AI Act: checklist di conformità per le aziende (aggiornata 2026)

Per mettervi in regola con l'AI Act, regolamento (UE) 2024/1689, partite dall'inventario dei sistemi di IA, stabilite per ciascuno ruolo e classe di rischio, poi applicate gli obblighi in ordine di scadenza: divieti, alfabetizzazione e trasparenza valgono già; l'alto rischio arriva il 2 dicembre 2027 e il 2 agosto 2028. In Italia aggiungete le regole della legge 132/2025.

In sintesi

• La checklist è ordinata per scadenza, non per articolo: prima ciò che è già esigibile.
• Le date tengono conto dell'Omnibus digitale, regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026.
• Ogni voce vale per un sistema specifico: senza inventario la checklist non si può applicare.
• Le voci italiane (lavoro, professioni, minori, modello 231) sono segnalate a parte.
• Una checklist non è una certificazione: serve a organizzare il lavoro e a raccogliere le prove.

Prima di iniziare: ruolo e classe di rischio

Ogni obbligo del regolamento sull'intelligenza artificiale dipende da due variabili. Il ruolo: siete fornitori (sviluppate il sistema o lo offrite con il vostro marchio) o deployer (lo usate sotto la vostra autorità)? La classe di rischio: pratica vietata, alto rischio, trasparenza o rischio minimo? Per una spiegazione completa del regolamento leggete la guida all'AI Act; per i ruoli, deployer e fornitore nell'AI Act.

Se preferite essere guidati, l'assessment gratuito di Opsio sull'AI Act vi fa le domande in ordine e trasforma le risposte in quattro documenti di governance: un buon modo per spuntare in un pomeriggio le prime voci di questa lista.

Fase 1 – Subito: obblighi già applicabili

Inventario e classificazione

• Elencare tutti i sistemi di IA sviluppati, acquistati o integrati, comprese le funzioni di IA nei software in abbonamento e gli strumenti usati senza autorizzazione. Metodo: shadow AI e inventario dei sistemi di IA.
• Per ogni sistema indicare finalità, reparto, fornitore, dati trattati, persone coinvolte e responsabile interno.
• Assegnare ruolo e classe di rischio e scrivere la motivazione.

Pratiche vietate (dal 2 febbraio 2025)

• Verificare che nessun sistema ricada nell'articolo 5: manipolazione dannosa, sfruttamento di vulnerabilità, punteggio sociale, riconoscimento delle emozioni sul lavoro o a scuola (salvo motivi medici o di sicurezza), categorizzazione biometrica di dati sensibili, raccolta indiscriminata di immagini facciali.
• Dismettere subito eventuali usi vietati e documentarlo.

Alfabetizzazione in materia di IA (dal 2 febbraio 2025)

• Adottare misure per promuovere l'alfabetizzazione del personale e di chi usa l'IA per vostro conto, proporzionate a ruolo e rischio.
• Registrare chi è stato formato, su cosa e quando. Programma tipo: AI literacy e formazione.
• Approvare e diffondere una AI policy per il personale con l'elenco degli strumenti approvati.

Trasparenza (dal 2 agosto 2026)

• Chatbot e assistenti vocali rivolti al pubblico: avviso chiaro alla prima interazione.
• Contenuti generati: verificare che i fornitori marchino gli output in modo leggibile da macchina.
• Deep fake e testi di interesse pubblico generati con l'IA: etichettatura o revisione editoriale documentata.
• Riconoscimento delle emozioni o categorizzazione biometrica, dove consentiti: informativa alle persone esposte. Dettagli: articolo 50 dell'AI Act.

Modelli per finalità generali

• Se addestrate o modificate in modo sostanziale un modello GPAI: documentazione tecnica, informazioni a valle, policy sul diritto d'autore, sintesi dei dati di addestramento (dal 2 agosto 2025).
• Se usate modelli di terzi via API: chiedere al fornitore le informazioni per chi integra il modello e lo stato di adesione al codice di buone pratiche.

Fase 1 bis – Le voci italiane

La legge 132/2025 e i decreti attuativi pubblicati nel 2026 aggiungono controlli specifici per chi opera in Italia:

• Informativa ai lavoratori sull'uso di sistemi decisionali o di monitoraggio automatizzati (art. 11 legge 132/2025 e art. 1-bis d.lgs. 152/1997).
• Decisioni finali su assunzione, modifica, cessazione del rapporto, disciplina e valutazione delle prestazioni mai affidate unicamente all'IA (art. 41 d.lgs. 179/2026, in vigore dal 23 ottobre 2026).
• IA che incide su ritmi e organizzazione del lavoro inserita nella valutazione dei rischi del d.lgs. 81/2008 (art. 42 d.lgs. 179/2026).
• Studi professionali: informare i clienti dei sistemi di IA usati (art. 13 legge 132/2025) e seguire i percorsi formativi che gli ordini introdurranno.
• Servizi di IA al pubblico: consenso dei genitori per i minori di 14 anni (art. 4 legge 132/2025).
• Modello organizzativo 231: valutare i nuovi reati legati all'IA, come la diffusione illecita di deepfake (art. 612-quater c.p.) e l'omessa adozione di misure di sicurezza su IA ad alto rischio (art. 437-bis c.p., d.lgs. 160/2026).

