Una lista di controllo pratica passo per passo per la conformità al Regolamento UE sull'IA. Valutate i vostri sistemi AI rispetto all'ambito, alla classificazione del rischio, alle pratiche vietate, agli obblighi GPAI e ai requisiti per i sistemi AI ad alto rischio. Aggiornata per le scadenze dell'omnibus 2026.
Come valutare la vostra conformità al Regolamento UE sull'IA: 10 fasi
Questa lista di controllo è progettata per i team legali, di conformità e tecnologici che conducono una valutazione iniziale ai sensi del Regolamento sull'IA. Percorrete le fasi in sequenza — ognuna si basa sulla precedente.
La lista di controllo si applica a tutte le organizzazioni che sviluppano, dispiegano, importano o distribuiscono sistemi AI nell'UE. Copre tutti i livelli di rischio, dai controlli sulle pratiche vietate fino alla conformità completa per i sistemi ad alto rischio.
Fase 1 — Costruite il vostro inventario AI
Iniziate qui: senza un inventario AI completo, nient'altro è possibile. Create un registro di ogni sistema AI che la vostra organizzazione gestisce:
- Sistemi AI che sviluppate e vendete o concedete in licenza (siete il fornitore)
- Sistemi AI che acquistate o concedete in licenza e utilizzate internamente (siete il deployer)
- Sistemi AI integrati nei prodotti che producete o importate
- Sistemi AI accessibili tramite API da terze parti (IA cloud, API di modelli fondazionali)
Per ognuno: documentate il nome del sistema, la funzione, gli input e gli output dei dati, il contesto di utilizzo, l'impatto sulla decisione e la popolazione interessata. Contrassegnate i sistemi in cui siete incerti sulla classificazione — questi richiedono una revisione legale.
Fase 2 — Verificate prima le pratiche vietate
Controllo prioritario: alcuni sistemi sono già illegali? Valutate ogni sistema rispetto all'Art. 5 prima di qualsiasi classificazione del livello di rischio. Se un sistema:
- Utilizza tecniche di manipolazione subliminale o subconscia
- Sfrutta specifiche vulnerabilità di gruppo (bambini, anziani, svantaggiati)
- Esegue il social scoring (solo enti pubblici)
- Conduce l'identificazione biometrica in tempo reale in spazi pubblici (forze dell'ordine)
- Esegue il riconoscimento delle emozioni sul posto di lavoro o in contesti educativi
- Categorizza le persone fisiche mediante dati biometrici per dedurre caratteristiche sensibili
- Genera NCII o CSAM
→ Dismettete o riprogettate fondamentalmente immediatamente. Questi divieti si applicano dal 2 febbraio 2025.
Fase 3 — Verifica del modello GPAI
Se la vostra organizzazione sviluppa e rilascia un modello fondazionale o un modello AI su larga scala, gli obblighi GPAI ai sensi del Capitolo 5 si applicano. Verificate:
- Il modello è addestrato con auto-supervisione su scala significativa?
- È capace di svolgere un'ampia gamma di compiti?
- È reso disponibile ad altri sviluppatori o utenti (non puramente interno)?
Se sì → Obblighi del fornitore GPAI dal 2 agosto 2025. Se il calcolo di addestramento supera i 10²⁵ FLOPs → obblighi di rischio sistemico.
Fasi 4–10 — Programma di conformità per l'IA ad alto rischio
Per ogni sistema non escluso dalla Fase 2 e non coperto dalla Fase 3, classificate rispetto all'Allegato III e all'Allegato I. Poi seguite le Fasi 4–10 come traccia di programma, puntando alla scadenza del 2 dicembre 2027 per i sistemi dell'Allegato III e al 2 agosto 2028 per i sistemi integrati dell'Allegato I.
Non aspettate fino al 2027. Un programma di conformità realistico per un singolo sistema AI ad alto rischio richiede 12–24 mesi. Iniziate la valutazione dei gap e la progettazione del SGQ nel 2026 per evitare una stretta dell'ultimo minuto — e per evitare il collo di bottiglia della capacità degli organismi notificati con l'avvicinarsi del dicembre 2027.
Mappatura tra le normative
Se la vostra organizzazione è anche soggetta a DORA o NIS2, il vostro programma di conformità al Regolamento sull'IA può essere integrato con i quadri esistenti di gestione del rischio ICT, risposta agli incidenti e governance delle terze parti. Consultate la nostra guida alla convergenza del Regolamento sull'IA vs. DORA vs. NIS2 → per i modelli di doppia mappatura.
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Il vostro sistema AI rientra nell'ambito di applicazione se è un sistema AI ai sensi dell'Art. 3(1) — un sistema basato su macchine che deduce output come previsioni, raccomandazioni, decisioni o contenuti — ed è immesso sul mercato UE o utilizzato nell'UE. I modelli di pura ricerca non dispiegati esternamente sono esclusi dall'ambito.
Il primo passo è l'inventario dei sistemi AI: catalogate tutti i sistemi AI che la vostra organizzazione sviluppa, dispiega, importa o distribuisce. Per ogni sistema, documentate cosa fa, chi è il fornitore, come viene utilizzato e la popolazione interessata. Senza un inventario completo, la classificazione del rischio non può iniziare.
Per un sistema AI ad alto rischio autonomo dell'Allegato III, un programma di conformità realistico richiede 12–24 mesi: 3–6 mesi per la valutazione dei gap e la progettazione del SGQ, 6–12 mesi per la documentazione tecnica, la governance dei dati e la valutazione della conformità, e 3–6 mesi per la registrazione nella banca dati UE e la marcatura CE. Iniziate non più tardi dell'inizio del 2026 per rispettare la scadenza del dicembre 2027.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.