Checklist di Conformità al Regolamento UE sull'IA per CTO e CIO

Il Regolamento UE sull'IA (Regolamento 2024/1689) è ora legge, e i suoi obblighi si stanno applicando secondo un calendario rigoroso. In qualità di CTO o CIO, siete la persona che con maggiore probabilità sarà responsabile dell'aspetto tecnico della conformità — e quella che dovrà rispondere quando il consiglio di amministrazione chiederà: "Siamo pronti?"

Il presente articolo fornisce una checklist strutturata e operativa per aiutarvi a valutare la posizione della vostra organizzazione, identificare le lacune e costruire una roadmap di conformità. È pensata per i responsabili tecnologici di imprese che sviluppano, implementano o acquisiscono sistemi di IA che operano nel mercato dell'UE.

Cosa è cambiato a luglio 2026

Il Regolamento (UE) 2026/1744 («Digital Omnibus sull'IA»), dell'8 luglio 2026, è entrato in vigore il 27 luglio 2026. È la prima modifica al Regolamento sull'IA e riscrive una parte del calendario di applicazione, non tutto.

Che cosa è slittato. Gli obblighi del Capo III, Sezioni 1, 2 e 3 per i sistemi ad alto rischio ai sensi dell'Articolo 6, paragrafo 2 e dell'Allegato III (casi d'uso autonomi) si applicano ora dal 2 dicembre 2027 anziché dal 2 agosto 2026. Quelli per i sistemi ad alto rischio ai sensi dell'Articolo 6, paragrafo 1 e dell'Allegato I (prodotti e componenti di sicurezza) si applicano dal 2 agosto 2028 anziché dal 2 agosto 2027. Le sandbox normative nazionali dell'Articolo 57 devono essere operative entro il 2 agosto 2027. L'Articolo 6, paragrafo 5 è espressamente escluso dal rinvio.

Il rinvio è incondizionato. Il meccanismo di «stop-the-clock» previsto nella proposta originaria della Commissione, che avrebbe legato queste date a una decisione sulla disponibilità delle norme armonizzate, è stato eliminato dai colegislatori. Nel testo adottato non esiste alcun criterio di prontezza normativa né alcun ulteriore rinvio automatico.

Che cosa non è cambiato. Il 2 agosto 2026 è rimasto la data di applicazione generale e le autorità hanno iniziato ad applicare il regolamento in quella data. Gli obblighi di trasparenza dell'Articolo 50 — informativa sui chatbot, etichettatura dei deepfake e marcatura leggibile da macchina dei contenuti sintetici — sono già esigibili. Anche la registrazione ai sensi dell'Articolo 49 non è rinviata. Le pratiche vietate dell'Articolo 5 si applicano dal 2 febbraio 2025 e gli obblighi per i modelli di IA per finalità generali dal 2 agosto 2025: entrambi restano invariati, così come le sanzioni dell'Articolo 99.

Che cosa è nuovo. Sono state introdotte due nuove pratiche vietate all'Articolo 5, applicabili dal 2 dicembre 2026: i sistemi che generano o manipolano immagini intime realistiche di una persona identificabile senza il suo consenso (Articolo 5, paragrafo 1, lettera ba) e i sistemi che generano o manipolano materiale pedopornografico (lettera bb). Il nuovo Articolo 111, paragrafo 4 introduce inoltre un periodo transitorio: i sistemi di IA generativa immessi sul mercato prima del 2 agosto 2026 devono soddisfare l'obbligo di marcatura leggibile da macchina dell'Articolo 50, paragrafo 2 entro il 2 dicembre 2026.

Fase 1: Scoperta e inventario

Prima di poter essere conformi, dovete sapere cosa avete. La maggior parte delle organizzazioni sottostima significativamente il numero di sistemi di IA che gestisce.

Checklist: Inventario dei sistemi di IA

• Identificate tutti i sistemi di IA nell'organizzazione — non solo quelli etichettati come "IA." La definizione del regolamento (Articolo 3, paragrafo 1) è ampia: qualsiasi sistema basato su macchina progettato per operare con diversi livelli di autonomia che genera output come previsioni, raccomandazioni, decisioni o contenuti.
• Includete l'IA di terze parti — sistemi che acquisite, integrate o a cui accedete tramite API. In qualità di deployer, avete obblighi anche per i sistemi che non avete costruito.
• Mappate i sistemi di IA sulle funzioni aziendali — HR, servizio clienti, rilevamento frodi, moderazione dei contenuti, supply chain, marketing, funzionalità di prodotto, strumenti interni.
• Documentate lo scopo e l'ambito di ciascun sistema — quali decisioni influenza, quali dati elabora, chi è interessato dai suoi output.
• Identificate il fornitore di ciascun sistema — è sviluppato internamente, acquisito da un vendor o open source? I vostri obblighi differiscono a seconda del vostro ruolo nella catena del valore.

