Conformità normativa
Tre discipline che si intrecciano — il regolamento europeo sull'AI, la legge italiana 132/2025 e il GDPR — e un'unica cosa da fare: sapere quali sistemi si usano, in quale classe ricadono, e avere i documenti che lo dimostrano. Si comincia da un audit, si finisce con una cartella di documenti esibibili.
Chi scrive: NEHMA è una società di ingegneria e architettura. Il sistema di intelligenza artificiale che gestisce le nostre commesse l'abbiamo costruito noi, e questi adempimenti li abbiamo fatti prima su di noi. Chi siamo.
Il quadro normativo
AI Act
regolamento UE 2024/1689in vigore, per gradi fino al 2028
Gli obblighi entrano per gradi, su un calendario rivisto dal regolamento (UE) 2026/1744 in vigore dal 27 luglio 2026. Sono già applicabili i divieti sulle pratiche inaccettabili e l'obbligo di alfabetizzazione (art. 4). Dal 2 agosto 2026 valgono gli obblighi di trasparenza dell'art. 50 e i poteri pieni delle autorità di vigilanza. I sistemi ad alto rischio dell'allegato III sono differiti al 2 dicembre 2027, e al 2 agosto 2028 per l'alto rischio incorporato nei prodotti dell'allegato I.
Legge 132/2025
la norma italianain vigore dal 10 ottobre 2025
Non sostituisce il regolamento: aggiunge principi nazionali, regole settoriali e deleghe al Governo. Per le organizzazioni contano subito due cose: le regole sulle professioni intellettuali (AI come supporto, prevalenza del lavoro umano, informativa al cliente) e l'informativa nell'ambito del lavoro. Le deleghe vanno esercitate entro il 10 ottobre 2026 e i primi schemi di decreto sono all'esame del Parlamento: chi si muove ora lo fa su un quadro in via di completamento.
GDPR
regolamento UE 2016/679applicabile dal 25 maggio 2018
È la disciplina più onerosa delle tre. Dove l'AI incontra dati personali — quasi sempre — gli adempimenti sulla protezione dei dati non si sospendono: si riaprono. Basi giuridiche, informative, tempi di conservazione, misure di sicurezza, trasferimenti fuori dall'Unione, diritti degli interessati, valutazione d'impatto. Il fornitore di un modello, quando tratta dati per conto dell'azienda, è responsabile del trattamento e il rapporto va regolato con un accordo ed è tra le prime cose da verificare nelle condizioni contrattuali. Un archivio interrogabile da un agente resta un trattamento, da censire nel registro.
Le tre discipline chiedono in parte gli stessi documenti: costruirle insieme costa meno che farle in tre momenti diversi, e produce carte coerenti invece di tre versioni della stessa cosa.
Si comincia da un audit
Un sistema di intelligenza artificiale si qualifica per quello che fa e per il contesto in cui lo fa: gli stessi due strumenti, in due aziende diverse, ricadono in classi diverse.
Perché il problema, quasi sempre, non sono gli strumenti che l'azienda ha scelto: sono quelli entrati dalla porta di servizio. Le funzioni AI accese nel gestionale dopo un aggiornamento, l'assistente incorporato nella posta, il generatore di testi nel CRM, gli abbonamenti personali usati sul lavoro senza che nessuno lo sappia. Nell'audit emergono, ed è il motivo per cui va fatto guardando i sistemi e parlando con le persone.
Che cosa guarda l'audit
La ricognizione si fa sui sistemi e con le persone che li usano, e il tempo che richiede dipende da quanti processi tocca.
Per la pubblica amministrazione si aggiungono i vincoli sulla qualificazione dei servizi e sugli acquisti.
Il percorso di adozione
Audit dei sistemi in uso
La ricognizione sugli otto piani descritti sopra. Si svolge con interviste ai reparti e verifica diretta sui sistemi, non con un questionario da compilare.
Classificazione per rischio
Ogni sistema viene classificato nella sua classe secondo l'AI Act, con motivazione scritta secondo i criteri fissati dalla norma.
Analisi degli scostamenti
Per ogni sistema, che cosa la norma chiede e che cosa oggi manca. È qui che l'elenco di solito si accorcia: spesso non emergono sistemi ad alto rischio, e l'adempimento si concentra su trasparenza, alfabetizzazione e governo dei dati.
Report e piano di adozione
Il documento che si porta a chi decide: quadro dei sistemi, classi di rischio, scostamenti, interventi in ordine di priorità, con tempi e responsabili. Include anche il verso opposto — quali strumenti conviene adottare e quali evitare — perché un piano che dice solo «non fate» non serve a nessuno.
Documentazione e politiche
La produzione delle carte: registro dei sistemi, informative, politica d'uso interna, istruzioni operative, valutazioni dove servono. Ogni documento con un responsabile e una data di revisione, perché la conformità non è una fotografia ma una manutenzione.
Riesame periodico
I sistemi cambiano da soli: un aggiornamento accende una funzione nuova e la classificazione va rivista. La cadenza si concorda sul profilo dell'organizzazione — quanti sistemi, quanto cambiano, quanto pesano i dati personali — e a ogni giro si aggiorna il registro e si verifica che le misure siano ancora proporzionate.
I documenti che restano all'azienda
Tutti in formato modificabile e con i sorgenti, perché possano essere aggiornati anche senza di noi.
Dove finisce il nostro lavoro
Noi produciamo la ricognizione tecnica e i documenti che ne discendono — registri, schede, istruzioni, schemi di informativa e di politica d'uso. La qualificazione giuridica e la validazione delle informative restano all'impresa e al suo legale.
Per gli enti pubblici il binario è diverso — regole sulla qualificazione dei servizi cloud e sull'acquisto dei servizi digitali, l'art. 30 del codice dei contratti pubblici sull'uso di procedure automatizzate, e le disposizioni della legge 132/2025 che tengono ferma in capo all'amministrazione la responsabilità del provvedimento: ne parliamo nella pagina per le pubbliche amministrazioni.
Come si comincia
Dall'audit, e per avviarlo non serve preparare nulla: si comincia da un incontro in cui si guarda come lavora l'azienda. Dal censimento esce la classificazione, dalla classificazione l'elenco delle cose da fare davvero. Chi ha già cominciato altrove riprende da dove si è fermato: il primo lavoro è capire cosa delle carte esistenti è ancora valido. I riferimenti sono nei contatti.