Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
A Rovigo l'AI Act si decide su una distinzione semplice da enunciare e faticosa da applicare: il sistema sta guardando il prodotto o la persona? Una selezionatrice ottica che scarta un frutto non tocca l'AI Act nella sua parte pesante. La stessa telecamera che, riga per riga, ricostruisce quanto ha lavorato ciascun addetto ricade nell'Allegato III fra i sistemi per la gestione dei lavoratori. Come DPO certificato seguo imprese ed enti polesani nel tracciare questo confine prima che lo tracci un'ispezione.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Rovigo da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
L'incarico riguarda la conformità normativa, non la tecnologia. Il lavoro parte dal censimento dei sistemi di intelligenza artificiale effettivamente in uso, prosegue con la loro classificazione per rischio e per ruolo, e si chiude con la documentazione che rende dimostrabile l'adempimento davanti a un'autorità.
Restano fuori dal perimetro la selezione dei fornitori tecnologici, lo sviluppo e la configurazione dei sistemi. Sono attività che richiedono un profilo tecnico diverso dal mio, e sovrapporre i due ruoli non conviene a nessuno: il mio intervento si affianca a chi già segue la parte informatica.
Un punto va chiarito subito perché genera confusione: l'AI Act si somma al GDPR e non lo sostituisce. Le due discipline si appoggiano agli stessi fatti aziendali, quindi vanno impostate insieme se si vuole che la documentazione regga.
Immagini da drone e satellite, sensoristica di campo, modelli irrigui e selezione ottica: rischio minimo finché l'oggetto è la coltura o il prodotto, non chi lavora.
Pianificazione dei turni, assegnazione dei compiti e valutazione del rendimento assistite da algoritmi ricadono nell'Allegato III: qui la classe di rischio sale.
Ottimizzazione dei percorsi e lettura automatica delle targhe restano leggere. Il monitoraggio del comportamento di guida degli autisti è un'altra cosa e va trattato come tale.
Supporto diagnostico e triage sono ad alto rischio. Per i comuni contano chatbot, smistamento delle istanze e ogni modulo automatico che incida sull'esito di un procedimento.
Questa è la mappatura che ricorre più spesso nelle organizzazioni del territorio. Non sostituisce l'assessment, ma serve a capire in anticipo dove ci si trova.
| Sistema | Classe | Cosa comporta |
|---|---|---|
| Selezione ottica del prodotto in linea | Rischio minimo | Da censire nel registro dei sistemi. Nessun obbligo aggiuntivo finché l'inquadratura non riprende gli operatori. |
| Analisi di immagini da drone o satellite sulle colture | Rischio minimo | Attenzione se le riprese includono abitazioni o persone: in quel caso rientra il GDPR con informativa e minimizzazione. |
| Misurazione automatica del rendimento per addetto | Alto rischio | Allegato III: gestione dei lavoratori. Serve anche l'accordo ex art. 4 dello Statuto dei lavoratori. |
| Filtri automatici sulle candidature stagionali | Alto rischio | Allegato III: selezione del personale. Nessuna esclusione può poggiare unicamente sull'esito del sistema. |
| Monitoraggio dello stile di guida degli autisti | Alto rischio | Se alimenta valutazioni individuali rientra nell'Allegato III, oltre agli obblighi sul controllo a distanza. |
| Rilevazione dello stato di attenzione o emotivo | Vietato | Divieto assoluto sul luogo di lavoro dall'art. 5, in vigore dal 2 febbraio 2025, anche se la funzione è accessoria. |
| Supporto diagnostico e triage | Alto rischio | Allegato III: sorveglianza umana, qualità dei dati e registrazione. Obblighi dal 2 dicembre 2027. |
| Chatbot per il cittadino o per il cliente | Rischio limitato | Va dichiarato che l'interlocutore è un sistema automatico. Obbligo applicabile dal 2 agosto 2026. |
Il livello si valuta per singolo sistema, non per organizzazione. Dettaglio ed esempi: i quattro livelli di rischio.
Le imprese e gli enti polesani sono in larghissima prevalenza utilizzatori: acquistano macchine con visione integrata, gestionali agricoli e piattaforme di pianificazione da fornitori specializzati. Il ruolo di fornitore riguarda chi costruisce macchinari con funzioni intelligenti destinati al mercato, ipotesi presente nella meccanica agricola. C'è poi un passaggio che sfugge di frequente: chi impiega un sistema acquistato per una finalità diversa da quella dichiarata dal fornitore, per esempio una telecamera di qualità usata per misurare le persone, può assumere il ruolo di fornitore con tutti gli obblighi conseguenti.
Alfabetizzazione IA del personale (art. 4) e divieti sulle pratiche a rischio inaccettabile (art. 5).