Fase 2 – Entro la fine del 2026

• Verificare che nessuno strumento consenta di generare immagini intime non consensuali o materiale pedopornografico: i nuovi divieti si applicano dal 2 dicembre 2026.
• Se fornite sistemi generativi già sul mercato prima del 2 agosto 2026: completare la marcatura dei contenuti entro il 2 dicembre 2026.
• Aggiornare le policy scritte nel 2025 che citano il vecchio articolo 4 o la data del 2 agosto 2026 per l'alto rischio.
• Avviare la due diligence sui fornitori di IA e inserire le clausole necessarie nei contratti in rinnovo.

Fase 3 – Entro il 2 dicembre 2027: alto rischio dell'allegato III

Per la valutazione d'impatto vedete la scheda sulla FRIA. In Italia l'omessa FRIA può costare fino a 1 milione di euro o lo 0,5% del fatturato (d.lgs. 179/2026).

Fase 4 – Entro il 2 agosto 2028: IA nei prodotti

• Se integrate IA come componente di sicurezza in prodotti disciplinati dall'allegato I (macchine, dispositivi medici, giocattoli, ascensori…), coordinare la conformità AI Act con la valutazione di conformità del prodotto e l'organismo notificato.
• Verificare se rientrate tra le piccole imprese a media capitalizzazione, che dopo l'Omnibus beneficiano di documentazione semplificata.

Le prove da conservare

Una checklist spuntata vale poco se non ci sono evidenze. Tenete in un unico fascicolo: inventario con classificazioni motivate, AI policy approvata e prese visione, registri della formazione, schermate delle informative di trasparenza, dichiarazioni e contratti dei fornitori, valutazioni dei rischi, eventuali FRIA e DPIA, verbali delle decisioni della direzione. In Italia l'ACN, come autorità di vigilanza del mercato, può chiedere informazioni e fare ispezioni anche senza preavviso, secondo il d.lgs. 179/2026. Per una verifica più strutturata delle lacune, usate il metodo della gap analysis per l'AI Act.

Domande frequenti

Da dove si comincia per la conformità all'AI Act?

Dall'inventario dei sistemi di IA. Senza sapere quali strumenti si usano, chi li usa e per cosa, non si possono assegnare ruoli e classi di rischio né capire quali obblighi valgono. Subito dopo vengono la verifica delle pratiche vietate, la AI policy per il personale e la formazione, che sono già obbligatorie.

Quali voci della checklist sono già obbligatorie?

Il rispetto dei divieti e le misure di alfabetizzazione dal 2 febbraio 2025, gli obblighi sui modelli GPAI dal 2 agosto 2025 e la trasparenza dell'articolo 50 dal 2 agosto 2026. In Italia valgono inoltre le regole della legge 132/2025, in vigore dal 10 ottobre 2025, e dal 23 ottobre 2026 quelle del d.lgs. 179/2026.

La checklist cambia dopo l'Omnibus digitale?

Cambiano soprattutto le date: l'alto rischio passa al 2 dicembre 2027 per l'allegato III e al 2 agosto 2028 per l'allegato I. Si aggiungono due divieti dal 2 dicembre 2026 e la formulazione dell'obbligo di alfabetizzazione è diversa. Le altre voci restano valide.

Una PMI deve fare tutto?

Una PMI che usa solo strumenti standard a rischio minimo ha poche voci da spuntare: inventario, divieti, policy, formazione, trasparenza dove serve, più gli obblighi italiani sul lavoro. Le voci dell'alto rischio riguardano solo chi sviluppa o usa sistemi dell'allegato III o I, e per le PMI la documentazione è semplificata.

Spuntate le prime voci in 40 minuti

Molte voci di questa checklist si traducono in quattro documenti: framework di governance, AI policy per il personale, checklist per i fornitori e modello di valutazione dei rischi. Con le AI policy aziendali e i modelli di governance AI gratuiti di Opsio rispondete a 14 passi di domande in italiano, circa 40 minuti, e ricevete subito i quattro documenti scritti sulle vostre risposte, più un quadro di maturità su dieci ambiti. I documenti sono consegnati in inglese come file Word modificabili e restano vostri, senza impegno.

Questo articolo è un'informazione generale e non costituisce consulenza legale. Verificate il testo consolidato del regolamento (UE) 2024/1689, come modificato dal regolamento (UE) 2026/1744, e la normativa italiana vigente. Situazione aggiornata a ottobre 2026.