Checklist: Identificazione del ruolo

Il Regolamento sull'IA assegna obblighi diversi in base al vostro ruolo. Potreste ricoprire più ruoli contemporaneamente:

• Fornitore (Articolo 3, paragrafo 3) — sviluppate un sistema di IA o lo fate sviluppare per vostro conto e lo immettete sul mercato o lo mettete in servizio con il vostro nome o marchio
• Deployer (Articolo 3, paragrafo 4) — utilizzate un sistema di IA sotto la vostra autorità (anche se non lo avete costruito)
• Importatore — immettete sul mercato UE un sistema di IA di un fornitore stabilito al di fuori dell'UE
• Distributore — rendete disponibile sul mercato UE un sistema di IA senza essere fornitore o importatore
• Rappresentante autorizzato — siete incaricati da un fornitore extra-UE di agire per suo conto

Fase 2: Classificazione del rischio

Il cuore del Regolamento sull'IA è il suo approccio basato sul rischio. I vostri obblighi dipendono interamente dalla categoria di rischio in cui rientra ciascun sistema di IA.

Checklist: Screening delle pratiche vietate (Articolo 5)

• Esaminate ciascun sistema di IA rispetto alle pratiche vietate dell'Articolo 5, applicabili dal 2 febbraio 2025
• Segnalate qualsiasi sistema che coinvolga: tecniche subliminali o manipolative, sfruttamento di gruppi vulnerabili, social scoring, polizia predittiva individuale, raccolta indiscriminata di immagini facciali, riconoscimento delle emozioni nei luoghi di lavoro/istituti di istruzione, categorizzazione biometrica per attributi sensibili o identificazione biometrica remota in tempo reale negli spazi pubblici
• Verificate i due nuovi divieti, applicabili dal 2 dicembre 2026: sistemi che generano o manipolano immagini intime realistiche di una persona identificabile senza il suo consenso (Articolo 5, paragrafo 1, lettera ba) e sistemi che generano o manipolano materiale pedopornografico (lettera bb). L'ambito è definito dai nuovi Articolo 5, paragrafi 1 bis e 1 ter.
• Per i sistemi segnalati: determinate immediatamente se il sistema deve essere dismesso, riprogettato o rientra in un'eccezione circoscritta
• Documentate la vostra analisi per ciascun sistema — inclusa la motivazione per cui i sistemi prossimi al confine non sono vietati

Le linee guida della Commissione sulle pratiche vietate del 4 febbraio 2025 restano il riferimento operativo per l'Articolo 5 e non trattano ancora i due nuovi divieti.

Unacceptable Risk

Checklist: Classificazione ad alto rischio (Articoli 6 e Allegato III)

• Verificate l'Allegato I — il vostro sistema di IA funge da componente di sicurezza di un prodotto, o è esso stesso un prodotto, disciplinato dalla legislazione di armonizzazione dell'UE (dispositivi medici, macchinari, giocattoli, veicoli, aviazione, ecc.)? Per questi sistemi gli obblighi del Capo III si applicano dal 2 agosto 2028. Nota: il Regolamento (UE) 2026/1744 ha spostato i macchinari dalla Sezione A alla Sezione B dell'Allegato I.
• Verificate l'Allegato III — il vostro sistema di IA rientra in una delle otto aree ad alto rischio? Per questi sistemi gli obblighi del Capo III si applicano dal 2 dicembre 2027. L'Allegato III non è stato modificato: le otto voci restano quelle originarie.
  • Identificazione e categorizzazione biometrica
  • Gestione e funzionamento di infrastrutture critiche
  • Istruzione e formazione professionale (ammissioni, valutazioni)
  • Occupazione, gestione dei lavoratori e accesso al lavoro autonomo (selezione, assegnazione dei compiti, monitoraggio, valutazione)
  • Accesso a servizi privati essenziali e a servizi pubblici (credit scoring, pricing assicurativo, servizi di emergenza)
  • Attività di contrasto (valutazione del rischio, poligrafi, analisi delle prove)
  • Migrazione, asilo e gestione delle frontiere
  • Amministrazione della giustizia e processi democratici
• Applicate l'eccezione dell'Articolo 6, paragrafo 3 — anche se elencato nell'Allegato III, un sistema non è ad alto rischio se non presenta un rischio significativo di danno. La disposizione non è stata modificata nella sostanza e resta la regola per cui un sistema dell'Allegato III che effettua profilazione è sempre ad alto rischio. Documentate attentamente questa valutazione se vi fate affidamento.
• Documentate la motivazione della classificazione per ogni sistema di IA — questo sarà un documento chiave in qualsiasi indagine normativa

