Studio CraveroConsulente AI Act a Firenze
Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Firenze e il suo comparto turistico-ricettivo stanno introducendo strumenti di intelligenza artificiale a ritmo sostenuto: chatbot, revenue management, in alcuni casi riconoscimento facciale al check-in. Dal 2 agosto 2026 scattano gli obblighi di trasparenza dell'art. 50. Come DPO certificato lavoro sull'adeguamento di hotel, studi professionali e aziende.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Firenze da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
Firenze Toscana
I settori del territorio e i sistemi di intelligenza artificiale che usano.
- Hotel e strutture ricettive
- Check-in e riconoscimento biometrico
- Moda e artigianato
- PA regionale e locale
- Sanità e studi medici
Il perimetro dell'incarico
Mi occupo di conformità normativa. In concreto significa tre cose: stabilire quali sistemi di intelligenza artificiale la tua organizzazione utilizza davvero, determinare in quale classe di rischio ricadono e con quale ruolo li impieghi, e produrre la documentazione che dimostra l'adempimento in caso di verifica.
Non mi occupo invece della scelta, dello sviluppo o dell'integrazione tecnica degli strumenti: quella è una professione diversa e richiede competenze diverse. Se hai già un fornitore tecnologico, il mio lavoro si affianca al suo occupandosi del lato normativo, che è quasi sempre il pezzo mancante.
Il presupposto è sempre lo stesso: l'AI Act non sostituisce il GDPR, si aggiunge. Le due normative attingono agli stessi fatti e producono documentazione che deve risultare coerente, motivo per cui seguirle separatamente con due interlocutori diversi genera quasi sempre contraddizioni.
Dove l'AI Act tocca le imprese di Firenze
Hotel e strutture ricettive
Chatbot per prenotazioni e assistenza ospiti, sistemi di revenue management che ottimizzano i prezzi in tempo reale: rischio limitato, con obbligo di informare l'ospite che sta interagendo con un sistema di IA.
Check-in e riconoscimento biometrico
Alcune strutture usano il riconoscimento facciale per velocizzare il check-in: va verificato con attenzione, perché la categorizzazione biometrica per dedurre dati sensibili e tra le pratiche vietate dall'art. 5.
Moda e artigianato
Controllo qualità visivo automatizzato, personalizzazione del prodotto: strumenti perlopiu a rischio minimo, ma comunque soggetti all'obbligo generale di alfabetizzazione del personale.
PA regionale e locale
Sportelli digitali per servizi al cittadino e al turista: obblighi di trasparenza analoghi a quelli del settore privato, con l'aggravante della fiducia pubblica in gioco.
Sanità e studi medici
Il software di supporto alla diagnosi che è un dispositivo medico rientra fra i sistemi ad alto rischio dell’Allegato I. Trascrizione delle visite e assistenti per la scrittura sono di norma a rischio limitato: restano le misure di formazione dell’art. 4 e, per i dati sanitari, il GDPR.
I sistemi in uso a Firenze, classe per classe
Questa è la mappatura che ricorre più spesso nelle organizzazioni del territorio. Non sostituisce l'assessment, ma serve a capire in anticipo dove ci si trova.
| Sistema | Classe | Cosa comporta |
|---|---|---|
| Smistamento automatico delle istanze | Rischio minimo | Nessun obbligo specifico oltre a censimento e formazione, salvo che incida sull'esito del procedimento. |
| Chatbot di prenotazione | Rischio limitato | L'ospite deve sapere di parlare con un sistema automatico. Formazione da rifare a ogni stagione. |
| Rendering e contenuti generati per il catalogo | Rischio limitato | La marcatura leggibile dalle macchine spetta al fornitore del sistema (art. 50 par. 2). A te spetta dichiarare i contenuti pubblicati per informare il pubblico, se non c'è revisione editoriale. |
| Chatbot sul portale dei servizi | Rischio limitato | Il cittadino deve poter capire che sta interagendo con un sistema automatico. Obbligo già applicabile. |
| IA generativa utilizzata dal personale | Rischio limitato | Servono misure di alfabetizzazione del personale (art. 4), dovute dal febbraio 2025. Vanno dichiarati solo i deepfake e i testi pubblicati su questioni di interesse pubblico senza revisione umana e responsabilità editoriale. |
| Valutazione automatizzata dei candidati | Alto rischio | Allegato III: l'esito del sistema non può essere l'unico fondamento di assunzioni, sanzioni o licenziamenti. |
| Rilevazione emotiva sui luoghi di lavoro | Vietato | L'art. 5 la proibisce dal 2 febbraio 2025, salvo che il sistema sia destinato a motivi medici o di sicurezza, eccezione da leggere in senso restrittivo. |
Le quattro classi di rischio
Il livello si valuta per singolo sistema, non per organizzazione. Dettaglio ed esempi: i quattro livelli di rischio.
Fornitore o utilizzatore a Firenze?
La quasi totalità delle strutture ricettive e delle aziende fiorentine e utilizzatore: adotta piattaforme di prenotazione, chatbot e sistemi di revenue management sviluppati da fornitori terzi. Il ruolo di fornitore riguarda solo le rare aziende tech locali che sviluppano proprie soluzioni per il settore turistico.
Le scadenze
Alfabetizzazione IA del personale (art. 4) e divieti sulle pratiche a rischio inaccettabile (art. 5).
Obblighi di trasparenza (art. 50) applicabili. Le autorità nazionali hanno pieni poteri di vigilanza e sanzione.
