L'AI Act, implementato nel software, non solo nei policy.
Il Regolamento UE 2024/1689 (AI Act) entra in vigore ad agosto 2026. Chi sviluppa o usa AI ad alto rischio (HR, scoring credito, applicazioni biometriche, healthcare) deve implementare requisiti tecnici precisi. Li costruiamo nel software, non nei documenti che nessuno legge.
Cosa succede oggi.
L'AI Act introduce per la prima volta in Europa un quadro normativo per i sistemi AI con un approccio risk-based. Per sistemi 'high-risk' (HR, scoring credito, biometria, alcuni casi healthcare) servono requisiti tecnici specifici: trasparenza utente, logging delle decisioni, valutazione bias, human oversight, robustezza testing.
Molte aziende si stanno preparando con policy, comunicazioni interne e DPIA-like documents. Il problema è che la conformità AI Act richiede implementazione tecnica concreta nel software: senza quella, la policy è carta. Lavoriamo per portare i requisiti dal documento al codice.
Le policy AI non implementate nel software sono lettere all'autorità. La conformità vive nel codice.
La soluzione, smontata in parti.
-
Risk classification + threat model
Classifichiamo il sistema AI per livello di rischio AI Act (proibito, alto rischio, rischio limitato, minimo). Per high-risk, threat model dei rischi specifici (bias, manipolazione, errore di classificazione, perdita di privacy).
-
Requisiti tecnici implementati
Trasparenza utente (dichiarazione esplicita di interazione AI), logging strutturato delle decisioni AI (input, output, confidence, modello, versione), valutazione bias su dataset rappresentativi, human oversight nei flussi critici, robustezza testing con adversarial inputs.
-
Documentazione + audit kit
Technical documentation come richiesta da AI Act (Annex IV), audit log esportabili, evidenze dei test eseguiti, threat model versionato, processo di gestione incident AI. Tutto pronto per audit autorità o cliente enterprise.
I profili tipici di chi ne beneficia.
-
Aziende che sviluppano o usano AI in HR
Sistemi di screening CV, video interviewing automatizzato, performance evaluation, decisioni di promozione/licenziamento supportate da AI: tutti rientrano nell'alto rischio.
-
Fintech con scoring AI per credito
Sistemi di credit scoring, fraud detection con decisioni automatiche, classificazione clienti per rischio: l'AI Act richiede explainability, human oversight, audit trail strutturato.
Trasparenza sui compiti del cliente.
Prima di partire abbiamo bisogno di alcuni accessi e decisioni. Tutto ragionevole, nessuna richiesta sorpresa.
-
Sistema da rendere conforme
- Descrizione tecnica del sistema AI (algoritmi, dati di training, scopo)
- Mapping casi d'uso effettivi (chi lo usa, per quali decisioni, con quali implicazioni)
-
Decisioni governance
- Risk owner aziendale (CISO, DPO, Compliance Officer)
- Policy interne preesistenti su AI, privacy, sicurezza
Numeri orientativi, non preventivi.
- TEMPI
- Tipicamente 8-16 settimane per audit + remediation di un sistema esistente. Per sistemi nuovi, integriamo la compliance fin dal design.
- COSTI
- Range €25.000-80.000 a seconda della complessità del sistema esistente e dello stato di partenza.
- MODELLO
- Time & material per la fase di audit, milestone fisse per la remediation.
Numeri orientativi. Per un preventivo accurato, parliamoci.
Le risposte alle domande più frequenti.
Il mio sistema AI ricade nel "high-risk" AI Act?
L'AI Act elenca casi d'uso ad alto rischio (Annex III): HR (screening, performance), scoring credito, biometria di identificazione, gestione infrastrutture critiche, alcune applicazioni law enforcement e healthcare. La classificazione è caso per caso. Facciamo un risk assessment iniziale per stabilire dove ricade il vostro sistema.
Quando entra in vigore l'AI Act?
L'AI Act è in vigore con applicazione progressiva: divieti già attivi (febbraio 2025), obblighi GPAI da agosto 2025, requisiti high-risk da agosto 2026. Le sanzioni per non conformità vanno fino al 7% del fatturato globale annuo o €35M, scegliendo il maggiore.
Vi occupate anche della compliance legale complessiva?
No. Implementiamo i requisiti tecnici dell'AI Act nel software. La compliance organizzativa, legale e procedurale resta in capo al vostro DPO/CISO/Compliance Officer. Lavoriamo bene a fianco di queste figure: consegniamo evidenze tecniche, audit log, technical documentation, supporto per audit di terze parti.
Riconoscete il vostro caso?
Scrivete due righe sul vostro contesto. Rispondiamo entro 24-48 ore con una valutazione iniziale e un primo orientamento di tempi e costi.
Parliamone