Studio Cravero Consulting
Perché l'assessment viene prima di tutto
L'AI Act non assegna obblighi alle organizzazioni: li assegna ai singoli sistemi, in funzione del livello di rischio, e ai ruoli, in funzione della posizione di fornitore o utilizzatore. Ne consegue che la stessa impresa può avere contemporaneamente un chatbot a rischio limitato, un filtro antispam a rischio minimo e un software di screening delle candidature ad alto rischio, ciascuno con adempimenti diversi.
Chi salta questa fase e passa direttamente alla documentazione produce carte che non corrispondono alla realtà: policy che disciplinano strumenti mai adottati, e strumenti realmente in uso che restano fuori da qualsiasi presidio. In sede di verifica è una situazione peggiore dell'inerzia, perché dimostra un controllo solo apparente.
C'è poi una ragione che emerge in quasi tutti i progetti: l'organizzazione sistematicamente sottostima quanti strumenti di IA sta usando. Assistenti conversazionali, trascrittori di riunioni, generatori di immagini, funzioni di IA silenziosamente integrate in gestionali e CRM già in uso, estensioni installate dai singoli. Il perimetro reale è quasi sempre più ampio di quello dichiarato all'inizio.
Le tre domande a cui risponde l'assessment
1. Quali sistemi di IA usiamo
La definizione di sistema di IA del Regolamento è più ampia di quanto si immagini e comprende strumenti che nessuno in azienda chiamerebbe «intelligenza artificiale». La mappatura copre gli strumenti adottati ufficialmente, quelli integrati in software preesistenti e quelli introdotti spontaneamente dal personale, che sono la quota più difficile da far emergere e spesso la più rischiosa.
2. In che ruolo li usiamo
Fornitore o utilizzatore non è un'etichetta formale: determina l'intero corredo di obblighi. La distinzione va verificata sistema per sistema, e con particolare attenzione ai casi di passaggio di ruolo: chi personalizza in modo sostanziale un sistema, lo rimarchia o ne cambia la finalità assume gli obblighi del fornitore. È uno degli errori più frequenti e più costosi, e riguarda in modo particolare software house e realtà che rivendono soluzioni di terzi.
3. In che classe di rischio ricadono
Le quattro classi — rischio inaccettabile, alto, limitato e minimo — comportano conseguenze molto diverse. La classificazione si fa sulla finalità concreta d'uso, non sulla categoria commerciale del prodotto: lo stesso motore di analisi testuale è a rischio minimo se ordina i ticket di assistenza e ad alto rischio se filtra le candidature di lavoro. La logica completa delle quattro classi è illustrata nella guida all'AI Act.
I documenti che ti consegno
Inventario dei sistemi di IA
Elenco strutturato di tutti i sistemi rilevati, con fornitore, finalità d'uso, funzioni aziendali coinvolte, dati trattati, presenza o meno di contatto con il pubblico. È il documento base su cui poggia tutto il resto e va mantenuto nel tempo.
Determinazione del ruolo per ogni sistema
Qualificazione motivata come fornitore o utilizzatore, con segnalazione esplicita dei casi a rischio di passaggio di ruolo e delle condizioni che lo farebbero scattare.
Classificazione del rischio motivata
Per ogni sistema, la classe attribuita e il ragionamento che la sostiene con i riferimenti normativi. La motivazione conta quanto l'esito: in caso di verifica è ciò che dimostra che la valutazione è stata svolta, non presunta.
Verifica sulle pratiche vietate (art. 5)
Controllo mirato sui divieti già in vigore dal 2 febbraio 2025: riconoscimento delle emozioni sul luogo di lavoro, categorizzazione biometrica, punteggio sociale. Sono la fascia sanzionatoria più grave, fino al 7% del fatturato mondiale.
Gap analysis
Confronto tra gli obblighi applicabili a ciascun sistema e ciò che l'organizzazione ha effettivamente in essere, con le lacune elencate e qualificate per gravità.
Piano di adeguamento con priorità
Sequenza degli interventi ordinata per urgenza normativa e sforzo richiesto, ancorata alle scadenze reali: art. 4 e art. 5 già scaduti, art. 50 dal 2 agosto 2026, alto rischio dal 2 dicembre 2027.
Raccordo con la documentazione GDPR
Indicazione dei sistemi che trattano dati personali, dei trattamenti del registro art. 30 da aggiornare e dei casi che richiedono una valutazione d'impatto.
Relazione di sintesi per la direzione
Documento breve e non tecnico che riassume esposizione complessiva, priorità e decisioni richieste al vertice. È la parte che serve per deliberare il budget e assegnare le responsabilità.
Come si svolge
- Raccolta preliminare. Partiamo dalla documentazione esistente — registro dei trattamenti, elenco fornitori software, contratti — perché contiene già buona parte delle informazioni necessarie e riduce il carico di lavoro sulle tue persone.
- Interviste alle funzioni. Sessioni brevi con i responsabili delle aree, che sono la fonte più affidabile per far emergere gli strumenti realmente in uso. È la fase in cui compaiono quasi sempre sistemi che l'IT non aveva censito.
- Classificazione e verifica. Analizzo finalità e condizioni d'uso di ciascun sistema, esamino le condizioni contrattuali del fornitore e attribuisco ruolo e classe di rischio.
- Restituzione. Consegna dei documenti e sessione di discussione degli esiti, con definizione condivisa delle priorità.
L'intero percorso si svolge da remoto, con videocall e scambio documentale su canali sicuri. La sede operativa è a Sassari ma lavoro con aziende ed enti in tutta Italia.
