Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Sassari è la sede dello studio: qui l'incontro in presenza, per l'assessment iniziale o per la formazione del personale, è sempre possibile senza dover organizzare una trasferta. La città concentra il Comune, l'Università, l'Azienda Ospedaliero-Universitaria e un comparto agroalimentare radicato nel Nord Sardegna, tutti ambiti in cui l'AI Act inizia a intrecciarsi con il GDPR già noto.
Come lavoro: lo Studio ha sede a Sassari, in Piazza Fiume 5B. Qui gli incontri in presenza sono la normalità, e il referente è sempre lo stesso. Lo stesso servizio viene erogato da remoto nel resto d’Italia.
Vedi il quadro regionale: Consulente AI Act in Sardegna →
L'incarico riguarda la conformità normativa, non la tecnologia. Il lavoro parte dal censimento dei sistemi di intelligenza artificiale effettivamente in uso, prosegue con la loro classificazione per rischio e per ruolo, e si chiude con la documentazione che rende dimostrabile l'adempimento davanti a un'autorità.
Restano fuori dal perimetro la selezione dei fornitori tecnologici, lo sviluppo e la configurazione dei sistemi. Sono attività che richiedono un profilo tecnico diverso dal mio, e sovrapporre i due ruoli non conviene a nessuno: il mio intervento si affianca a chi già segue la parte informatica.
Un punto va chiarito subito perché genera confusione: l'AI Act si somma al GDPR e non lo sostituisce. Le due discipline si appoggiano agli stessi fatti aziendali, quindi vanno impostate insieme se si vuole che la documentazione regga.
Sportelli digitali e supporto automatico alle pratiche: si applica la trasparenza dell'art. 50, già esigibile. Il nostro Osservatorio mostra che meta dei Comuni italiani non pubblica nemmeno i contatti del proprio DPO.
Progetti di ricerca applicata che utilizzano modelli di IA: quando un progetto viene trasferito sul mercato tramite uno spin-off, chi lo immette diventa fornitore, con obblighi pieni.
AI diagnostica e strumenti di supporto clinico: da classificare con attenzione, con DPIA congiunta al GDPR per i dati sanitari.
Tracciabilità di filiera per prodotti lattiero-caseari e vitivinicoli con sensori e IA: perlopiu rischio limitato, da censire nel registro dei sistemi.
Questa è la mappatura che ricorre più spesso nelle organizzazioni del territorio. Non sostituisce l'assessment, ma serve a capire in anticipo dove ci si trova.
| Sistema | Classe | Cosa comporta |
|---|---|---|
| Supporto diagnostico e triage | Alto rischio | Allegato III: sorveglianza umana, qualità dei dati e registrazione. Obblighi dal 2 dicembre 2027. |
| Modelli sviluppati internamente | Da verificare | Chi mette in servizio il sistema con il proprio nome assume il ruolo di fornitore, con obblighi molto più estesi. |
| Selezione ottica dei prodotti | Rischio minimo | Nessun obbligo specifico oltre a censimento e formazione del personale che utilizza il sistema. |
| Chatbot sul portale dei servizi | Rischio limitato | Il cittadino deve poter capire che sta interagendo con un sistema automatico. Obbligo già applicabile. |
| Assistenti generativi usati dal personale | Rischio limitato | Trasparenza sui contenuti generati e, soprattutto, obbligo di formazione già scaduto da febbraio 2025. |
| Screening dei curriculum e valutazione | Alto rischio | Allegato III. Vietato fondare unicamente sull'esito automatico assunzioni, provvedimenti disciplinari e licenziamenti. |
| Riconoscimento delle emozioni sul lavoro | Vietato | Pratica vietata dall'art. 5 senza eccezioni dal 2 febbraio 2025. Vale anche quando è una funzione secondaria del sistema. |
Il livello si valuta per singolo sistema, non per organizzazione. Dettaglio ed esempi: i quattro livelli di rischio.
Comune, Università, Azienda Ospedaliero-Universitaria e la maggior parte delle aziende sassaresi sono utilizzatori dei sistemi di IA che adottano. Gli spin-off che sviluppano e immettono sul mercato un proprio sistema diventano invece fornitori, con obblighi di valutazione di conformità e documentazione tecnica.
