AI Act: scadenze 2026-2027 per le aziende italiane (timeline operativa)

Aggiornato ad aprile 2026 · Categoria: AI Compliance · Autore: Matteo Mirabelli

L'AI Act — formalmente Regolamento (UE) 2024/1689 del Parlamento Europeo e del Consiglio del 13 giugno 2024 — è entrato in vigore il 1° agosto 2024 e si applica per fasi nei trentasei mesi successivi. Per le aziende italiane le scadenze chiave sono cinque, distribuite tra il 2025 e il 2027, con un orizzonte ulteriore al 2030 per la pubblica amministrazione.

La prima soglia (2 febbraio 2025) ha già reso operativi gli obblighi di alfabetizzazione AI dei dipendenti (articolo 4) e il divieto delle pratiche AI vietate (articolo 5). La seconda (2 agosto 2025) ha attivato il regime per i fornitori di general-purpose AI (modelli foundation, articoli 50-55). Il 10 ottobre 2025 è entrata in vigore la Legge italiana 132/2025 sull'intelligenza artificiale, che ha aggiunto un livello nazionale di obblighi su trasparenza, deepfake e responsabilità penale, oltre a istituire AESIA — l'Agenzia per l'Intelligenza Artificiale, con sede a Torino — come autorità nazionale competente. La terza scadenza (2 agosto 2026) è quella più impegnativa per la maggior parte delle aziende italiane: scatta il pieno regime per i sistemi ad alto rischio elencati nell'Allegato III, con conformity assessment, marcatura CE, registrazione nel database europeo e fundamental rights impact assessment. La quarta (2 agosto 2027) estende lo stesso regime ai sistemi già in produzione prima dell'agosto 2026, di fatto chiudendo il periodo di grazia per il legacy AI portfolio. La quinta (2 agosto 2030) riguarda i sistemi AI utilizzati dalla pubblica amministrazione.

Questa guida è la timeline operativa: cosa fare entro ciascuna scadenza, quali sanzioni si applicano in caso di inadempienza, quali strumenti permettono di arrivare preparati senza dover ricostruire il sistema di compliance da zero. È pensata per CFO, CIO, COO, DPO e responsabili legal/risk delle aziende italiane che usano o sviluppano AI nei processi operativi.

Disclaimer. Il presente articolo ha finalità informativa e divulgativa e non costituisce parere legale. Per la qualificazione concreta dei vostri sistemi AI ai sensi del Regolamento (UE) 2024/1689 e della Legge 132/2025, fate riferimento al vostro consulente legale e ai testi ufficiali pubblicati sulla Gazzetta Ufficiale dell'Unione Europea (GUUE) e sulla Gazzetta Ufficiale della Repubblica Italiana.

La timeline completa dell'AI Act (2024-2030)

L'AI Act adotta un approccio risk-based stratificato e applica obblighi diversi a partire da date diverse. Riportiamo la timeline integrale, così come definita dall'articolo 113 del Regolamento e integrata dalla normativa italiana.

1° agosto 2024 — entrata in vigore

Il Regolamento (UE) 2024/1689 viene pubblicato sulla GUUE del 12 luglio 2024 ed entra formalmente in vigore il ventesimo giorno successivo, ossia il 1° agosto 2024. Da questa data partono i conteggi dei periodi transitori previsti dall'articolo 113. Nessun obbligo sostanziale è ancora attivo, ma la norma è ufficialmente parte dell'ordinamento UE e direttamente applicabile in tutti gli Stati membri senza necessità di atti di recepimento (essendo un regolamento, non una direttiva).

2 febbraio 2025 — pratiche vietate e AI literacy

A sei mesi dall'entrata in vigore diventano applicabili:

• Articolo 5 — pratiche AI vietate. Sono fuorilegge sistemi di manipolazione subliminale, sfruttamento di vulnerabilità, social scoring di tipo cinese, polizia predittiva basata su profilazione individuale, scraping non mirato di immagini facciali per costituire database, riconoscimento delle emozioni nei luoghi di lavoro e nelle istituzioni educative (con eccezioni mediche e di sicurezza), categorizzazione biometrica per dedurre attributi protetti (etnia, orientamento, opinioni politiche), identificazione biometrica remota in tempo reale negli spazi pubblici da parte delle autorità di polizia (con eccezioni tassative).
• Articolo 4 — alfabetizzazione AI. Tutti i fornitori e deployer di sistemi AI devono garantire un livello sufficiente di AI literacy al personale che opera o utilizza tali sistemi, in proporzione al ruolo, al contesto d'uso e ai destinatari. È un obbligo di mezzi, non di risultato, ma richiede prova documentale (programmi formativi, registri presenze, materiali).
• Articolo 99 — quadro sanzionatorio per le pratiche vietate. Le sanzioni dell'articolo 99 paragrafo 3 sono operative già da febbraio 2025 limitatamente alle violazioni dell'articolo 5.

