Studio CraveroConsulente AI Act a Lucca
Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Lucca produce carta e produce le macchine che fanno la carta, e l'AI Act tratta le due cose in modo completamente diverso. Usare l'intelligenza artificiale per controllare un processo interno significa restare utilizzatori con obblighi leggeri; integrarla in un macchinario venduto sul mercato significa assumere gli obblighi del fornitore di un sistema ad alto rischio. Lo stesso vale per la nautica. Come DPO certificato aiuto a classificare i sistemi di IA già in uso e a documentare gli obblighi che ne derivano.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Lucca da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
Lucca Toscana
I settori del territorio e i sistemi di intelligenza artificiale che usano.
- Macchine per la carta
- Cartario e processo
- Nautica e cantieristica
- Turismo e ricettività
- Sanità e studi medici
Il perimetro dell'incarico
Il mio lavoro è la conformità: verificare che i sistemi di intelligenza artificiale già in uso, o in valutazione, rispettino quanto previsto dall'AI Act e dal GDPR, e lasciare all'organizzazione la documentazione che lo prova.
Non scelgo strumenti, non li installo e non progetto automazioni. È una professione diversa, con competenze diverse, e il confine è netto: dove c'è già un fornitore tecnologico il mio intervento si affianca al suo sul versante normativo, che nella maggior parte dei casi è la parte scoperta.
Da tenere presente fin dall'inizio: l'AI Act non abroga ne modifica il GDPR. Le due normative convivono e si alimentano degli stessi elementi, e trattarle in momenti separati produce documenti che poi non combaciano.
Dove l'AI Act tocca le imprese e gli enti di Lucca
Macchine per la carta
Funzioni intelligenti integrate in macchinari destinati al mercato: ruolo di fornitore, e per le funzioni di sicurezza i requisiti del Regolamento macchine.
Cartario e processo
Controllo di processo, previsione dei consumi e manutenzione predittiva negli impianti propri: rischio minimo, da censire nel registro.
Nautica e cantieristica
Sistemi di navigazione e automazione di bordo su unità già soggette a normativa di settore: va verificato se si ricade nell'Allegato I.
Turismo e ricettività
Chatbot di prenotazione, revenue management e risposte generate alle recensioni: rischio limitato, con obblighi di trasparenza già applicabili.
Sanità e studi medici
Il software di supporto alla diagnosi che è un dispositivo medico rientra fra i sistemi ad alto rischio dell’Allegato I. Trascrizione delle visite e assistenti per la scrittura sono di norma a rischio limitato: restano le misure di formazione dell’art. 4 e, per i dati sanitari, il GDPR.
I sistemi in uso a Lucca, classe per classe
Questa è la mappatura che ricorre più spesso nelle organizzazioni del territorio. Non sostituisce l'assessment, ma serve a capire in anticipo dove ci si trova.
| Sistema | Classe | Cosa comporta |
|---|---|---|
| Smistamento automatico delle istanze | Rischio minimo | Nessun obbligo specifico oltre a censimento e formazione, salvo che incida sull'esito del procedimento. |
| Revenue management e prenotazioni | Rischio minimo | Nessun obbligo AI Act. Se personalizza sul singolo ospite valgono le regole GDPR sulla profilazione. |
| Chatbot di prenotazione | Rischio limitato | L'ospite deve sapere di parlare con un sistema automatico. Formazione da rifare a ogni stagione. |
| Chatbot sul portale dei servizi | Rischio limitato | Il cittadino deve poter capire che sta interagendo con un sistema automatico. Obbligo già applicabile. |
| IA generativa utilizzata dal personale | Rischio limitato | Servono misure di alfabetizzazione del personale (art. 4), dovute dal febbraio 2025. Vanno dichiarati solo i deepfake e i testi pubblicati su questioni di interesse pubblico senza revisione umana e responsabilità editoriale. |
| Valutazione automatizzata dei candidati | Alto rischio | Allegato III: l'esito del sistema non può essere l'unico fondamento di assunzioni, sanzioni o licenziamenti. |
| Rilevazione emotiva sui luoghi di lavoro | Vietato | L'art. 5 la proibisce dal 2 febbraio 2025, salvo che il sistema sia destinato a motivi medici o di sicurezza, eccezione da leggere in senso restrittivo. |
Le quattro classi di rischio
Il livello si valuta per singolo sistema, non per organizzazione. Dettaglio ed esempi: i quattro livelli di rischio.
Fornitore o utilizzatore a Lucca?
La cartiera che usa l'IA nei propri impianti e utilizzatore. Il costruttore di macchine per la carta e quasi sempre fornitore: sviluppa o integra il sistema e lo immette sul mercato con il proprio marchio. È la distinzione che cambia di più il carico di adempimenti, e va stabilita prima di progettare, non dopo.
Le scadenze
Alfabetizzazione IA del personale (art. 4) e divieti sulle pratiche a rischio inaccettabile (art. 5).
Obblighi di trasparenza (art. 50) applicabili. Le autorità nazionali hanno pieni poteri di vigilanza e sanzione.
Marcatura leggibile automaticamente dei contenuti generati, a carico dei fornitori dei sistemi generativi, più i nuovi divieti sui sistemi di nudificazione.
Gli obblighi sui sistemi ad alto rischio arrivano tra il 2 dicembre 2027 (Allegato III) e il 2 agosto 2028 (Allegato I). Calendario completo, aggiornato al Digital Omnibus e ai decreti attuativi italiani, nella guida alle scadenze. Sui quattro livelli: livelli di rischio dell'AI Act.
