La conformità dentro il workflow,
non dopo.
Ogni AI Workflow Design che innestiamo porta con sé un overlay di conformità: quattro controlli che accompagnano ogni caso d'uso, così sai dal primo giorno cosa puoi fare, cosa va segnalato e cosa va documentato. Questo è cosa contengono, per intero — senza allarmismi e senza gate.
Nella maggior parte dei casi usi l'AI, non la costruisci: sei un deployer. Gli obblighi sono reali ma più leggeri di quelli di chi i sistemi li vende — e li mappiamo noi.
Una scadenza, invece, è ferma: dal 2 agosto 2026 l'articolo 50 dell'AI Act chiede di dire a chi ti scrive che sta parlando con un'AI. È l'obbligo più semplice da sistemare, e l'abbiamo scritto per intero:
Dal 2 agosto devi dire ai clienti che stanno parlando con un'AIChe rischio è la tua AI?
Scegli cosa fa la tua AI: ti orientiamo sul livello di rischio probabile secondo l'EU AI Act e sugli obblighi che ne derivano — poi puoi approfondire qui sotto o parlarne con noi.
Vietato dall'AI Act, anche per un'impresa privata. Se un caso ricade qui non si mitiga — non si fa.
- L'uso non è ammesso: va escluso dal progetto, non regolato.
Permesso, ma con gli obblighi seri dell'Allegato III e dell'articolo 26. È la fascia impegnativa: va disegnata con attenzione fin dall'inizio.
- Supervisione umana effettiva sulle decisioni.
- Uso secondo le istruzioni del fornitore, con dati in ingresso pertinenti allo scopo.
- Monitoraggio del funzionamento e log conservati per almeno sei mesi.
- Segnalazione degli incidenti gravi.
Nessuna macchina pesante: solo obblighi di trasparenza. La persona deve sapere che sta interagendo con — o leggendo — un output dell'AI.
- Un chatbot deve dichiararsi tale.
- I contenuti generati o modificati dall'AI vanno segnalati come tali.
Nessun obbligo specifico dell'AI Act. Qui ricade la stragrande maggioranza dell'AI di una PMI.
- Nessun obbligo formale dall'AI Act — restano le buone pratiche di sicurezza e la protezione dei dati (GDPR).
Orientamento educativo, non una determinazione legale né una consulenza. La classificazione definitiva dipende dal caso concreto e va verificata caso per caso.
Il livello di rischio
L'EU AI Act ordina gli usi dell'AI per livello di rischio. Collochiamo ogni caso d'uso nel livello giusto, così sai in anticipo quali obblighi scattano davvero — e quali no.
-
Minimo e limitato
Dove cade la gran parte dei workflow per le PMI: copilot interni, generazione di contenuti, bot di supporto. Obblighi leggeri — soprattutto trasparenza, come dichiarare che l'utente sta parlando con un'AI.
-
Alto rischio — lo segnaliamo a parte
Selezione del personale, valutazione del credito, biometria: qui scattano gli obblighi pesanti del deployer — supervisione umana assegnata, dati di input pertinenti, conservazione dei log, monitoraggio e segnalazione degli incidenti. Se un caso d'uso ci finisce dentro, lo evidenziamo distintamente nel catalogo, non lo nascondiamo in mezzo agli altri.
Per le PMI sono previste semplificazioni dedicate (documentazione tecnica ridotta, canali di consultazione, sandbox regolatorie). Le scadenze sui sistemi ad alto rischio si muovono ancora, e quelle le rileggiamo a ogni ingaggio; quella dell'articolo 50 no — è il 2 agosto 2026, ed è l'unica data che stampiamo qui.
La valutazione d'impatto (DPIA)
Il GDPR chiede una valutazione d'impatto sulla protezione dei dati (DPIA) quando il trattamento è "probabilmente ad alto rischio". Verifichiamo se il tuo caso la fa scattare prima di partire.
-
Decisioni automatizzate con effetti legali o significativi sulle persone
-
Dati particolari trattati su larga scala
-
Monitoraggio sistematico di spazi accessibili al pubblico
Il pezzo che i template standard saltano
Una DPIA generica copre la parte GDPR ma ignora i rischi propri dell'AI: opacità del modello, memorizzazione dei dati di addestramento, deriva nel tempo, il diritto alla cancellazione che si scontra con un modello già addestrato. La nostra valutazione porta una sezione dedicata a questi, non solo il boilerplate.
Etichette di rischio, non prosa
Ogni caso d'uso riceve un'etichetta strutturata sul modello dell'MIT AI Risk Repository, invece di un paragrafo discorsivo. Due assi che si combinano, così il rischio diventa tracciabile e confrontabile tra un workflow e l'altro.
- Come nasce il rischio
- Chi lo origina (una persona, l'AI, altro), se è intenzionale o no, e se emerge prima o dopo la messa in produzione.
- Che tipo di rischio è
- Discriminazione, privacy e sicurezza, disinformazione, uso improprio, interazione uomo-macchina, impatti socioeconomici, guasti del sistema.
Un esempio concreto
Le allucinazioni di un copilot di vendita si etichettano come rischio di disinformazione, originato dall'AI, non intenzionale, che emerge dopo la messa in produzione — con la sua mitigazione scritta accanto. Un'etichetta citabile al posto di una frase.
Il presidio normativo italiano
Al livello europeo si aggiunge quello nazionale: il Garante Privacy e i principi italiani sull'intelligenza artificiale. È materia che cambia in fretta e l'attività ispettiva è reale, non teorica — quindi la rileggiamo a ogni ingaggio invece di darla per scontata.
La supervisione umana resta parte del design
Il filo che tiene insieme i quattro controlli: nessun workflow che innestiamo prende decisioni al posto delle persone senza un punto di controllo umano. È così che l'overlay smette di essere un capitolo a parte ed entra nel modo stesso in cui il workflow è disegnato.
Le analisi dietro questi controlli.
- EU AI Act per le PMI: cosa cambia davvero (e cosa no) Conformità ·
- Dal 2 agosto devi dire ai clienti che stanno parlando con un'AI Conformità ·
- Governance dell'AI in una PMI: i controlli che rendono un caso d'uso difendibile Conformità ·
- Il fornitore AI che stai per adottare è affidabile? SOC 2, ISO 42001 e cosa chiedere prima di firmare Conformità ·
- Il codice scritto dall'AI è sicuro? Cosa dicono gli studi indipendenti — e cosa metterne nel contratto Conformità ·
L'overlay è parte del design. Non un extra.
Vedi come si cala su un reparto reale negli esempi aperti di AI Workflow Design, oppure parti dalla valutazione gratuita per capire da dove conviene cominciare.
Questa pagina è a scopo orientativo: non costituisce consulenza legale né una valutazione di conformità puntuale, che facciamo insieme sul tuo caso concreto.