Marcatura leggibile automaticamente dei contenuti generati, a carico dei fornitori dei sistemi generativi, più i nuovi divieti sui sistemi di nudificazione.
Gli obblighi sui sistemi ad alto rischio arrivano tra il 2027 e il 2028. Il calendario completo, aggiornato al Digital Omnibus e ai decreti attuativi italiani, e nella guida alle scadenze AI Act.
Le sanzioni, con i numeri reali
Gli importi che circolano sono spesso citati male. I livelli sono tre, e per le PMI si applica l'importo inferiore fra i due parametri, non il maggiore.
Pratiche vietate dall'art. 5: manipolazione, punteggio sociale, riconoscimento delle emozioni sul lavoro.
Violazione degli altri obblighi, inclusa la trasparenza dell'art. 50 e gli adempimenti sui sistemi ad alto rischio.
Informazioni inesatte, incomplete o fuorvianti fornite alle autorità in sede di controllo.
Sul piano nazionale i decreti approvati il 4 agosto 2026 graduano gli importi per gravità, con massimali in alcune fattispecie inferiori a quelli europei. La vigilanza sul mercato spetta ad ACN, la notifica ad AgID.
Un punto che vale la pena chiarire: l'art. 4 sull'alfabetizzazione non prevede una sanzione autonoma. Questo non lo rende privo di conseguenze, perché il grado di diligenza dell'organizzazione incide sulla determinazione di qualunque altra sanzione. È l'adempimento meno costoso, ed è quello che viene rimandato più spesso.
Non sai da dove cominciare? La prima valutazione è gratuita e serve solo a capire quali sistemi hai davvero in casa e quali obblighi ti riguardano.
Richiedi un primo confronto →Come ti accompagno
Mappiamo quali sistemi di IA sono realmente in uso, inclusi quelli adottati spontaneamente dal personale. Il servizio nel dettaglio.
Stabiliamo in quale categoria rientra ciascun sistema e se la tua organizzazione è fornitore o utilizzatore.
Adeguiamo informative, avvisi sui chatbot e dichiarazione dei contenuti generati dove l'art. 50 la richiede. Adeguamento art. 50.
Sessioni pratiche con attestato e registro delle ore, per documentare l'adempimento dell'art. 4. Formazione AI Act.
Policy aziendale sull'uso dell'IA e registro dei sistemi, integrati con la documentazione GDPR già esistente.
Cosa resta in mano tua
Al termine del percorso la documentazione è tua e resta utilizzabile anche senza di me. Non lavoro con documenti che restano dentro piattaforme a cui perdi accesso quando finisce l'incarico.
- Inventario dei sistemi in uso, con classe di rischio e ruolo assunto per ognuno
- Analisi del rischio messa per iscritto e collegata alla valutazione d'impatto quando richiesta
- Regolamento interno sull'utilizzo dell'IA, modificabile e pronto da adottare
- Avvisi e informative già redatti per chatbot, siti e contenuti prodotti con l'IA
- Programma di formazione differenziato per mansione, con attestati e ore tracciate
- Clausole da inserire nei contratti con chi fornisce sistemi o servizi di intelligenza artificiale
Le domande da fare al tuo fornitore
Buona parte della conformità di un utilizzatore dipende da informazioni che solo il fornitore possiede. Queste sono le domande da porre per iscritto, prima di firmare o rinnovare.
- Dove esattamente interviene l'intelligenza artificiale nel vostro prodotto, e cosa e disattivabile?
- I contenuti che carichiamo alimentano l'addestramento dei modelli? Come si esclude questa possibilità?
- Che classe di rischio attribuite al sistema, e in base a quale valutazione?
- Con quali sub-responsabili lavorate e dove sono fisicamente i server?
- Qual è il periodo di conservazione dei dati che immettiamo, incluse le sessioni di chat?
- Se il sistema dovesse rientrare fra quelli ad alto rischio, ci fornirete la documentazione richiesta?
Le risposte vanno conservate insieme all'accordo sul trattamento ex art. 28 GDPR.
Domande frequenti
Un hotel fiorentino con chatbot per le prenotazioni ha obblighi AI Act?
Si. Dal 2 agosto 2026 deve informare l'ospite che sta interagendo con un sistema di IA. È un obbligo di trasparenza (art. 50), non richiede una valutazione di conformità completa come per l'alto rischio.
Il riconoscimento facciale al check-in e legale?
Va valutato con attenzione. La categorizzazione biometrica per dedurre caratteristiche sensibili delle persone è vietata dall'art. 5; un semplice riconoscimento per velocizzare l'accesso può essere ammesso, ma richiede una verifica puntuale insieme alla base giuridica GDPR.
Come si svolge concretamente il percorso di adeguamento?
Assessment, classificazione dei sistemi, formazione e documentazione si gestiscono in digitale, con videocall e scambio documentale su canali sicuri. Dove serve un sopralluogo, ad esempio su impianti o videosorveglianza, si organizza un intervento dedicato.
Vuoi sapere se la tua azienda e in regola?
La prima valutazione è gratuita: mappiamo i sistemi di IA in uso e definiamo cosa serve davvero, senza allarmismi.
Richiedi la valutazione gratuita →Servizio dedicato: Formazione AI Act (art. 4) · Approfondimenti: Consulenza AI Act (quadro nazionale) · Le scadenze aggiornate
Sui trattamenti GDPR della tua zona: DPO a Firenze
Consulenza AI Act nelle città vicine: Bologna · Roma · Prato · Arezzo · Lucca