High Risk

Checklist: Sistemi a rischio limitato e rischio minimo

• Identificate i sistemi con obblighi di trasparenza (Articolo 50) — chatbot, deepfake, riconoscimento delle emozioni, categorizzazione biometrica. Questi obblighi si applicano dal 2 agosto 2026: sono la parte del regolamento già esigibile oggi, perché l'Articolo 50 si colloca nel Capo IV, al di fuori del rinvio del Capo III.
• Verificate il periodo transitorio dell'Articolo 111, paragrafo 4 — se fornite sistemi di IA generativa immessi sul mercato prima del 2 agosto 2026, l'obbligo di marcatura leggibile da macchina dell'Articolo 50, paragrafo 2 va soddisfatto entro il 2 dicembre 2026
• Classificate i sistemi rimanenti come a rischio minimo — codici di condotta volontari incoraggiati ma nessun obbligo obbligatorio
• Documentate tutte le classificazioni nel vostro registro IA

Fase 3: Analisi delle lacune per i sistemi ad alto rischio

Se avete identificato sistemi di IA ad alto rischio, è qui che inizia il lavoro sostanziale. Gli Articoli da 8 a 15 definiscono i requisiti. Il termine è ora il 2 dicembre 2027 per i sistemi dell'Allegato III e il 2 agosto 2028 per quelli dell'Allegato I: tempo sufficiente per svolgere il lavoro bene, non per rinviarne l'avvio.

Checklist: Governance dei dati (Articolo 10)

• Documentate i set di dati di addestramento, validazione e test — inclusa la loro provenienza, pertinenza, rappresentatività ed eventuali lacune o distorsioni note
• Implementate criteri di qualità dei dati — esaminate i dati per errori, incompletezze e distorsioni prima dell'addestramento e su base continuativa
• Garantite una governance dei dati adeguata — compresi i processi di raccolta, etichettatura, pulizia e arricchimento dei dati
• Affrontate le distorsioni nei set di dati — specialmente per quanto riguarda le caratteristiche protette (genere, etnia, età, disabilità)
• Per il trattamento di dati personali: confermate la conformità al GDPR, compresa la base giuridica, la minimizzazione dei dati e la limitazione delle finalità

Checklist: Documentazione tecnica (Articolo 11)

• Preparate la documentazione tecnica prima che un sistema sia immesso sul mercato — questo non è facoltativo e deve essere mantenuta aggiornata
• Includete tutti gli elementi specificati nell'Allegato IV: descrizione generale, processo di sviluppo, monitoraggio e controllo, gestione del rischio, modifiche e norme applicate
• Assicuratevi che la documentazione sia sufficientemente completa perché le autorità possano valutare la conformità — una documentazione vaga o superficiale non sarà sufficiente

Checklist: Conservazione delle registrazioni e log (Articolo 12)

• Implementate la registrazione automatica degli eventi durante il funzionamento del sistema di IA — il regolamento richiede la tracciabilità
• Assicuratevi che i log registrino: il periodo di ciascun utilizzo, la banca dati di riferimento rispetto alla quale i dati di input sono stati verificati, i dati di input per i quali la ricerca ha portato a una corrispondenza e l'identificazione delle persone coinvolte nella sorveglianza umana
• Definite i periodi di conservazione dei log — almeno per il periodo adeguato alla finalità prevista del sistema, e non meno di sei mesi salvo diversa indicazione
• Assicuratevi che i log siano accessibili ai deployer e disponibili alle autorità su richiesta

Checklist: Trasparenza e informazioni (Articolo 13)

• Progettate sistemi trasparenti — i deployer devono poter comprendere e utilizzare in modo appropriato l'output del sistema
• Fornite istruzioni per l'uso chiare che coprano: finalità prevista, livello di accuratezza e robustezza, limitazioni note, rischi di uso improprio ragionevolmente prevedibile, misure di sorveglianza umana e specifiche dei dati di input attesi
• Se del caso: informate le persone che sono soggette a una decisione presa da un sistema di IA ad alto rischio

Checklist: Sorveglianza umana (Articolo 14)