Obblighi di trasparenza (art. 50) applicabili. Le autorità nazionali hanno pieni poteri di vigilanza e sanzione.
Marcatura leggibile automaticamente dei contenuti generati dall'IA, più i nuovi divieti sui sistemi di nudificazione.
Gli obblighi sui sistemi ad alto rischio arrivano tra il 2 dicembre 2027 (Allegato III) e il 2 agosto 2028 (Allegato I). Calendario completo, aggiornato al Digital Omnibus e ai decreti attuativi italiani, nella guida alle scadenze. Sui quattro livelli: livelli di rischio dell'AI Act.
Sulle sanzioni gira parecchia imprecisione. I livelli previsti sono tre, e va ricordato che per le piccole e medie imprese vale il minore fra i due parametri indicati, non il più alto.
Sistemi che ricadono fra le pratiche proibite: manipolazione del comportamento, social scoring, rilevazione delle emozioni in ambito lavorativo.
Inosservanza degli obblighi ordinari, dalla trasparenza verso gli utenti agli adempimenti previsti per l'alto rischio.
Dichiarazioni non veritiere o incomplete rese all'autorità durante un accertamento.
Sul piano nazionale i decreti approvati il 4 agosto 2026 graduano gli importi per gravità, con massimali in alcune fattispecie inferiori a quelli europei. La vigilanza sul mercato spetta ad ACN, la notifica ad AgID.
Da non fraintendere: per l'obbligo di alfabetizzazione dell'art. 4 non esiste una sanzione dedicata. Pesa però nel calcolo delle altre, perché l'autorità valuta la diligenza complessiva del soggetto. Costa poco assolverlo e quasi nessuno lo fa per tempo.
Hai dubbi su dove ti collochi? La prima call è gratuita e serve a mappare i sistemi in uso e a separare gli obblighi reali da quelli presunti.
Richiedi un primo confronto →Mappiamo quali sistemi di IA sono realmente in uso, inclusi quelli adottati spontaneamente dal personale. Il servizio nel dettaglio.
Stabiliamo in quale categoria rientra ciascun sistema e se la tua organizzazione è fornitore o utilizzatore.
Adeguiamo informative, avvisi sui chatbot e dichiarazione dei contenuti generati. Adeguamento art. 50.
Sessioni pratiche con attestato e registro delle ore, per documentare l'adempimento dell'art. 4. Formazione AI Act.
Policy aziendale sull'uso dell'IA e registro dei sistemi, integrati con la documentazione GDPR già esistente.
Quello che produciamo resta di proprietà dell'organizzazione e continua a servire anche se il rapporto si interrompe. Non uso formati chiusi né piattaforme che trattengono i documenti.
Chi usa sistemi altrui dipende, per la propria conformità, da ciò che il fornitore dichiara. Ecco le domande da mettere nero su bianco prima della firma o del rinnovo.
Le risposte vanno conservate insieme all'accordo sul trattamento ex art. 28 GDPR.
Come sistema ad alto rischio, no: guarda il prodotto e non produce esiti riferiti a persone. Va comunque censita nel registro dei sistemi, e va verificato se opera come componente di sicurezza di un macchinario coperto dalla normativa di armonizzazione, ipotesi che porterebbe alla valutazione dell'Allegato I con obblighi dal 2 agosto 2028.
Lo diventano quando le riprese includono abitazioni, strade o persone, cosa frequente in un territorio dove i fondi confinano con i centri abitati. Servono informativa, minimizzazione delle riprese, tempi di conservazione definiti e, se il sopralluogo è affidato a un fornitore, una nomina a responsabile con istruzioni scritte sulle aree da non inquadrare.
Sì, ma va classificato prima. Se distribuisce carichi su base oggettiva senza costruire profili individuali, resta uno strumento gestionale. Se attinge a rendimenti riferibili alle singole persone e da questo discendono assegnazioni, richiami o mancati rinnovi, si entra nell'Allegato III e nell'art. 22 del GDPR, con obbligo di intervento umano effettivo sulla decisione.
Dall'inventario dei sistemi realmente in uso, incluse le funzioni di intelligenza artificiale già presenti nei gestionali e attivate da un aggiornamento senza una decisione esplicita. Nella maggior parte delle organizzazioni il censimento restituisce circa il doppio dei sistemi attesi.
La prima valutazione è gratuita: mappiamo i sistemi di IA in uso e definiamo cosa serve davvero, senza allarmismi.
Richiedi la valutazione gratuita →Approfondimenti: Consulenza AI Act (quadro nazionale) · Articolo 50 e trasparenza · Le scadenze aggiornate
Sui trattamenti GDPR della tua zona: Consulenza GDPR e DPO a Rovigo
Consulenza AI Act nelle città vicine: Padova · Ferrara · Venezia
Studio Cravero