Il rinvio dell'alto rischio non è una pausa
Il Digital Omnibus, approvato dal Parlamento europeo il 16 giugno 2026 e adottato dal Consiglio il 29 giugno, ha spostato gli obblighi sui sistemi ad alto rischio al 2 dicembre 2027 per l'Allegato III e al 2 agosto 2028 per l'Allegato I. Molti calendari ancora in circolazione sono precedenti a questa modifica.
Il rinvio ha però un effetto limitato. Non tocca i divieti dell'art. 5, l'alfabetizzazione dell'art. 4 né gli obblighi di trasparenza dell'art. 50, che diventano applicabili il 2 agosto 2026. E soprattutto: portare un sistema ad alto rischio a conformità piena — gestione del rischio, governance dei dati, documentazione tecnica, sorveglianza umana, valutazione di conformità — richiede mediamente da otto a quattordici mesi. Chi si accorge nel 2027 di avere un sistema in Allegato III arriva alla scadenza in ritardo strutturale.
L'assessment serve proprio a saperlo adesso, quando c'è ancora margine per decidere se adeguare il sistema, sostituirlo o rinunciarvi.
Chi dovrebbe farlo per primo
- Software house e startup che integrano IA nei propri prodotti: qui il ruolo è quello di fornitore, con il corredo di obblighi più esteso, e l'errore di qualificazione ha le conseguenze maggiori.
- Studi medici e strutture sanitarie con strumenti diagnostici o gestionali basati su IA: dati particolari e intelligenza artificiale insieme richiedono doppia attenzione. Vedi AI Act per studi medici e sanità.
- Pubbliche amministrazioni che erogano servizi ai cittadini con sistemi automatizzati, dove si sommano AI Act, GDPR e obblighi di trasparenza amministrativa.
- Aziende che usano IA nella gestione del personale, anche solo per lo screening iniziale dei curriculum: è un caso espressamente elencato in Allegato III.
- Hotel e strutture ricettive con chatbot, revenue management o riconoscimento automatico degli ospiti. Vedi AI Act per hotel e strutture ricettive.
Quanto costa
Il costo dipende dal numero di sistemi da esaminare, dal numero di funzioni aziendali da coinvolgere e dal ruolo dell'organizzazione: un utilizzatore con pochi strumenti standard richiede un lavoro sensibilmente più contenuto di un fornitore che sviluppa sistemi propri.
La prima valutazione è gratuita e serve proprio a dimensionare l'intervento: in una videocall ricostruiamo a grandi linee il perimetro e stabiliamo cosa serve davvero. Richiedi un preventivo personalizzato.
Domande frequenti sull'assessment AI Act
Da dove si parte con l'AI Act se non abbiamo fatto nulla?
Dall'inventario dei sistemi di IA effettivamente in uso e dalla formazione del personale, che sono gli adempimenti già dovuti oggi. Senza sapere quali sistemi usi e come sono classificati, ogni altro intervento è costruito su ipotesi: la documentazione rischia di coprire sistemi che non hai e di ignorare quelli che hai davvero.
Quanto dura un assessment AI Act?
Per una PMI o uno studio professionale con pochi sistemi, tipicamente due o tre settimane tra raccolta delle informazioni, interviste alle funzioni e stesura dei documenti. Per organizzazioni con più sedi, più aree funzionali o sistemi sviluppati internamente i tempi si allungano in proporzione al numero di sistemi da esaminare.
Come si stabilisce se un sistema è ad alto rischio?
Si verifica se rientra nei casi dell'Allegato III (fra cui selezione del personale, merito creditizio, istruzione, biometria, infrastrutture critiche, giustizia) oppure se è un componente di sicurezza di un prodotto già regolato da normative settoriali dell'Allegato I, come dispositivi medici e macchinari. La valutazione va fatta sulla finalità concreta d'uso, non sul nome commerciale del software.
La nostra azienda è fornitore o utilizzatore?
Sei fornitore se sviluppi un sistema di IA o lo immetti sul mercato con il tuo nome o marchio; sei utilizzatore, o deployer, se usi sotto la tua autorità un sistema sviluppato da altri. La maggior parte delle organizzazioni italiane è utilizzatore. Attenzione però al passaggio di ruolo: chi personalizza in modo sostanziale un sistema, lo rimarchia o ne modifica la finalità può diventare fornitore, con obblighi molto più estesi.
Il rinvio degli obblighi sull'alto rischio ci esonera dall'assessment?
No. Il Digital Omnibus ha spostato al 2 dicembre 2027 e al 2 agosto 2028 gli obblighi sui sistemi ad alto rischio, ma non ha toccato i divieti dell'art. 5, l'alfabetizzazione dell'art. 4 né la trasparenza dell'art. 50 applicabile dal 2 agosto 2026. Inoltre un percorso di conformità per l'alto rischio richiede mediamente da otto a quattordici mesi: il rinvio sposta la scadenza, non il momento in cui conviene iniziare.
Serve un assessment separato da quello GDPR?
Sono valutazioni distinte ma è inefficiente svolgerle separatamente. Il registro dei trattamenti già mappa strumenti, fornitori e finalità: partire da quello riduce sensibilmente il lavoro di raccolta. Dove un sistema di IA tratta dati personali, l'esito dell'assessment alimenta anche la valutazione d'impatto GDPR.
Sai quali sistemi di IA usa davvero la tua organizzazione?
Nella maggior parte dei casi la risposta è: solo in parte. La prima valutazione è gratuita e serve a capire quanto è ampio il perimetro reale.