2 agosto 2025 — General-Purpose AI (GPAI)

A dodici mesi dall'entrata in vigore si attivano gli obblighi del Capo V del Regolamento (articoli 50-55) per i fornitori di modelli AI per finalità generali — i cosiddetti foundation models, GPAI. Sono obblighi di trasparenza, documentazione tecnica, copyright compliance (rispetto del Text and Data Mining opt-out della Direttiva 2019/790), riassunto pubblico dei dati di training. Per i modelli GPAI con rischio sistemico (criterio: training compute superiore a 10^25 FLOPs, ai sensi dell'articolo 51) si aggiungono valutazioni del modello, test avversari, segnalazione di incidenti gravi, cybersecurity rafforzata.

Le aziende italiane che si limitano a usare modelli GPAI come componenti di sistemi a valle (deployer) non sono direttamente soggette a questi obblighi, ma devono accertarsi che il fornitore sia in regola — clausola contrattuale standard nei DPA aggiornati.

10 ottobre 2025 — Legge italiana 132/2025

La Legge 23 settembre 2025 n. 132, pubblicata in Gazzetta Ufficiale il 25 settembre 2025, è entrata in vigore il 10 ottobre 2025. Aggiunge al quadro UE:

• Trasparenza dei sistemi AI in ambito sanitario, lavorativo, giudiziario, educativo, mediatico. Obbligo di dichiarare l'uso di AI nelle decisioni e nei contenuti.
• Deepfake. Reato specifico di diffusione di contenuti generati o manipolati con AI senza identificazione o consenso, con aggravanti se finalizzati a danno reputazionale o frode.
• Coordinamento autorità. AESIA come autorità nazionale notificata ex AI Act, in coordinamento con Garante per la protezione dei dati personali, AgID, Banca d'Italia, IVASS, Consob per i settori di rispettiva competenza.
• Sandbox regolamentari. Quadro per sperimentazioni AI controllate, rafforzando l'articolo 57 del Regolamento UE.
• Responsabilità penale e civile. Aggravante per reati commessi tramite AI, incluse modifiche al codice penale e al D.lgs. 231/2001.

2 agosto 2026 — sistemi ad alto rischio (full enforcement)

A ventiquattro mesi dall'entrata in vigore — la scadenza più rilevante per la stragrande maggioranza delle aziende italiane — diventa pienamente applicabile il regime per i sistemi ad alto rischio elencati nell'Allegato III del Regolamento. È la data che rende esecutivi i Capi III (Sistemi AI ad alto rischio, articoli 6-49), IV (obblighi di trasparenza per fornitori e deployer di certi sistemi, articolo 50), VII (governance), IX (codici di condotta) e XII (sanzioni).

Le otto aree dell'Allegato III: biometria; infrastrutture critiche; istruzione e formazione professionale; lavoro, gestione del personale e accesso al lavoro autonomo (HR, recruiting, valutazione); accesso a servizi essenziali pubblici e privati (credit scoring, scoring assicurativo, sussidi pubblici); applicazione della legge; migrazione, asilo e gestione del controllo delle frontiere; amministrazione della giustizia e processi democratici.

2 agosto 2027 — sistemi pre-esistenti

A trentasei mesi dall'entrata in vigore scade il periodo di grazia per i sistemi ad alto rischio già in produzione prima del 2 agosto 2026. I deployer e i fornitori devono averli conformati o decommissionati. È una scadenza che colpisce le aziende con AI legacy non documentata: piattaforme HR introdotte nel 2022-2024, sistemi di credit scoring sviluppati in-house, motori di pricing assicurativo basati su modelli esistenti.

