Studio CraveroConsulente AI Act a Sassari
Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Sassari è la sede dello studio: qui l'incontro in presenza, per l'assessment iniziale o per la formazione del personale, è sempre possibile senza dover organizzare una trasferta. La città concentra il Comune, l'Università, l'Azienda Ospedaliero-Universitaria e un comparto agroalimentare radicato nel Nord Sardegna, tutti ambiti in cui l'AI Act inizia a intrecciarsi con il GDPR già noto.
Come lavoro: lo Studio ha sede a Sassari, in Piazza Fiume 5B. Qui gli incontri in presenza sono la normalità, e il referente è sempre lo stesso. Lo stesso servizio viene erogato da remoto nel resto d’Italia.
Vedi il quadro regionale: Consulente AI Act in Sardegna →
Sassari Sardegna
I settori del territorio e i sistemi di intelligenza artificiale che usano.
- Comune e PA locale
- Università e ricerca
- Azienda Ospedaliero-Universitaria e sanità privata
- Agroalimentare del Nord Sardegna
Il perimetro dell'incarico
L'incarico riguarda la conformità normativa, non la tecnologia. Il lavoro parte dal censimento dei sistemi di intelligenza artificiale effettivamente in uso, prosegue con la loro classificazione per rischio e per ruolo, e si chiude con la documentazione che rende dimostrabile l'adempimento davanti a un'autorità.
Restano fuori dal perimetro la selezione dei fornitori tecnologici, lo sviluppo e la configurazione dei sistemi. Sono attività che richiedono un profilo tecnico diverso dal mio, e sovrapporre i due ruoli non conviene a nessuno: il mio intervento si affianca a chi già segue la parte informatica.
Un punto va chiarito subito perché genera confusione: l'AI Act si somma al GDPR e non lo sostituisce. Le due discipline si appoggiano agli stessi fatti aziendali, quindi vanno impostate insieme se si vuole che la documentazione regga.
Dove l'AI Act tocca le imprese di Sassari
Comune e PA locale
Sportelli digitali e supporto automatico alle pratiche: si applica la trasparenza dell'art. 50, già esigibile. Il nostro Osservatorio mostra che meta dei Comuni italiani non pubblica nemmeno i contatti del proprio DPO.
Università e ricerca
Progetti di ricerca applicata che utilizzano modelli di IA: quando un progetto viene trasferito sul mercato tramite uno spin-off, chi lo immette diventa fornitore, con obblighi pieni.
Azienda Ospedaliero-Universitaria e sanità privata
AI diagnostica e strumenti di supporto clinico: da classificare con attenzione, con DPIA congiunta al GDPR per i dati sanitari.
Agroalimentare del Nord Sardegna
Tracciabilità di filiera per prodotti lattiero-caseari e vitivinicoli con sensori e IA: perlopiu rischio limitato, da censire nel registro dei sistemi.
I sistemi in uso a Sassari, classe per classe
Questa è la mappatura che ricorre più spesso nelle organizzazioni del territorio. Non sostituisce l'assessment, ma serve a capire in anticipo dove ci si trova.
| Sistema | Classe | Cosa comporta |
|---|---|---|
| Supporto diagnostico e triage | Alto rischio | Allegato III: sorveglianza umana, qualità dei dati e registrazione. Obblighi dal 2 dicembre 2027. |
| Modelli sviluppati internamente | Da verificare | Chi mette in servizio il sistema con il proprio nome assume il ruolo di fornitore, con obblighi molto più estesi. |
| Selezione ottica dei prodotti | Rischio minimo | Nessun obbligo specifico oltre a censimento e formazione del personale che utilizza il sistema. |
| Chatbot sul portale dei servizi | Rischio limitato | Il cittadino deve poter capire che sta interagendo con un sistema automatico. Obbligo già applicabile. |
| Assistenti generativi usati dal personale | Rischio limitato | Misure di alfabetizzazione del personale (art. 4), dovute dal febbraio 2025. Vanno dichiarati solo i deepfake e i testi pubblicati su questioni di interesse pubblico senza revisione umana e responsabilità editoriale. |
| Screening dei curriculum e valutazione | Alto rischio | Allegato III. Vietato fondare unicamente sull'esito automatico assunzioni, provvedimenti disciplinari e licenziamenti. |
| Riconoscimento delle emozioni sul lavoro | Vietato | Pratica vietata dall'art. 5 dal 2 febbraio 2025. Vale anche quando è una funzione secondaria del sistema. Uniche eccezioni: motivi medici o di sicurezza. |
Le quattro classi di rischio
Il livello si valuta per singolo sistema, non per organizzazione. Dettaglio ed esempi: i quattro livelli di rischio.
Fornitore o utilizzatore a Sassari?
Comune, Università, Azienda Ospedaliero-Universitaria e la maggior parte delle aziende sassaresi sono utilizzatori dei sistemi di IA che adottano. Gli spin-off che sviluppano e immettono sul mercato un proprio sistema diventano invece fornitori, con obblighi di valutazione di conformità e documentazione tecnica.
Le scadenze
Alfabetizzazione IA del personale (art. 4) e divieti sulle pratiche a rischio inaccettabile (art. 5).
Obblighi di trasparenza (art. 50) applicabili. Le autorità nazionali hanno pieni poteri di vigilanza e sanzione.
