Studio CraveroConsulente AI Act a Belluno
Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Belluno è uno dei pochi territori dove l'AI Act incrocia contemporaneamente due profili pesanti. L'occhiale da vista è un dispositivo medico, quindi un prodotto già regolato: integrarci una funzione intelligente significa entrare nell'Allegato I. E i sistemi di prova virtuale analizzano il volto del cliente, il che apre il capitolo dei dati biometrici. Come DPO certificato aiuto a classificare i sistemi di IA già in uso e a documentare gli obblighi che ne derivano.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Belluno da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
Belluno Veneto
I settori del territorio e i sistemi di intelligenza artificiale che usano.
- Dispositivi medici e occhialeria
- Prova virtuale e analisi del volto
- Produzione e controllo qualità
- Turismo e strutture ricettive
Il perimetro dell'incarico
Il mio lavoro è la conformità: verificare che i sistemi di intelligenza artificiale già in uso, o in valutazione, rispettino quanto previsto dall'AI Act e dal GDPR, e lasciare all'organizzazione la documentazione che lo prova.
Non scelgo strumenti, non li installo e non progetto automazioni. È una professione diversa, con competenze diverse, e il confine è netto: dove c'è già un fornitore tecnologico il mio intervento si affianca al suo sul versante normativo, che nella maggior parte dei casi è la parte scoperta.
Da tenere presente fin dall'inizio: l'AI Act non abroga ne modifica il GDPR. Le due normative convivono e si alimentano degli stessi elementi, e trattarle in momenti separati produce documenti che poi non combaciano.
Dove l'AI Act tocca le imprese e gli enti di Belluno
Dispositivi medici e occhialeria
Funzioni intelligenti integrate in prodotti già soggetti alla normativa sui dispositivi: perimetro dell'Allegato I e ruolo di fornitore.
Prova virtuale e analisi del volto
Sistemi che rilevano misure e simulano l'indossato: la soglia critica e fra misurazione dimensionale e identificazione biometrica.
Produzione e controllo qualità
Visione artificiale sulle lavorazioni e manutenzione predittiva: rischio minimo, da censire comunque nel registro dei sistemi.
Turismo e strutture ricettive
Chatbot, revenue management e gestione degli impianti: rischio limitato, con la formazione stagionale come adempimento più scoperto.
I sistemi in uso a Belluno, classe per classe
Questa è la mappatura che ricorre più spesso nelle organizzazioni del territorio. Non sostituisce l'assessment, ma serve a capire in anticipo dove ci si trova.
| Sistema | Classe | Cosa comporta |
|---|---|---|
| Smistamento automatico delle istanze | Rischio minimo | Nessun obbligo specifico oltre a censimento e formazione, salvo che incida sull'esito del procedimento. |
| Revenue management e prenotazioni | Rischio minimo | Nessun obbligo AI Act. Se personalizza sul singolo ospite valgono le regole GDPR sulla profilazione. |
| Chatbot di prenotazione | Rischio limitato | L'ospite deve sapere di parlare con un sistema automatico. Formazione da rifare a ogni stagione. |
| Chatbot sul portale dei servizi | Rischio limitato | Il cittadino deve poter capire che sta interagendo con un sistema automatico. Obbligo già applicabile. |
| IA generativa utilizzata dal personale | Rischio limitato | Servono misure di alfabetizzazione del personale (art. 4), dovute dal febbraio 2025. Vanno dichiarati solo i deepfake e i testi pubblicati su questioni di interesse pubblico senza revisione umana e responsabilità editoriale. |
| Valutazione automatizzata dei candidati | Alto rischio | Allegato III: l'esito del sistema non può essere l'unico fondamento di assunzioni, sanzioni o licenziamenti. |
| Rilevazione emotiva sui luoghi di lavoro | Vietato | L'art. 5 la proibisce dal 2 febbraio 2025, salvo che il sistema sia destinato a motivi medici o di sicurezza, eccezione da leggere in senso restrittivo. |
Le quattro classi di rischio
Il livello si valuta per singolo sistema, non per organizzazione. Dettaglio ed esempi: i quattro livelli di rischio.
Fornitore o utilizzatore a Belluno?
Le lavorazioni conto terzi bellunesi sono utilizzatori. I gruppi che progettano e immettono sul mercato montature con funzioni intelligenti sono fornitori, e trattandosi di dispositivi medici la valutazione di conformità AI Act va integrata in quella già prevista dalla normativa di settore, non svolta a parte.
Le scadenze
Alfabetizzazione IA del personale (art. 4) e divieti sulle pratiche a rischio inaccettabile (art. 5).
Obblighi di trasparenza (art. 50) applicabili. Le autorità nazionali hanno pieni poteri di vigilanza e sanzione.
Marcatura leggibile automaticamente dei contenuti generati, a carico dei fornitori dei sistemi generativi, più i nuovi divieti sui sistemi di nudificazione.
Gli obblighi sui sistemi ad alto rischio arrivano tra il 2 dicembre 2027 (Allegato III) e il 2 agosto 2028 (Allegato I). Calendario completo, aggiornato al Digital Omnibus e ai decreti attuativi italiani, nella guida alle scadenze. Sui quattro livelli: livelli di rischio dell'AI Act.