2 agosto 2030 — pubblica amministrazione

L'articolo 111 del Regolamento prevede una proroga ulteriore per i sistemi AI ad alto rischio già utilizzati o sviluppati dalle autorità pubbliche prima del 2 agosto 2026. Devono essere conformati entro il 2 agosto 2030. Questa proroga non si estende ai privati che forniscono sistemi alle PA — il fornitore privato deve essere conforme dal 2026/2027 anche se la PA cliente ha il termine 2030 per la propria parte.

Cosa fare entro febbraio 2025 — già passato (e cosa fare se siete in ritardo)

Le scadenze del 2 febbraio 2025 sono già operative da oltre un anno alla data di pubblicazione di questa guida. Molte aziende italiane vi sono arrivate impreparate. Il rischio di sanzione retroattiva per inadempimento esiste — l'articolo 99 paragrafo 3 prevede multe fino al 7% del fatturato globale annuo per violazioni dell'articolo 5.

Se siete in ritardo, le azioni minime di catch-up sono tre.

Inventario dei casi d'uso. Mappate tutti gli usi di AI dentro l'azienda. Includete strumenti SaaS con AI integrata (Microsoft Copilot, Salesforce Einstein, Google Workspace AI), modelli auto-sviluppati, modelli embedded nei prodotti che vendete. Categorizzate ciascun caso rispetto all'articolo 5 (vietati), Allegato III (alto rischio), articolo 50 (trasparenza) o nessuna categoria (rischio minimo). Output: un AI register interno, file vivo aggiornato trimestralmente.

Verifica articolo 5. Tre aree dove le aziende italiane scivolano facilmente: monitoraggio emozionale dei dipendenti tramite videocamere o sentiment analysis nelle call (vietato), sistemi di scoring interno dei collaboratori basati su comportamenti aggregati (rischio social scoring se applicato in modo indiscriminato), categorizzazione biometrica negli spazi clienti senza basi giuridiche solide. Tutti questi vanno smantellati o rifattorizzati.

Programma di alfabetizzazione AI. Un piano formativo documentato per ruolo: top management (1-2 ore, governance e responsabilità), middle management (4 ore, casi d'uso e gestione del rischio), utenti operativi (2-4 ore, uso responsabile, prompt injection, allucinazioni), team tecnici (8+ ore, sviluppo conforme). Erogazione interna o tramite provider, ma deve essere tracciato — l'autorità che ispeziona vuole vedere registri, materiali, attestati.

Cosa fare entro agosto 2026

È la scadenza chirurgica. Per ogni sistema AI ad alto rischio (Allegato III) che usate o fornite, dal 2 agosto 2026 occorre avere completato un set rigoroso di adempimenti. Riportiamo l'elenco operativo, articolo per articolo.

Sistema di gestione del rischio (articolo 9). Documento vivo che identifica, analizza, valuta e mitiga i rischi prevedibili lungo l'intero ciclo di vita del sistema, con test e validazione. Va aggiornato periodicamente.

Data governance (articolo 10). I dataset di training, validazione e test devono essere rilevanti, sufficientemente rappresentativi, privi di errori per quanto possibile, e completi rispetto allo scopo. Documentare provenienza, raccolta, etichettatura, pulizia, bias mitigation. Per i deployer che acquistano da terzi: clausole contrattuali che impongono al fornitore questa documentazione.

Documentazione tecnica (articolo 11 + Allegato IV). Un dossier che descrive il sistema, le sue capacità e i suoi limiti, l'architettura, l'algoritmo, i dati, le metriche di performance, i risultati dei test. Deve essere aggiornato per tutta la vita del sistema e fornito alle autorità su richiesta. È il documento più impegnativo del pacchetto.

Logging e tracciabilità (articolo 12). Capacità tecnica di registrare automaticamente eventi rilevanti durante il funzionamento. I log vanno conservati almeno sei mesi (o di più, in funzione del settore e della normativa applicabile — Garante Privacy raccomanda dodici mesi minimo per HR e credit scoring).

Trasparenza per i deployer (articolo 13). Istruzioni d'uso chiare, complete, accessibili, in lingua dell'utente, che spiegano funzionamento, limiti, situazioni di rischio prevedibili, supervisione umana attesa, manutenzione necessaria.