Le sanzioni, con i numeri reali
Vale la pena leggere i numeri con attenzione, perché vengono riportati spesso in modo scorretto. I livelli sono tre e per le PMI si applica l'importo più basso tra i due parametri.
Divieti assoluti dell'art. 5, fra cui il punteggio sociale e l'analisi delle emozioni dei lavoratori.
Mancato rispetto degli altri obblighi del Regolamento, a partire dagli avvisi di trasparenza.
Informazioni fuorvianti o lacunose trasmesse agli organi di vigilanza.
Sul piano nazionale i decreti approvati il 4 agosto 2026 graduano gli importi per gravità, con massimali in alcune fattispecie inferiori a quelli europei. La vigilanza sul mercato spetta ad ACN, la notifica ad AgID.
Una precisazione utile: l'art. 4 non ha una sanzione propria. Cio non significa che ignorarlo sia neutro, dato che il livello di diligenza dimostrato entra nella quantificazione di ogni altra sanzione. È l'adempimento più economico del Regolamento è il più disatteso.
Prima di muoverti, conviene sapere cosa ti riguarda davvero. La valutazione iniziale non ha costo e chiarisce quali sistemi hai e quali adempimenti ne discendono.
Richiedi un primo confronto →Come ti accompagno
Mappiamo quali sistemi di IA sono realmente in uso, inclusi quelli adottati spontaneamente dal personale. Il servizio nel dettaglio.
Stabiliamo in quale categoria rientra ciascun sistema e se la tua organizzazione è fornitore o utilizzatore.
Adeguiamo informative, avvisi sui chatbot e dichiarazione dei contenuti generati dove l'art. 50 la richiede. Adeguamento art. 50.
Sessioni pratiche con attestato e registro delle ore, per documentare l'adempimento dell'art. 4. Formazione AI Act.
Policy aziendale sull'uso dell'IA e registro dei sistemi, integrati con la documentazione GDPR già esistente.
Cosa resta in mano tua
La documentazione prodotta è tua, in formato editabile, e non dipende dalla prosecuzione dell'incarico. È una condizione che metto per iscritto, perché il contrario e più comune di quanto si pensi.
- Inventario dei sistemi in uso, con classe di rischio e ruolo assunto per ognuno
- Analisi del rischio messa per iscritto e collegata alla valutazione d'impatto quando richiesta
- Regolamento interno sull'utilizzo dell'IA, modificabile e pronto da adottare
- Avvisi e informative già redatti per chatbot, siti e contenuti prodotti con l'IA
- Programma di formazione differenziato per mansione, con attestati e ore tracciate
- Clausole da inserire nei contratti con chi fornisce sistemi o servizi di intelligenza artificiale
Le domande da fare al tuo fornitore
Molte risposte necessarie all'utilizzatore sono in mano al fornitore e non altrove. Vanno chieste per iscritto, in fase di trattativa e non dopo.
- Dove esattamente interviene l'intelligenza artificiale nel vostro prodotto, e cosa e disattivabile?
- I contenuti che carichiamo alimentano l'addestramento dei modelli? Come si esclude questa possibilità?
- Che classe di rischio attribuite al sistema, e in base a quale valutazione?
- Con quali sub-responsabili lavorate e dove sono fisicamente i server?
- Qual è il periodo di conservazione dei dati che immettiamo, incluse le sessioni di chat?
- Se il sistema dovesse rientrare fra quelli ad alto rischio, ci fornirete la documentazione richiesta?
Le risposte vanno conservate insieme all'accordo sul trattamento ex art. 28 GDPR.
Domande frequenti
Se integro l'IA in una macchina che vendo, divento fornitore?
Molto probabilmente sì. Si diventa fornitori sviluppando un sistema di IA e immettendolo sul mercato con il proprio nome o marchio, e vale anche quando il sistema è un componente di un prodotto più grande. Per le funzioni di sicurezza della macchina il riferimento è il Regolamento macchine, che il Regolamento (UE) 2026/1744 ha spostato nella sezione B dell'Allegato I.
Il controllo di processo in cartiera comporta obblighi?
Oltre al censimento nel registro e alla formazione del personale, di norma no. Un sistema che regola parametri di produzione non incide su diritti fondamentali e resta a rischio minimo. La valutazione cambia se opera come componente di sicurezza di un impianto.
L'automazione di bordo nella nautica come si classifica?
Va verificato caso per caso. Le unità da diporto e i loro componenti sono soggetti a normativa di prodotto: se la funzione intelligente e integrata in un elemento già regolato, si entra nel perimetro dell'Allegato I. Se e uno strumento ausiliario di gestione, il rischio resta minimo.
Il chatbot della struttura ricettiva cosa comporta?
Rientra tra i sistemi a rischio limitato. Dal 2 agosto 2026 l'ospite deve poter capire che sta interagendo con un sistema automatico. Va documentato e coordinato con l'informativa privacy, e il personale che lo gestisce rientra nell'obbligo di alfabetizzazione dell'art. 4.
Vuoi sapere se la tua azienda o il tuo ente e in regola?
La prima valutazione è gratuita: mappiamo i sistemi di IA in uso e definiamo cosa serve davvero, senza allarmismi.
Richiedi la valutazione gratuita →Approfondimenti: Consulenza AI Act (quadro nazionale) · Articolo 50 e trasparenza · Le scadenze aggiornate
Sui trattamenti GDPR della tua zona: Consulenza GDPR e DPO a Lucca
Consulenza AI Act nelle città vicine: Pisa · Firenze · Livorno