Alfabetizzazione IA del personale (art. 4) e divieti sulle pratiche a rischio inaccettabile (art. 5).
Obblighi di trasparenza (art. 50) applicabili. Le autorità nazionali hanno pieni poteri di vigilanza e sanzione.
Marcatura leggibile automaticamente dei contenuti generati dall'IA, più i nuovi divieti sui sistemi di nudificazione.
Gli obblighi sui sistemi ad alto rischio arrivano tra il 2027 e il 2028. Il calendario completo, aggiornato al Digital Omnibus e ai decreti attuativi italiani, e nella guida alle scadenze AI Act.
Sulle sanzioni gira parecchia imprecisione. I livelli previsti sono tre, e va ricordato che per le piccole e medie imprese vale il minore fra i due parametri indicati, non il più alto.
Sistemi che ricadono fra le pratiche proibite: manipolazione del comportamento, social scoring, rilevazione delle emozioni in ambito lavorativo.
Inosservanza degli obblighi ordinari, dalla trasparenza verso gli utenti agli adempimenti previsti per l'alto rischio.
Dichiarazioni non veritiere o incomplete rese all'autorità durante un accertamento.
Sul piano nazionale i decreti approvati il 4 agosto 2026 graduano gli importi per gravità, con massimali in alcune fattispecie inferiori a quelli europei. La vigilanza sul mercato spetta ad ACN, la notifica ad AgID.
Da non fraintendere: per l'obbligo di alfabetizzazione dell'art. 4 non esiste una sanzione dedicata. Pesa però nel calcolo delle altre, perché l'autorità valuta la diligenza complessiva del soggetto. Costa poco assolverlo e quasi nessuno lo fa per tempo.
Hai dubbi su dove ti collochi? La prima call è gratuita e serve a mappare i sistemi in uso e a separare gli obblighi reali da quelli presunti.
Richiedi un primo confronto →Mappiamo quali sistemi di IA sono realmente in uso, inclusi quelli adottati spontaneamente dal personale. Il servizio nel dettaglio.
Stabiliamo in quale categoria rientra ciascun sistema e se la tua organizzazione è fornitore o utilizzatore.
Adeguiamo informative, avvisi sui chatbot e dichiarazione dei contenuti generati. Adeguamento art. 50.
Sessioni pratiche con attestato e registro delle ore, per documentare l'adempimento dell'art. 4. Formazione AI Act.
Policy aziendale sull'uso dell'IA e registro dei sistemi, integrati con la documentazione GDPR già esistente.
Quello che produciamo resta di proprietà dell'organizzazione e continua a servire anche se il rapporto si interrompe. Non uso formati chiusi ne piattaforme che trattengono i documenti.
Chi usa sistemi altrui dipende, per la propria conformità, da ciò che il fornitore dichiara. Ecco le domande da mettere nero su bianco prima della firma o del rinnovo.
Le risposte vanno conservate insieme all'accordo sul trattamento ex art. 28 GDPR.
Si, come ogni ente pubblico che usa sistemi di IA per i servizi ai cittadini: dal 2 agosto 2026 deve rispettare gli obblighi di trasparenza dell'art. 50, oltre a quelli già in vigore sull'alfabetizzazione del personale.
Si, se lo immette sul mercato con il proprio nome. Gli obblighi da fornitore includono valutazione di conformità e documentazione tecnica, distinti e più estesi di quelli da semplice utilizzatore.
Si. Lo studio ha sede in città: per l'assessment iniziale e per le sessioni di formazione al personale, l'incontro in presenza e sempre un'opzione, oltre alla consulenza da remoto.
La prima valutazione è gratuita: mappiamo i sistemi di IA in uso e definiamo cosa serve davvero, senza allarmismi.
Richiedi la valutazione gratuita →Servizio dedicato: Formazione AI Act (art. 4) · Approfondimenti: Consulenza AI Act (quadro nazionale) · Le scadenze aggiornate
Sui trattamenti GDPR della tua zona: DPO a Sassari
Studio Cravero