Supervisione umana (articolo 14). Misure tecniche e organizzative per garantire che persone fisiche possano intervenire sul sistema. Il deployer deve poter capire l'output, riconoscere le ipotesi di errore e fermare il sistema in caso di rischio.

Accuratezza, robustezza, cybersecurity (articolo 15). Performance documentate e dichiarate nelle istruzioni; resilienza a errori, guasti, input avversari; protezioni contro accessi non autorizzati e manipolazioni del modello.

Conformity assessment (articoli 43-49). Procedura di valutazione della conformità — per la maggior parte dei sistemi ad alto rischio è una conformità auto-assessata dal fornitore secondo il modulo dell'Allegato VI. Per la biometria identificativa è obbligatoria la valutazione di un organismo notificato terzo (modulo Allegato VII).

Marcatura CE e dichiarazione di conformità UE (articoli 47-48). Una volta completato il conformity assessment, il fornitore appone la CE sul sistema (o, per sistemi solo software, in modo digitale) e redige la dichiarazione UE di conformità.

Registrazione nel database UE (articolo 71). Prima dell'immissione sul mercato o della messa in servizio, il sistema viene registrato nella banca dati pubblica gestita dalla Commissione UE.

Fundamental Rights Impact Assessment — FRIA (articolo 27). Obbligatorio per deployer pubblici e per deployer privati che eroghino servizi di pubblica utilità (banche per credit scoring, assicurazioni per underwriting, datori di lavoro per HR). È un'analisi d'impatto sui diritti fondamentali specifica e separata dal DPIA del GDPR — anche se metodologicamente compatibile e spesso integrabile.

Per i fornitori extra-UE. Obbligo di nominare un rappresentante autorizzato stabilito nell'Unione (articolo 22), con poteri scritti.

Per i deployer. Monitoraggio continuo (articolo 26), informazione delle persone fisiche soggette al sistema (articolo 26 paragrafo 11), workflow di opt-out o reclamo dove pertinente, conservazione dei log generati dal sistema, sospensione e segnalazione incidenti gravi (articolo 73).

Cosa fare entro agosto 2027

Il 2 agosto 2027 è la data di chiusura del periodo di grazia per il legacy AI portfolio. Tutti i sistemi ad alto rischio che erano già in produzione prima del 2 agosto 2026 devono essere conformati o ritirati. La conformazione retroattiva è spesso più costosa della conformazione di un sistema nuovo, perché richiede: ricostruire la documentazione tecnica per modelli sviluppati anni fa, spesso da team che non esistono più; rifare data governance su dataset non più disponibili o non più tracciabili alla fonte; introdurre logging e supervisione su sistemi che non li avevano nativamente.

Strategia operativa per arrivare al 2027 senza sorprese: fate adesso, nel 2026, l'audit retrospettivo dei sistemi pre-esistenti e classificate ognuno in tre categorie. Conformabili. Sistema documentato, dataset tracciabili, architettura modulare — si può conformare con costo ragionevole. Da rifattorizzare. Sistema in produzione utile ma non documentato — meglio ricostruirlo come sistema nuovo conforme by design rispetto a fingere conformità retroattiva. Da decommissionare. Sistema marginale, basso valore di business, costo di conformazione superiore al beneficio — ritiratelo prima dell'agosto 2027.

Per ciascun sistema della terza categoria pianificate il phase-out, comunicate ai deployer interni o esterni, programmate la migrazione a un sistema sostitutivo già conforme, archiviate il modello originale per fini di audit.

Sanzioni

Il quadro sanzionatorio dell'AI Act è definito agli articoli 99 (sanzioni amministrative pecuniarie) e 101 (sanzioni per i fornitori di GPAI). I massimali sono espressi come il maggiore tra una percentuale del fatturato globale annuo e una cifra fissa.

Per le PMI e le startup l'articolo 99 paragrafo 6 stabilisce che le multe applicabili sono il valore minore tra le percentuali e i tetti fissi indicati — temperamento esplicito. Ma "PMI" qui significa la definizione UE: <250 dipendenti e fatturato ≤50M€ o totale di bilancio ≤43M€. Aziende italiane mid-market che superano queste soglie cadono nel regime pieno.

