Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Bologna e provincia ospitano uno dei distretti del packaging e dell'automazione industriale più rilevanti d'Europa, un ecosistema di ricerca sui dati di primo piano e una sanità universitaria di riferimento nazionale. Come DPO certificato seguo aziende ed enti bolognesi nella classificazione dei loro sistemi di IA.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Bologna da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
Il mio lavoro è la conformità: verificare che i sistemi di intelligenza artificiale già in uso, o in valutazione, rispettino quanto previsto dall'AI Act e dal GDPR, e lasciare all'organizzazione la documentazione che lo prova.
Non scelgo strumenti, non li installo e non progetto automazioni. È una professione diversa, con competenze diverse, e il confine è netto: dove c'è già un fornitore tecnologico il mio intervento si affianca al suo sul versante normativo, che nella maggior parte dei casi è la parte scoperta.
Da tenere presente fin dall'inizio: l'AI Act non abroga ne modifica il GDPR. Le due normative convivono e si alimentano degli stessi elementi, e trattarle in momenti separati produce documenti che poi non combaciano.
Macchine con IA integrata per il confezionamento e il controllo qualità in linea: quando l'IA e parte di un macchinario già regolato da normativa di prodotto, rientra nell'Allegato I, con obblighi dal 2 agosto 2028.
L'ecosistema di ricerca sui dati bolognese (centri di calcolo, spin-off, aziende ICT) sviluppa spesso modelli di IA propri: chi li immette sul mercato con il proprio nome diventa fornitore, con obblighi pieni.
AI diagnostica e sistemi di supporto clinico nei policlinici bolognesi: possono rientrare tra i sistemi ad alto rischio quando incidono su decisioni sanitarie rilevanti.
Tracciabilità alimentare assistita da IA, analisi dei flussi di visitatori durante le fiere: perlopiu rischio limitato, con obblighi di trasparenza verso clienti ed espositori.
Questa è la mappatura che ricorre più spesso nelle organizzazioni del territorio. Non sostituisce l'assessment, ma serve a capire in anticipo dove ci si trova.
| Sistema | Classe | Cosa comporta |
|---|---|---|
| Smistamento automatico delle istanze | Rischio minimo | Nessun obbligo specifico oltre a censimento e formazione, salvo che incida sull'esito del procedimento. |
| Supporto diagnostico e triage | Alto rischio | Allegato III: sorveglianza umana, qualità dei dati e registrazione. Obblighi dal 2 dicembre 2027. |
| Modelli sviluppati internamente | Da verificare | Chi mette in servizio il sistema con il proprio nome assume il ruolo di fornitore, con obblighi molto più estesi. |
| Chatbot sul portale dei servizi | Rischio limitato | Il cittadino deve poter capire che sta interagendo con un sistema automatico. Obbligo già applicabile. |
| Assistenti generativi usati dal personale | Rischio limitato | Trasparenza sui contenuti generati e, soprattutto, obbligo di formazione già scaduto da febbraio 2025. |
| Screening dei curriculum e valutazione | Alto rischio | Allegato III. Vietato fondare unicamente sull'esito automatico assunzioni, provvedimenti disciplinari e licenziamenti. |
| Riconoscimento delle emozioni sul lavoro | Vietato | Pratica vietata dall'art. 5 senza eccezioni dal 2 febbraio 2025. Vale anche quando è una funzione secondaria del sistema. |
Il livello si valuta per singolo sistema, non per organizzazione. Dettaglio ed esempi: i quattro livelli di rischio.
A Bologna la distribuzione tra fornitore e utilizzatore e più equilibrata che nella media italiana: le aziende di packaging e automazione che integrano IA nei propri macchinari sono spesso fornitori, mentre chi adotta questi macchinari o software di terzi nei propri processi resta utilizzatore.
Alfabetizzazione IA del personale (art. 4) e divieti sulle pratiche a rischio inaccettabile (art. 5).
Obblighi di trasparenza (art. 50) applicabili. Le autorità nazionali hanno pieni poteri di vigilanza e sanzione.