Marcatura leggibile automaticamente dei contenuti generati, a carico dei fornitori dei sistemi generativi, più i nuovi divieti sui sistemi di nudificazione.
Gli obblighi sui sistemi ad alto rischio arrivano tra il 2027 e il 2028. Il calendario completo, aggiornato al Digital Omnibus e ai decreti attuativi italiani, e nella guida alle scadenze AI Act.
Le sanzioni, con i numeri reali
Sulle sanzioni gira parecchia imprecisione. I livelli previsti sono tre, e va ricordato che per le piccole e medie imprese vale il minore fra i due parametri indicati, non il più alto.
Sistemi che ricadono fra le pratiche proibite: manipolazione del comportamento, social scoring, rilevazione delle emozioni in ambito lavorativo.
Inosservanza degli obblighi ordinari, dalla trasparenza verso gli utenti agli adempimenti previsti per l'alto rischio.
Dichiarazioni non veritiere o incomplete rese all'autorità durante un accertamento.
Sul piano nazionale i decreti approvati il 4 agosto 2026 graduano gli importi per gravità, con massimali in alcune fattispecie inferiori a quelli europei. La vigilanza sul mercato spetta ad ACN, la notifica ad AgID.
Da non fraintendere: per l'obbligo di alfabetizzazione dell'art. 4 non esiste una sanzione dedicata. Pesa però nel calcolo delle altre, perché l'autorità valuta la diligenza complessiva del soggetto. Costa poco assolverlo e quasi nessuno lo fa per tempo.
Hai dubbi su dove ti collochi? La prima call è gratuita e serve a mappare i sistemi in uso e a separare gli obblighi reali da quelli presunti.
Richiedi un primo confronto →Come ti accompagno
Mappiamo quali sistemi di IA sono realmente in uso, inclusi quelli adottati spontaneamente dal personale. Il servizio nel dettaglio.
Stabiliamo in quale categoria rientra ciascun sistema e se la tua organizzazione è fornitore o utilizzatore.
Adeguiamo informative, avvisi sui chatbot e dichiarazione dei contenuti generati dove l'art. 50 la richiede. Adeguamento art. 50.
Sessioni pratiche con attestato e registro delle ore, per documentare l'adempimento dell'art. 4. Formazione AI Act.
Policy aziendale sull'uso dell'IA e registro dei sistemi, integrati con la documentazione GDPR già esistente.
Cosa resta in mano tua
Quello che produciamo resta di proprietà dell'organizzazione e continua a servire anche se il rapporto si interrompe. Non uso formati chiusi ne piattaforme che trattengono i documenti.
- Registro dei sistemi di IA con classificazione, ruolo e responsabile per ciascuno
- Valutazione del rischio documentata, raccordata con la DPIA dove dovuta
- Policy aziendale sull'uso dell'intelligenza artificiale, in formato editabile
- Testi di trasparenza pronti all'uso per chatbot, informative e contenuti generati
- Piano formativo per ruoli, con materiale, attestati e registro delle ore
- Clausole contrattuali per i fornitori di sistemi e servizi di IA
Le domande da fare al tuo fornitore
Chi usa sistemi altrui dipende, per la propria conformità, da ciò che il fornitore dichiara. Ecco le domande da mettere nero su bianco prima della firma o del rinnovo.
- Quali funzioni di intelligenza artificiale sono attive nel prodotto, e quali si possono disattivare?
- I nostri dati vengono utilizzati per addestrare o migliorare i vostri modelli? Esiste un'opzione per escluderlo?
- Come classificate il sistema ai sensi dell'AI Act, e su quale base?
- Quali sub-responsabili sono coinvolti, e dove sono localizzati i server?
- Per quanto tempo conservate i contenuti che inseriamo nel sistema, incluse le conversazioni?
- Se in futuro il sistema fosse qualificato ad alto rischio, fornirete la documentazione tecnica necessaria?
Le risposte vanno conservate insieme all'accordo sul trattamento ex art. 28 GDPR.
Domande frequenti
Il Comune di Sassari deve adeguarsi all'AI Act?
Si, come ogni ente pubblico che usa sistemi di IA per i servizi ai cittadini: dal 2 agosto 2026 deve rispettare gli obblighi di trasparenza dell'art. 50, oltre a quelli già in vigore sull'alfabetizzazione del personale.
Uno spin-off dell'Università di Sassari che sviluppa un sistema di IA e fornitore?
Si, se lo immette sul mercato con il proprio nome. Gli obblighi da fornitore includono valutazione di conformità e documentazione tecnica, distinti e più estesi di quelli da semplice utilizzatore.
Posso incontrarvi di persona a Sassari?
Si. Lo studio ha sede in città: per l'assessment iniziale e per le sessioni di formazione al personale, l'incontro in presenza e sempre un'opzione, oltre alla consulenza da remoto.
Vuoi sapere se la tua azienda e in regola?
La prima valutazione è gratuita: mappiamo i sistemi di IA in uso e definiamo cosa serve davvero, senza allarmismi.
Richiedi la valutazione gratuita →Servizio dedicato: Formazione AI Act (art. 4) · Approfondimenti: Consulenza AI Act (quadro nazionale) · Le scadenze aggiornate
Sui trattamenti GDPR della tua zona: DPO a Sassari