Sul fronte italiano, AESIA esercita il potere ispettivo e sanzionatorio in coordinamento con il Garante Privacy quando i sistemi trattano dati personali (caso quasi sempre). Le sanzioni AI Act non assorbono le sanzioni GDPR: una stessa violazione può comportare doppio cumulo (4% GDPR + 7% AI Act in casi estremi). La giurisprudenza UE su ne bis in idem si applica solo se le finalità delle due sanzioni sono identiche, e qui differiscono.

Oltre alle sanzioni pecuniarie, le autorità possono ordinare il ritiro o richiamo del sistema (articolo 79), la sospensione dell'attività di immissione sul mercato, e — per le pratiche vietate — la distruzione dei dati raccolti illegittimamente.

AI Act e ISO 42001 in pratica

Costruire ex novo un sistema di compliance AI Act è oneroso. La via pragmatica passa dall'integrazione con framework esistenti. Tre standard concorrono in modo coerente.

ISO/IEC 42001:2023. Lo standard internazionale per i sistemi di gestione dell'AI. Un'azienda certificata 42001 ha già implementato gran parte degli articoli 9 (risk management), 12 (logging), 14 (supervisione umana), 17 (sistema qualità del fornitore). Il considerando 121 dell'AI Act riconosce esplicitamente che gli standard armonizzati creano presunzione di conformità — ISO 42001, una volta armonizzato a livello europeo (processo CEN-CENELEC in corso), darà presunzione di conformità su porzioni significative del Regolamento.

ISO/IEC 27001:2022. Sistema di gestione della sicurezza delle informazioni. Copre l'articolo 15 (cybersecurity dei sistemi alto rischio) quasi interamente, riducendo ridondanze.

GDPR ROPA (Records of Processing Activities, articolo 30 GDPR). Già obbligatorio. L'AI register richiesto dall'AI Act è un'estensione tematica del ROPA — riusate la struttura, integrate i campi specifici dell'Allegato IV, e avete il dossier tecnico in larga parte già impostato.

Combinare 42001 + 27001 + ROPA aggiornato è la strategia di efficienza: un solo audit interno copre tre framework, una sola governance documentale, un solo team responsabile. Per una mid-cap italiana l'effort di compliance scende del 40-60% rispetto all'approccio "AI Act as a silo".

Ed è esattamente l'approccio che adottiamo dentro Knowlee. Knowlee 4Legals + Knowlee 4Sales sono AI Act-by-design — i dataset sono tracciati alla fonte (data governance articolo 10 nativa), la decisione finale resta sempre umana (articolo 14 per default), il logging conserva ogni interazione fino al singolo prompt (articolo 12), la documentazione tecnica è generata automaticamente (articolo 11), i fundamental rights impact assessment per i casi d'uso HR e legal sono pre-confezionati. Le aziende che adottano Knowlee 4Sales per il go-to-market e Knowlee 4Legals per il legal compliance arrivano alle scadenze 2026-2027 senza dover assumere DPO + AI compliance officer + auditor interno aggiuntivi: l'infrastruttura porta la conformità con sé. (Conflitto di interessi dichiarato: Matteo Mirabelli è founder di Knowlee.ai.)

AESIA — l'Agenzia per l'Intelligenza Artificiale italiana

Istituita dalla Legge 132/2025, AESIA — Agenzia per l'Intelligenza Artificiale — ha sede a Torino ed è operativa dall'autunno 2025 sotto la vigilanza della Presidenza del Consiglio dei Ministri (Dipartimento per la Trasformazione Digitale). Le sue funzioni principali, come definite dalla legge istitutiva e dai regolamenti attuativi:

Autorità nazionale notificata ex AI Act. Punto di contatto unico verso la Commissione UE, l'AI Office europeo e le altre autorità nazionali UE. Coordina la sorveglianza del mercato AI in Italia.

Coordinamento inter-autorità. Lavora a tavolino unico con Garante per la protezione dei dati personali (sui sistemi AI che trattano dati personali — la stragrande maggioranza), Banca d'Italia (sistemi AI in ambito bancario), IVASS (assicurazioni), Consob (mercati finanziari), AgID (PA), AGCOM (mediatica). Per le aziende italiane significa che l'interazione con le autorità su un sistema AI complesso può richiedere un'unica istruttoria multi-authority — efficiente in teoria, da rodare in pratica.

