Studio Cravero Consulting
Perché servono regole scritte
L'AI Act non contiene un articolo intitolato «policy aziendale». Contiene però una serie di obblighi che, senza regole scritte, restano affermazioni: garantire l'alfabetizzazione del personale, assicurare una sorveglianza umana effettiva, usare i sistemi conformemente alle istruzioni del fornitore, informare le persone dove previsto.
Il punto decisivo è la dimostrabilità. In caso di verifica, un'organizzazione che sostiene di controllare l'uso dell'IA senza avere un documento che stabilisca chi può usare cosa, con quali limiti e con quale supervisione, si trova nella stessa posizione di chi non ha fatto nulla. La differenza tra conformità sostanziale e conformità dimostrabile è esattamente questa, ed è la stessa logica che il GDPR ha reso familiare con il principio di accountability.
C'è poi un beneficio immediato e non normativo: la policy è lo strumento con cui si governa il fenomeno più diffuso e meno presidiato, cioè l'adozione spontanea di strumenti di IA da parte del personale. Senza regole, la scelta di quali dati aziendali finiscano in un servizio esterno è lasciata al singolo.
I documenti che ti consegno
Policy aziendale sull'uso dell'IA
Il documento centrale: strumenti autorizzati e vietati, dati che non possono essere immessi nei sistemi, obblighi di verifica umana degli output, responsabilità per funzione, conseguenze delle violazioni. Breve e leggibile, perché una policy che nessuno legge non riduce alcun rischio.
Registro dei sistemi di IA
Documento vivo che mantiene aggiornato l'elenco dei sistemi con ruolo, classe di rischio, funzioni coinvolte, obblighi applicabili e stato di adempimento. È l'evoluzione dell'inventario prodotto dall'assessment in uno strumento di gestione ordinaria.
Procedura di approvazione dei nuovi strumenti
Percorso definito per chi vuole introdurre un nuovo sistema: chi lo propone, chi valuta rischio e conformità, chi autorizza. È la misura che impedisce al perimetro di tornare fuori controllo dopo pochi mesi.
Clausole contrattuali per i fornitori di IA
Testi da inserire nei contratti e negli accordi di trattamento: ruolo del fornitore ai sensi dell'AI Act, istruzioni per l'uso, marcatura dei contenuti generati, uso dei dati per l'addestramento, localizzazione, obblighi informativi in caso di modifiche sostanziali.
Procedura di sorveglianza umana
Regole operative su quali decisioni non possono mai essere lasciate al sistema, chi verifica, come si documenta il controllo. È l'obbligo più facile da dichiarare e più difficile da dimostrare.
Procedura di gestione degli incidenti
Cosa fare quando un sistema produce un output errato o dannoso: chi va informato, in quali tempi, come si documenta l'evento e quando scattano obblighi verso l'esterno. Si coordina con la procedura di data breach già esistente.
Raccordo con DPIA e documentazione GDPR
Allineamento con il registro dei trattamenti e individuazione dei casi che richiedono una valutazione d'impatto, incluse le decisioni automatizzate rilevanti ai sensi dell'art. 22 GDPR.
Nota su Legge 132/2025 e Modello 231
Analisi del recepimento italiano applicato alla tua organizzazione e, dove esiste un Modello 231, indicazione degli aggiornamenti opportuni alla luce del nuovo reato in materia di contenuti generati con IA.
Il quadro italiano: Legge 132/2025
L'Italia è stata il primo Stato membro a dotarsi di una legge nazionale sull'intelligenza artificiale. La Legge 23 settembre 2025, n. 132 affianca l'AI Act senza sostituirlo, e introduce tre elementi che incidono direttamente sulla governance aziendale.
- Le autorità nazionali. AgID e ACN sono designate come autorità competenti: alla prima spettano promozione, valutazione e accreditamento dei soggetti che verificano la conformità dei sistemi; alla seconda la vigilanza, l'attività ispettiva e i poteri sanzionatori in materia di cybersicurezza. Sono interlocutori diversi dal Garante Privacy, e questo va riflesso nelle procedure interne.
- Il profilo penale. È stato introdotto il reato relativo alla diffusione illecita di contenuti generati o alterati con l'intelligenza artificiale, con effetti che si estendono alla responsabilità amministrativa degli enti.
- Il rinvio ai decreti attuativi. È una legge quadro: procedure di valutazione tecnica, articolazione delle competenze e dettaglio sanzionatorio sono demandati a provvedimenti successivi. Chi imposta oggi la propria governance deve prevedere di rivederla, non di chiuderla.
Per le organizzazioni dotate di Modello 231 questo significa che l'introduzione di strumenti di IA non è più una questione soltanto tecnologica o privacy: entra nel perimetro dell'organismo di vigilanza.
La FRIA: quando serve e quando no
La valutazione d'impatto sui diritti fondamentali prevista dall'art. 27 dell'AI Act è spesso citata come adempimento generale. Non lo è. Riguarda determinati utilizzatori di sistemi ad alto rischio: in particolare gli organismi di diritto pubblico e i soggetti privati che erogano servizi pubblici, oltre ad alcune ipotesi in ambito creditizio e assicurativo.
Un'impresa che usa solo strumenti a rischio limitato o minimo non è tenuta a produrla, e proporgliela sarebbe un costo senza fondamento. È una delle ragioni per cui la classificazione va fatta prima della documentazione, e non viceversa.