Marcatura leggibile automaticamente dei contenuti generati dall'IA, più i nuovi divieti sui sistemi di nudificazione.
Gli obblighi sui sistemi ad alto rischio arrivano tra il 2027 e il 2028. Il calendario completo, aggiornato al Digital Omnibus e ai decreti attuativi italiani, e nella guida alle scadenze AI Act.
Vale la pena leggere i numeri con attenzione, perché vengono riportati spesso in modo scorretto. I livelli sono tre e per le PMI si applica l'importo più basso tra i due parametri.
Divieti assoluti dell'art. 5, fra cui il punteggio sociale e l'analisi delle emozioni dei lavoratori.
Mancato rispetto degli altri obblighi del Regolamento, a partire dagli avvisi di trasparenza.
Informazioni fuorvianti o lacunose trasmesse agli organi di vigilanza.
Sul piano nazionale i decreti approvati il 4 agosto 2026 graduano gli importi per gravità, con massimali in alcune fattispecie inferiori a quelli europei. La vigilanza sul mercato spetta ad ACN, la notifica ad AgID.
Una precisazione utile: l'art. 4 non ha una sanzione propria. Cio non significa che ignorarlo sia neutro, dato che il livello di diligenza dimostrato entra nella quantificazione di ogni altra sanzione. È l'adempimento più economico del Regolamento è il più disatteso.
Prima di muoverti, conviene sapere cosa ti riguarda davvero. La valutazione iniziale non ha costo e chiarisce quali sistemi hai e quali adempimenti ne discendono.
Richiedi un primo confronto →Mappiamo quali sistemi di IA sono realmente in uso, inclusi quelli adottati spontaneamente dal personale. Il servizio nel dettaglio.
Stabiliamo in quale categoria rientra ciascun sistema e se la tua organizzazione è fornitore o utilizzatore.
Adeguiamo informative, avvisi sui chatbot e dichiarazione dei contenuti generati. Adeguamento art. 50.
Sessioni pratiche con attestato e registro delle ore, per documentare l'adempimento dell'art. 4. Formazione AI Act.
Policy aziendale sull'uso dell'IA e registro dei sistemi, integrati con la documentazione GDPR già esistente.
La documentazione prodotta è tua, in formato editabile, e non dipende dalla prosecuzione dell'incarico. È una condizione che metto per iscritto, perché il contrario e più comune di quanto si pensi.
Molte risposte necessarie all'utilizzatore sono in mano al fornitore e non altrove. Vanno chieste per iscritto, in fase di trattativa e non dopo.
Le risposte vanno conservate insieme all'accordo sul trattamento ex art. 28 GDPR.
Spesso si, nell'Allegato I: quando l'IA e incorporata in un prodotto già regolato da normativa di sicurezza dei macchinari, si applicano obblighi ad alto rischio dal 2 agosto 2028. Chi produce il macchinario e fornitore; chi lo usa in fabbrica e utilizzatore.
No, solo se sviluppano e immettono sul mercato un proprio sistema. Se realizzano progetti di ricerca senza immetterli sul mercato, o se usano modelli di terzi senza modificarli sostanzialmente, restano nel perimetro di obblighi più leggeri.
Assessment, classificazione dei sistemi, formazione e documentazione si gestiscono in digitale, con videocall e scambio documentale su canali sicuri. Dove serve un sopralluogo, ad esempio su impianti o videosorveglianza, si organizza un intervento dedicato.
La prima valutazione è gratuita: mappiamo i sistemi di IA in uso e definiamo cosa serve davvero, senza allarmismi.
Richiedi la valutazione gratuita →Servizio dedicato: Formazione AI Act (art. 4) · Approfondimenti: Consulenza AI Act (quadro nazionale) · Le scadenze aggiornate· Ravenna
Sui trattamenti GDPR della tua zona: DPO a Bologna
Consulenza AI Act nelle città vicine: Firenze · Padova · Modena · Ferrara
Studio Cravero