Sandbox regolamentari. AESIA gestisce il framework nazionale di sandbox AI ex articolo 57 del Regolamento. Le aziende possono testare sistemi AI innovativi in ambiente controllato prima dell'immissione sul mercato, con dialogo aperto con l'autorità e — entro certi limiti — sospensione delle conseguenze sanzionatorie durante la fase di test. Strumento prezioso per startup deeptech e PMI che innovano in zone grigie del Regolamento.

Accertamento sanzioni. Insieme al Garante Privacy per il piano dati personali, AESIA contesta le violazioni e applica le sanzioni dell'articolo 99. Il provvedimento sanzionatorio è impugnabile davanti al TAR Lazio.

Promozione e supporto. Pubblica linee guida operative, FAQ, case study, programmi di formazione per le PA e le imprese. Le linee guida AESIA sono soft law: non vincolanti ma fortemente persuasive in caso di contenzioso.

Per le aziende italiane questo significa: AESIA è il primo interlocutore istituzionale per chiarimenti operativi, sandbox, e — quando arriverà il momento — ispezioni. Vale la pena seguirne le pubblicazioni e iscriversi alle consultazioni pubbliche.

Checklist operativa 90 giorni — per CFO, CIO, COO

Quattordici azioni concrete che un'azienda italiana può completare in novanta giorni per arrivare ad agosto 2026 in una posizione difendibile.

1. Nominare un AI compliance owner — funzione legal, risk o digital trasformation, con mandato scritto e budget.
2. Inventariare tutti i sistemi AI in uso — interni, embedded in SaaS di terze parti, embedded nei prodotti che vendete.
3. Classificare ciascun sistema — vietato (articolo 5), alto rischio (Allegato III), trasparenza (articolo 50), rischio minimo, GPAI.
4. Aggiornare il ROPA GDPR — aggiungere i campi richiesti dall'Allegato IV per i sistemi alto rischio.
5. Gap analysis articolo per articolo — confronto tra stato attuale e requisiti articoli 9-15 per ciascun sistema alto rischio.
6. Roadmap di remediation — milestones trimestrali da Q3 2026 a Q3 2027, con owner e budget.
7. Programma di AI literacy — corsi, registri presenze, attestati per tutto il personale rilevante (articolo 4 già operativo).
8. Aggiornare i DPA con i fornitori AI — clausole specifiche su data governance, conformity assessment, logging, segnalazione incidenti.
9. Procedura di incident response — chi fa cosa quando un sistema AI sbaglia in modo grave (articolo 73).
10. Pre-FRIA template — modello base di Fundamental Rights Impact Assessment, da personalizzare per ogni caso d'uso.
11. Audit logging attivo — verificare che tutti i sistemi alto rischio in produzione registrino effettivamente quanto richiesto dall'articolo 12.
12. Allineamento con ISO 27001 / 42001 — se già certificati, mappare i controlli; se non certificati, valutare la certificazione come scorciatoia.
13. Coordinamento con il DPO — l'AI Act non sostituisce il GDPR; il DPO va incluso nei flussi decisionali AI.
14. Pianificare audit esterno o sandbox AESIA — prima di agosto 2026, una validazione esterna sul vostro sistema più critico riduce il rischio sanzionatorio.

Questa checklist non sostituisce il parere del vostro consulente legale — la accosta come strumento di lavoro per il management. Aggiornatela trimestralmente.

FAQ

1. Sono una PMI italiana con meno di 50 dipendenti — sono esentata dall'AI Act?

No. L'AI Act non prevede esenzioni per dimensione. L'articolo 99 paragrafo 6 attenua il regime sanzionatorio per PMI e startup (multa = minore tra percentuale e tetto fisso), ma gli obblighi sostanziali si applicano integralmente. Esistono semplificazioni operative per le micro-imprese sui sistemi GPAI di scala ridotta (articolo 56 paragrafo 5) e accesso prioritario alle sandbox regolamentari (articolo 62), ma nessuna esenzione di principio.

2. Cosa succede se nella mia azienda usiamo ChatGPT Enterprise o Microsoft Copilot?

Siete deployer di sistemi GPAI integrati. La conformità GPAI ricade sul fornitore (OpenAI, Microsoft). Il vostro perimetro di responsabilità: AI literacy del personale (articolo 4, già operativo), trasparenza verso interlocutori quando l'output è generato da AI (articolo 50 paragrafo 1, applicabile da agosto 2026), governance sui prompt e sui dati immessi nel sistema (data governance interna, articolo 10 in modalità deployer), DPA aggiornato col fornitore. Se utilizzate Copilot per decisioni HR o credit scoring, il caso d'uso scivola in alto rischio (Allegato III) e i vostri obblighi si moltiplicano.