Le sanzioni, con i numeri reali
Vale la pena leggere i numeri con attenzione, perché vengono riportati spesso in modo scorretto. I livelli sono tre e per le PMI si applica l'importo più basso tra i due parametri.
Divieti assoluti dell'art. 5, fra cui il punteggio sociale e l'analisi delle emozioni dei lavoratori.
Mancato rispetto degli altri obblighi del Regolamento, a partire dagli avvisi di trasparenza.
Informazioni fuorvianti o lacunose trasmesse agli organi di vigilanza.
Sul piano nazionale i decreti approvati il 4 agosto 2026 graduano gli importi per gravità, con massimali in alcune fattispecie inferiori a quelli europei. La vigilanza sul mercato spetta ad ACN, la notifica ad AgID.
Una precisazione utile: l'art. 4 non ha una sanzione propria. Cio non significa che ignorarlo sia neutro, dato che il livello di diligenza dimostrato entra nella quantificazione di ogni altra sanzione. È l'adempimento più economico del Regolamento è il più disatteso.
Prima di muoverti, conviene sapere cosa ti riguarda davvero. La valutazione iniziale non ha costo e chiarisce quali sistemi hai e quali adempimenti ne discendono.
Richiedi un primo confronto →Come ti accompagno
Mappiamo quali sistemi di IA sono realmente in uso, inclusi quelli adottati spontaneamente dal personale. Il servizio nel dettaglio.
Stabiliamo in quale categoria rientra ciascun sistema e se la tua organizzazione è fornitore o utilizzatore.
Adeguiamo informative, avvisi sui chatbot e dichiarazione dei contenuti generati dove l'art. 50 la richiede. Adeguamento art. 50.
Sessioni pratiche con attestato e registro delle ore, per documentare l'adempimento dell'art. 4. Formazione AI Act.
Policy aziendale sull'uso dell'IA e registro dei sistemi, integrati con la documentazione GDPR già esistente.
Cosa resta in mano tua
La documentazione prodotta è tua, in formato editabile, e non dipende dalla prosecuzione dell'incarico. È una condizione che metto per iscritto, perché il contrario e più comune di quanto si pensi.
- Censimento documentato dei sistemi di IA, con la classificazione di ciascuno
- Documento di valutazione del rischio, coordinato con la DPIA nei casi previsti
- Policy sull'uso dell'IA in azienda, consegnata in formato aperto
- Testi pronti per rendere riconoscibili sistemi conversazionali e contenuti generati
- Percorso formativo per ruoli con materiali, verifica e registro delle presenze
- Presidi contrattuali verso fornitori di soluzioni basate su intelligenza artificiale
Le domande da fare al tuo fornitore
Molte risposte necessarie all'utilizzatore sono in mano al fornitore e non altrove. Vanno chieste per iscritto, in fase di trattativa e non dopo.
- Dove esattamente interviene l'intelligenza artificiale nel vostro prodotto, e cosa e disattivabile?
- I contenuti che carichiamo alimentano l'addestramento dei modelli? Come si esclude questa possibilità?
- Che classe di rischio attribuite al sistema, e in base a quale valutazione?
- Con quali sub-responsabili lavorate e dove sono fisicamente i server?
- Qual è il periodo di conservazione dei dati che immettiamo, incluse le sessioni di chat?
- Se il sistema dovesse rientrare fra quelli ad alto rischio, ci fornirete la documentazione richiesta?
Le risposte vanno conservate insieme all'accordo sul trattamento ex art. 28 GDPR.
Domande frequenti
Un occhiale con funzioni intelligenti rientra nell'Allegato I?
Se integra un sistema di intelligenza artificiale ed è un dispositivo medico, si: l'Allegato I riguarda i sistemi di IA incorporati in prodotti già soggetti a normative settoriali, con obblighi dal 2 agosto 2028. La valutazione di conformità e pensata per essere integrata in quella prevista dalla disciplina sui dispositivi, non duplicata.
La prova virtuale tratta dati biometrici?
Dipende dalla finalità. Rilevare misure per centrare una lente e un trattamento dimensionale. Elaborare i tratti del volto in modo da consentire l'identificazione univoca della persona e trattamento di dati biometrici, che richiede una condizione dell'art. 9 GDPR. Il discrimine e se il dato consente di riconoscere quella persona, e per quanto tempo viene conservato.
Il controllo qualità sulle lavorazioni comporta obblighi?
Oltre al censimento e alla formazione del personale, di norma no. Un sistema che scarta pezzi difettosi non incide su diritti fondamentali e resta a rischio minimo, salvo che operi come componente di sicurezza di un macchinario regolato dalla normativa di prodotto.
La formazione va rifatta al personale stagionale?
Si, se cambia. L'obbligo dell'art. 4 riguarda chiunque utilizzi i sistemi per conto dell'organizzazione, quindi in una struttura ricettiva dolomitica va inserito nell'onboarding di inizio stagione e documentato ogni volta, non svolto una sola volta e archiviato.
Vuoi sapere se la tua azienda o il tuo ente e in regola?
La prima valutazione è gratuita: mappiamo i sistemi di IA in uso e definiamo cosa serve davvero, senza allarmismi.
Richiedi la valutazione gratuita →Approfondimenti: Consulenza AI Act (quadro nazionale) · Articolo 50 e trasparenza · Le scadenze aggiornate
Sui trattamenti GDPR della tua zona: Consulenza GDPR e DPO a Belluno