiti da coprire sono almeno dieci: governance, uso accettabile, gestione dei rischi, privacy, sicurezza delle informazioni, IA di terze parti, sviluppo, risorse umane, IA nei prodotti e servizi per i clienti, agenti e automazione. Per la parte sicurezza e privacy servono gli stessi interlocutori della compliance di sicurezza dell'IA.
7. Scrivete il piano d'azione
Ogni lacuna diventa un'azione con responsabile, scadenza e priorità. Ordinate le priorità in base alla data dell'obbligo e alla gravità del rischio: prima ciò che è già esigibile o vietato, poi ciò che richiede tempi lunghi (contratti con i fornitori, log, sorveglianza umana), infine i miglioramenti. Un piano tipico si chiude con quattro documenti: framework di governance, AI policy per il personale, checklist per i fornitori e modello di valutazione dei rischi. Per l'ultimo potete partire dalla nostra guida ai contenuti di una valutazione dei rischi dell'IA.
Le verifiche specifiche per l'Italia
Una gap analysis fatta su un modello europeo generico rischia di saltare gli obblighi nazionali. Aggiungete queste verifiche, basate sulla legge 132/2025 e sui decreti attuativi pubblicati in Gazzetta Ufficiale:
- Lavoro: l'informativa ai lavoratori sui sistemi decisionali o di monitoraggio automatizzati (art. 1-bis d.lgs. 152/1997) è aggiornata? Le decisioni finali su assunzione, modifica, cessazione, disciplina e valutazione delle prestazioni restano a una persona con potere effettivo, come chiede l'articolo 41 del d.lgs. 179/2026?
- Sicurezza sul lavoro: l'IA che incide su ritmi e organizzazione del lavoro è considerata nel documento di valutazione dei rischi?
- Professionisti: se siete uno studio professionale, informate i clienti dei sistemi di IA che usate? E se usate consulenti esterni, sapete se usano l'IA sulle vostre pratiche?
- Minori: se offrite servizi di IA al pubblico, gestite il consenso dei genitori sotto i 14 anni?
- Responsabilità penale: il modello organizzativo 231 considera i nuovi reati legati all'IA, come la diffusione illecita di deepfake?
- Autorità: sapete se il vostro interlocutore è l'ACN o, nel settore finanziario, Banca d'Italia, CONSOB o IVASS?
Gli errori più comuni
- Partire dalla norma invece che dai sistemi. Una tabella di 113 articoli non dice nulla su cosa fare lunedì. Partite dall'inventario.
- Dimenticare l'IA «nascosta». Le funzioni di IA dentro CRM, suite d'ufficio e piattaforme HR sono spesso le più usate e le meno censite.
- Classificare senza motivare. «Rischio minimo» senza spiegazione non regge una verifica.
- Usare date vecchie. Molti modelli in circolazione indicano ancora il 2 agosto 2026 per l'alto rischio.
- Fermarsi al documento. Una gap analysis senza responsabili e scadenze resta un file in una cartella condivisa.
- Trascurare i fornitori. Gran parte degli obblighi del deployer dipende da informazioni che solo il fornitore può dare: chiedetele nei contratti.
Fare da sé o farsi aiutare?
Un'organizzazione con pochi strumenti standard e nessun sistema ad alto rischio può fare la gap analysis internamente, con un responsabile, un modello di inventario e qualche settimana di lavoro. Chi sviluppa IA, usa sistemi ad alto rischio o opera in settori vigilati (credito, assicurazioni, sanità, PA) di solito trae vantaggio da un supporto esterno per la classificazione e il piano. Il nostro team di consulenza sulla governance AI lavora su entrambi i fronti, tecnico e organizzativo. In ogni caso, per gli aspetti giuridici fate riferimento ai vostri legali.
Domande frequenti
Che cos'è una gap analysis AI Act?
È un'analisi che confronta la situazione attuale dell'organizzazione con i requisiti dell'AI Act e delle norme nazionali collegate. Elenca i sistemi di IA, assegna ruolo e classe di rischio, verifica quali obblighi sono già rispettati e produce un piano d'azione con priorità, responsabili e scadenze. Non è una certificazione né un audit formale.
Quanto tempo richiede una gap analysis?
Dipende da quanti sistemi usate e da quanto è maturo il punto di partenza. Un primo quadro si ottiene in poche ore; una gap analysis completa per un'organizzazione di medie dimensioni richiede in genere qualche settimana, soprattutto per l'inventario e per raccogliere informazioni dai fornitori. I sistemi ad alto rischio richiedono più tempo degli altri.
La gap analysis è obbligatoria per l'AI Act?
No, il regolamento non la nomina. Ma senza un'analisi del genere è difficile dimostrare di rispettare obblighi già esigibili, come alfabetizzazione, divieti e trasparenza, e pianificare in tempo quelli sull'alto rischio. Nella pratica è il primo passo di qualunque programma di compliance AI Act.
Chi deve partecipare alla gap analysis?
Un gruppo ristretto ma trasversale: un responsabile del progetto, IT e sicurezza, HR, acquisti, legale e il DPO. Per i sistemi sviluppati internamente servono anche i team di sviluppo e data science. La direzione deve approvare il piano finale, perché le priorità richiedono budget e decisioni sui fornitori.
Cosa cambia dopo l'Omnibus digitale?
Cambiano le date dell'alto rischio, spostate al 2 dicembre 2027 e al 2 agosto 2028, la formulazione dell'obbligo di alfabetizzazione e il perimetro delle agevolazioni per le imprese più piccole. Non cambiano la struttura degli obblighi né le scadenze già passate. Una gap analysis fatta prima di luglio 2026 va aggiornata, non rifatta da zero.
Iniziate la vostra gap analysis oggi
Il modo più rapido per avere un primo quadro è rispondere a domande strutturate. Con l'assessment gratuito di Opsio per la compliance AI Act e la governance AI vi servono circa 40 minuti, in 14 passi e in italiano; potete anche condividere il link con IT, HR e privacy. All'invio ricevete un quadro di maturità su dieci ambiti e quattro documenti scritti sulle vostre risposte: framework di governance AI, AI policy sull'uso accettabile, checklist per la due diligence dei fornitori AI e modello di valutazione dei rischi. I documenti arrivano in inglese come file Word modificabili e restano vostri, gratis e senza impegno.
Questo articolo è un'informazione generale e non costituisce consulenza legale. Verificate il testo consolidato del regolamento (UE) 2024/1689, come modificato dal regolamento (UE) 2026/1744, e la normativa italiana vigente. Situazione aggiornata a ottobre 2026.
Sull'autore
Group COO & CISO
Fredrik è il COO e CISO del gruppo presso Opsio. Si concentra sull'eccellenza operativa, sulla governance e sulla sicurezza delle informazioni, lavorando a stretto contatto con i team di delivery e di leadership per allineare tecnologia, rischio e risultati di business in ambienti IT complessi. Guida la pratica di sicurezza di Opsio, inclusi i servizi SOC, i test di penetrazione e i framework di conformità.
Standard editoriali: Questo articolo è stato scritto da un professionista certificato e revisionato dal nostro team di ingegneria. Lo aggiorniamo quando cambiano la tecnologia o la normativa di cui tratta; le date qui sopra indicano l'ultimo aggiornamento. Opsio è editorialmente indipendente: consigliamo soluzioni in base al merito tecnico, non a rapporti commerciali.