3. Posso accedere alla sandbox AESIA?

Sì. AESIA gestisce il framework nazionale di sandbox AI ex articolo 57. L'accesso è su domanda, con priorità a PMI, startup, casi d'uso d'interesse pubblico. La sandbox consente test in ambiente controllato e — in certe condizioni — sospensione di conseguenze sanzionatorie durante la fase di sperimentazione. Pubblicazioni AESIA aggiornate sui criteri di ammissione e sui bandi sono il riferimento.

4. Qual è la relazione tra AI Act e Decreto Legislativo 231/2001?

La Legge italiana 132/2025 ha modificato il D.lgs. 231/2001 introducendo nuovi reati-presupposto che possono dare luogo a responsabilità amministrativa dell'ente in caso di commissione tramite AI (frode, deepfake illecito, manipolazione di mercato, alcuni reati informatici aggravati). Concretamente: se la vostra azienda ha un Modello 231, va aggiornato includendo presidi specifici sui sistemi AI ad alto rischio e sui processi che ne fanno uso. Il responsabile compliance 231 e il responsabile AI compliance dovrebbero coordinarsi.

5. Knowlee è AI Act compliant?

Knowlee è progettato AI Act-by-design. Knowlee 4Legals e Knowlee 4Sales hanno data governance tracciata alla fonte, decisione finale umana per default, logging completo delle interazioni, documentazione tecnica generata automaticamente, e moduli FRIA pre-confezionati per i casi d'uso HR, legal e go-to-market. Il deployer (l'azienda cliente) resta responsabile della propria configurazione e del proprio uso, ma parte da una baseline conforme invece che da zero. La nostra documentazione di conformità è disponibile su richiesta in fase di valutazione contrattuale.

6. Chi può fare l'audit di conformità?

Per la maggior parte dei sistemi ad alto rischio l'audit di conformità è auto-assessato dal fornitore (modulo Allegato VI) — non serve un terzo. Per i sistemi biometrici identificativi e per alcuni sistemi GPAI con rischio sistemico è richiesto un organismo notificato terzo (modulo Allegato VII). In pratica: per la grande maggioranza delle aziende italiane il conformity assessment è interno, ma è prassi ampiamente raccomandata farsi assistere da un auditor esterno indipendente — per credibilità verso clienti, investitori, autorità.

Conclusione

L'AI Act non è uno spauracchio futuro. È legge in vigore con scadenze fissate. Il 2 febbraio 2025 è già passato. Il 2 agosto 2025 è già passato. La Legge 132/2025 è già in vigore. Il 2 agosto 2026 dista pochi mesi. Il 2 agosto 2027 chiude il periodo di grazia per il legacy.

L'azienda italiana che parte adesso, con metodo, può arrivare alla scadenza del 2026 in ordine, evitare le sanzioni del 2027, e usare l'AI Act come leva commerciale (compliance come differenziatore) invece che come zavorra. Quella che procrastina rischia il doppio cumulo AI Act + GDPR e, soprattutto, rischia di scoprire troppo tardi che il proprio AI portfolio è infrastrutturalmente non conformabile.

Knowlee 4Legals supporta i team legal nella mappatura dei sistemi, nella generazione della documentazione tecnica articolo 11, nella redazione dei FRIA, nel monitoraggio dei log articolo 12. Knowlee 4Sales lavora compliant by default — date governance integrata, decisione umana finale, log retention configurabile. Se volete vedere la piattaforma in azione su un caso d'uso reale del vostro AI portfolio, prenotate una demo dal sito knowlee.ai.

— Matteo Mirabelli, founder Knowlee.ai

Letture correlate: EU AI Act — guida per le aziende, AI Act Italia — guida completa, ISO 42001 Italia — guida all'implementazione, ISO 42001 vs ISO 27001, Checklist conformità AI 2026, AI Act articolo 25 — fornitori e deployer, AI Act + Decreto 231 — integrazione compliance, AI Act sistemi ad alto rischio — esempi italiani.