Dove invece è dovuta, conviene costruirla in raccordo con la DPIA del GDPR: gli oggetti sono diversi — diritti fondamentali nel primo caso, rischi per i dati personali nel secondo — ma l'istruttoria si sovrappone in misura significativa e svolgerle separatamente raddoppia il lavoro senza aumentare la qualità.
Perché integrare invece di costruire in parallelo
L'errore ricorrente è trattare l'AI Act come un corpo normativo separato, con una documentazione propria che vive accanto a quella privacy. Il risultato sono due sistemi che divergono nel giro di pochi mesi: il registro dei trattamenti aggiornato e il registro dei sistemi di IA fermo, o due procedure di incidente che si contraddicono.
Nella pratica la sovrapposizione è ampia. Gli stessi fornitori compaiono in entrambi i registri, gli stessi strumenti trattano dati personali, le stesse persone devono essere formate, la stessa funzione gestisce gli incidenti. Costruire la governance IA come estensione di quella privacy — stessi documenti, stesse procedure, sezioni aggiuntive — riduce il lavoro iniziale e, soprattutto, rende sostenibile la manutenzione nel tempo.
È anche la ragione per cui conviene che entrambe le materie facciano capo alla stessa figura, come spiegato nell'approfondimento GDPR e AI Act: perché serve un DPO che li conosca entrambi.
Chi ne ha più bisogno
- Organizzazioni con personale che usa IA generativa quotidianamente, dove il rischio principale non è normativo ma la fuoriuscita di informazioni riservate verso servizi esterni.
- Enti pubblici, per cui si sommano AI Act, Legge 132/2025, GDPR e obblighi di trasparenza amministrativa, e per cui la FRIA può essere effettivamente dovuta.
- Aziende con Modello 231, che devono valutare l'impatto del nuovo profilo penale sull'assetto dei controlli.
- Software house che operano come fornitori: la documentazione di governance è il presupposto degli obblighi più stringenti che li riguardano.
- Strutture sanitarie, dove la combinazione di dati particolari e sistemi di IA impone il livello di presidio più alto.
Come si svolge e quanto costa
Il presupposto è conoscere il perimetro: se l'assessment è già stato fatto, la documentazione si costruisce direttamente sui suoi esiti. In caso contrario i due interventi si svolgono in sequenza, ed è la soluzione consigliata perché evita di scrivere regole per sistemi che non esistono.
Il costo dipende dall'ampiezza del perimetro, dalla presenza di un Modello 231 da coordinare e dal fatto che l'organizzazione operi come utilizzatore o come fornitore. La prima valutazione è gratuita. Richiedi un preventivo personalizzato.
Domande frequenti su policy e governance dell'IA
La policy aziendale sull'IA è obbligatoria?
L'AI Act non impone espressamente una policy come documento a sé. Impone però obblighi — alfabetizzazione del personale, sorveglianza umana, trasparenza, uso conforme alle istruzioni del fornitore — che senza regole scritte non sono né attuabili né dimostrabili. La policy è lo strumento con cui l'organizzazione rende operativi quegli obblighi e ne conserva evidenza.
Cosa deve contenere una policy sull'uso dell'IA?
Gli strumenti autorizzati e quelli vietati, i dati che non possono mai essere immessi nei sistemi, i casi in cui è obbligatoria la verifica umana prima di utilizzare un output, la procedura per proporre e approvare nuovi strumenti, le responsabilità per funzione e le conseguenze delle violazioni. Deve essere breve e comprensibile: una policy che nessuno legge non riduce alcun rischio.
Il registro dei sistemi di IA è lo stesso del registro dei trattamenti?
No, sono documenti distinti con finalità diverse. Il registro dei trattamenti risponde all'art. 30 del GDPR e mappa i trattamenti di dati personali; il registro dei sistemi di IA mappa gli strumenti, il ruolo dell'organizzazione e la classe di rischio ai sensi dell'AI Act, inclusi i sistemi che non trattano dati personali. Vanno però tenuti allineati, perché molte informazioni si sovrappongono.
Cosa cambia con la Legge 132/2025?
La legge del 23 settembre 2025 ha dato attuazione nazionale all'AI Act designando AgID e ACN come autorità competenti, ha introdotto il reato di diffusione illecita di contenuti generati o alterati con IA e ha rafforzato il collegamento con la responsabilità amministrativa degli enti. È una legge quadro: diversi aspetti sono rinviati a decreti attuativi, quindi il quadro va monitorato nel tempo.
Serve la FRIA, la valutazione d'impatto sui diritti fondamentali?
La valutazione d'impatto sui diritti fondamentali prevista dall'art. 27 riguarda determinati utilizzatori di sistemi ad alto rischio, in particolare organismi di diritto pubblico e soggetti privati che erogano servizi pubblici, oltre ad alcuni casi in ambito creditizio e assicurativo. Se la tua organizzazione non usa sistemi ad alto rischio non è dovuta, ed è una delle ragioni per cui l'assessment va fatto prima.
Come si valuta un fornitore di sistemi di IA?
Verificando quale ruolo assume ai sensi dell'AI Act, quali istruzioni per l'uso fornisce, se e come marca i contenuti generati, dove sono trattati i dati, se li utilizza per l'addestramento dei propri modelli e quali garanzie contrattuali offre. Nella pratica molte condizioni standard dei fornitori internazionali lasciano scoperti punti che poi ricadono sull'utilizzatore.
Chi decide, oggi, cosa il tuo personale può fare con l'IA?
Se la risposta è «ognuno per sé», il rischio non è solo normativo. Prenota una valutazione gratuita e vediamo quali regole servono davvero.