• Progettate sistemi per una sorveglianza umana efficace — questo significa una sorveglianza reale e significativa, non una mera formalità
• Assicuratevi che il supervisore umano possa: comprendere pienamente le capacità e i limiti del sistema, interpretare correttamente gli output, decidere di non utilizzare il sistema o di ignorare il suo output, e intervenire o arrestare il sistema
• Implementate meccanismi "human-on-the-loop" o "human-in-the-loop" adeguati al livello di rischio e al contesto
• Formate le persone responsabili della sorveglianza umana — devono possedere le competenze, la formazione e l'autorità per svolgere il proprio ruolo

Checklist: Accuratezza, robustezza e cybersicurezza (Articolo 15)

• Definite e dichiarate le metriche di accuratezza — il sistema deve raggiungere il livello di accuratezza adeguato alla sua finalità prevista
• Testate la robustezza — il sistema dovrebbe funzionare in modo coerente nelle condizioni previste e gestire con eleganza errori o incongruenze
• Implementate misure di cybersicurezza — proteggete contro la manipolazione non autorizzata di dati di addestramento, input o del modello stesso (avvelenamento dei dati, esempi avversariali, estrazione del modello)
• Documentate tutti i risultati dei test e includeteli nella documentazione tecnica

Fase 4: Prontezza organizzativa

La conformità tecnica è necessaria ma non sufficiente. Servono anche strutture e processi organizzativi.

Checklist: Sistema di gestione della qualità (Articolo 16)

• Istituite un sistema di gestione della qualità proporzionato alle dimensioni della vostra organizzazione — politiche e procedure documentate per lo sviluppo, l'implementazione e il monitoraggio dei sistemi di IA
• Includete la strategia di conformità, l'allocazione delle risorse e la responsabilità nel SGQ
• Implementate un sistema di sorveglianza post-commercializzazione (Articolo 72) — processi sistematici per raccogliere e analizzare dati sulle prestazioni dei vostri sistemi di IA dopo l'implementazione
• Definite un processo di segnalazione degli incidenti gravi (Articolo 73) — dovete segnalare alle autorità entro 15 giorni dal momento in cui venite a conoscenza di un incidente grave

Checklist: Valutazione della conformità (Articoli 43-44)

• Determinate quale procedura di valutazione della conformità si applica a ciascun sistema ad alto rischio — controllo interno (Allegato VI) o valutazione da parte di terzi (Allegato VII)
• Identificate se è richiesto un organismo notificato — è obbligatorio per determinati sistemi di IA biometrici e per infrastrutture critiche. Pianificate con anticipo: gli organismi già notificati ai sensi della legislazione settoriale dell'Allegato I, Sezione A devono presentare domanda di designazione ai sensi del Capo III, Sezione 4 entro il 28 gennaio 2028 (nuovo Articolo 43, paragrafo 3).
• Preparate la dichiarazione UE di conformità (Articolo 47) — una dichiarazione formale che il sistema soddisfa tutti i requisiti applicabili
• Apponete la marcatura CE (Articolo 48) prima di immettere il sistema sul mercato
• Registrate il sistema nella banca dati dell'UE (Articolo 49) — attenzione: l'Articolo 49 si colloca nella Sezione 5 del Capo III ed è quindi fuori dal rinvio, che riguarda solo le Sezioni da 1 a 3

Checklist: Obblighi dei deployer (Articolo 26)

Se implementate (utilizzate) sistemi di IA ad alto rischio costruiti da altri:

• Utilizzate il sistema conformemente alle istruzioni per l'uso del fornitore
• Assegnate la sorveglianza umana a persone con le competenze, la formazione e l'autorità necessarie
• Assicuratevi che i dati di input siano pertinenti e sufficientemente rappresentativi per la finalità prevista del sistema
• Monitorate il funzionamento del sistema e segnalate qualsiasi incidente grave al fornitore e all'autorità competente
• Conducete una valutazione d'impatto sui diritti fondamentali (Articolo 27) se siete un organismo di diritto pubblico o un soggetto privato che eroga servizi pubblici
• Informate le persone che sono soggette a una decisione di un sistema di IA ad alto rischio, ove richiesto

Fase 5: Calendario e roadmap

Costruite una roadmap concreta con tappe allineate all'applicazione progressiva del regolamento.

Fase 6: Conformità continua

La conformità non è un progetto una tantum. Il Regolamento sull'IA richiede monitoraggio e adattamento continui.

Checklist: Obblighi continui

• Monitorate le prestazioni dei sistemi di IA dopo l'implementazione — tracciate le metriche di accuratezza, distorsione e affidabilità nel tempo
• Aggiornate la documentazione tecnica ogni volta che il sistema viene sostanzialmente modificato (Articolo 43, paragrafo 4)
• Segnalate gli incidenti gravi all'autorità di vigilanza del mercato competente entro i tempi prescritti
• Mantenetevi aggiornati con le linee guida normative — l'Ufficio per l'IA, il Comitato per l'IA e le autorità nazionali emetteranno atti di esecuzione, norme e codici di buone pratiche nel corso del 2026-2028, e le linee guida sulla classificazione ad alto rischio sono ancora in bozza
• Conducete audit interni periodici dei vostri sistemi di IA rispetto ai requisiti del regolamento
• Riformate i vostri team man mano che il panorama normativo evolve
• Mantenete il vostro registro IA — tenetelo aggiornato man mano che i sistemi vengono aggiunti, modificati o dismessi

Errori comuni per i responsabili tecnologici

Sulla base dei requisiti del regolamento e della sua struttura, ecco gli errori che CTO e CIO dovrebbero attivamente evitare:

Sottovalutazione dell'ambito. La definizione di "sistema di IA" del Regolamento sull'IA è più ampia di quanto molti si aspettino. Se cercate solo i sistemi esplicitamente etichettati come "IA" o "ML", vi sfuggiranno i sistemi basati su regole, i modelli statistici e l'IA incorporata negli strumenti di terze parti.

Trattamento della conformità come questione solo giuridica. La conformità al Regolamento sull'IA richiede un lavoro tecnico approfondito — governance dei dati, registrazione, test, documentazione. I team legali non possono farlo da soli. La leadership ingegneristica deve essere direttamente coinvolta.

Ignorare gli obblighi dei deployer. Molti CTO presumono che se acquistano un sistema di IA da un vendor conforme, siano coperti. Non è così. I deployer hanno obblighi indipendenti per la sorveglianza umana, il monitoraggio e la qualità dei dati di input.

Leggere il rinvio come una pausa. Il messaggio più frainteso di luglio 2026 è che «il Regolamento sull'IA è stato rinviato». Non è così: si sono spostati soltanto gli obblighi del Capo III, Sezioni 1-3 per i sistemi ad alto rischio. L'applicazione è iniziata il 2 agosto 2026 e l'Articolo 50 è esigibile adesso. Un programma di conformità sospeso in attesa del dicembre 2027 lascia scoperto ciò che è già vincolante.

Sottovalutare il carico di lavoro residuo. Sedici mesi sembrano molti, ma la governance dei dati, la registrazione automatica, i test di robustezza e la documentazione tecnica dell'Allegato IV richiedono cicli di ingegneria, non passaggi documentali dell'ultimo trimestre. In assenza di norme armonizzate citate in Gazzetta ufficiale, l'onere probatorio ricade interamente sulla vostra documentazione.

Trascurare gli obblighi per i modelli GPAI. Se la vostra organizzazione fornisce o effettua il fine-tuning di un modello di IA per finalità generali, si applicano requisiti aggiuntivi ai sensi degli Articoli 51-55, applicabili dall'agosto 2025 e non modificati dal Digital Omnibus. I modelli immessi sul mercato prima del 2 agosto 2025 hanno tempo fino al 2 agosto 2027. La soglia di rischio sistemico dell'Articolo 51, paragrafo 2 resta fissata a 10^25 FLOP cumulativi di addestramento.

Conclusione

La conformità al Regolamento UE sull'IA è una sfida tecnica e organizzativa che rientra appieno nel dominio del CTO e del CIO. La checklist sopra riportata fornisce un percorso strutturato dalla scoperta alla conformità continua, allineato al calendario di applicazione progressiva del regolamento come modificato dal Regolamento (UE) 2026/1744.

Il calendario ha ora due velocità. Da un lato ciò che è già vincolante: i divieti dell'Articolo 5, gli obblighi per i modelli di IA per finalità generali, la trasparenza dell'Articolo 50 e la registrazione dell'Articolo 49, tutti coperti dall'applicazione iniziata il 2 agosto 2026. Dall'altro il regime per l'alto rischio, che si applica dal 2 dicembre 2027 per l'Allegato III e dal 2 agosto 2028 per l'Allegato I. Il rinvio è incondizionato: non arriverà una seconda proroga legata alla disponibilità delle norme.

Le organizzazioni che navigheranno questa transizione con maggiore fluidità sono quelle che mettono in regola oggi ciò che è già esigibile, investono in un inventario e una classificazione sistematici e usano i mesi che le separano dal dicembre 2027 per costruire sistemi di IA trasparenti, robusti e degni di fiducia.

Le scadenze sono chiare. I requisiti sono definiti. La domanda è se la vostra organizzazione sarà pronta.