Che cosa chiede l'AI Act a un'azienda che usa gli LLM internamente?

Come deployer adottate misure per garantire un livello sufficiente di alfabetizzazione in materia di IA del personale che usa l'IA (articolo 4, dal 2 febbraio 2025). Dal 2 agosto 2026 rendete noto quando pubblicate deep fake o testi generati dall'IA su questioni di interesse pubblico (articolo 50). Se usate l'IA per una finalità ad alto rischio dell'allegato III, come la selezione del personale o il merito creditizio, dal 2 dicembre 2027 si aggiungono gli obblighi dell'articolo 26.

Dobbiamo registrare l'uso degli LLM?

Il regolamento prevede un obbligo di log per gli usi ad alto rischio: secondo l'articolo 26, paragrafo 6, i deployer conservano i log generati automaticamente dal sistema di IA ad alto rischio, nella misura in cui sono sotto il loro controllo, per almeno sei mesi, salvo diversa disposizione del diritto dell'Unione o nazionale, in particolare in materia di protezione dei dati. A parte questo, sapere quali modelli e provider usa ogni applicazione è il punto di partenza di un inventario IA, ed è ciò che registra un gateway.

Usiamo API LLM internamente. Che cosa è cambiato ad agosto 2026?

Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell'articolo 50. L'obbligo di alfabetizzazione in materia di IA vale dal 2 febbraio 2025, e gli obblighi per gli usi ad alto rischio dell'allegato III partono il 2 dicembre 2027.

Standard Compute assolve i nostri obblighi previsti dall'AI Act?

Gli obblighi spettano alla vostra azienda in quanto deployer. Standard Compute fornisce le evidenze e le regole su cui questo lavoro si basa: un log delle richieste con modello, provider e regola di regione per 12 mesi, un registro di audit amministrativo, elenchi di modelli e provider autorizzati e la regola Europa.

Il log delle richieste conserva i nostri prompt?

No. I log delle richieste contengono solo metadati (modello, provider, token, costo, stato), mai i vostri prompt o output. Elaboriamo i vostri prompt in memoria per servire ogni richiesta e non li scriviamo mai su storage o nei log.

Che cosa devono chiedere gli acquisti a un fornitore di API LLM su AI Act e GDPR?

Dove vengono elaborati i prompt, se i contenuti vengono conservati o usati per l'addestramento, chi sono i sub-responsabili e quali evidenze ricevete. Standard Compute risponde con la regola Europa, la zero data retention, un DPA firmato nella dashboard, un elenco pubblico dei sub-responsabili con 14 giorni di preavviso e un log delle richieste di 12 mesi.

Chiamare Claude, GPT o Gemini tramite API ci rende fornitori di un modello?

No. Il regolamento chiama deployer l'azienda che usa un sistema di IA sotto la propria autorità. Il fornitore di un modello è l'azienda che lo sviluppa e lo immette sul mercato.

AI Act: quali obblighi ha un'azienda che usa gli LLM?

Ultimo aggiornamento: 9 novembre 2026

Per un'azienda che usa gli LLM tramite API o come assistenti, il regolamento sull'IA significa soprattutto obblighi da deployer: alfabetizzazione in materia di IA del personale (articolo 4, dal 2 febbraio 2025), trasparenza per i deep fake e per i testi generati dall'IA pubblicati su questioni di interesse pubblico (articolo 50, dal 2 agosto 2026) e, solo per gli usi ad alto rischio dell'allegato III, gli obblighi dell'articolo 26 dal 2 dicembre 2027, tra cui conservare per almeno sei mesi i log generati automaticamente.

Standard Compute copre la parte pratica: modello, provider che ha servito la richiesta e regola di regione in vigore per ogni richiesta, conservati 12 mesi ed esportabili, con un registro di audit amministrativo, elenchi di modelli e provider autorizzati e la regola Europa.

Questa pagina riassume i testi ufficiali, con articolo e data. Che cosa si applica alla vostra azienda lo decide il vostro ufficio legale.

Crea uno spazio aziendaleoppure scrivete a contact@standardcompute.com

English Deutsch Français Nederlands Español

Risposte brevi

Che cosa chiede l'AI Act a un'azienda che usa gli LLM internamente?: Come deployer adottate misure per garantire un livello sufficiente di alfabetizzazione in materia di IA del personale che usa l'IA (articolo 4, dal 2 febbraio 2025). Dal 2 agosto 2026 rendete noto quando pubblicate deep fake o testi generati dall'IA su questioni di interesse pubblico (articolo 50). Se usate l'IA per una finalità ad alto rischio dell'allegato III, come la selezione del personale o il merito creditizio, dal 2 dicembre 2027 si aggiungono gli obblighi dell'articolo 26.
Chi ha gli obblighi per i modelli di IA per finalità generali?: I fornitori dei modelli. I loro obblighi del capo V si applicano dal 2 agosto 2025. Un'azienda che usa GPT, Claude o Gemini tramite API è il deployer del sistema di IA che mette in uso.
Dobbiamo registrare l'uso degli LLM?: Il regolamento prevede un obbligo di log per gli usi ad alto rischio: secondo l'articolo 26, paragrafo 6, i deployer conservano i log generati automaticamente dal sistema di IA ad alto rischio, nella misura in cui sono sotto il loro controllo, per almeno sei mesi, salvo diversa disposizione del diritto dell'Unione o nazionale, in particolare in materia di protezione dei dati. A parte questo, sapere quali modelli e provider usa ogni applicazione è il punto di partenza di un inventario IA, ed è ciò che registra un gateway.

Quali sono le scadenze dell'AI Act per le aziende?

Le date vengono dagli articoli 113 e 111 del regolamento (UE) 2024/1689, come modificato dall'omnibus digitale sull'IA.

Scadenze dell'AI Act
Data	Che cosa si applica	Fonte ufficiale
1° agosto 2024	Che cosa si applica: Il regolamento sull'IA, regolamento (UE) 2024/1689, entra in vigore.	Fonte ufficiale: EUR-Lex
2 febbraio 2025	Che cosa si applica: Si applica il capo I, compreso l'obbligo di alfabetizzazione in materia di IA dell'articolo 4.	Fonte ufficiale: Articolo 113, articolo 4
2 agosto 2025	Che cosa si applica: Si applicano gli obblighi dei fornitori di modelli di IA per finalità generali (capo V).	Fonte ufficiale: Articolo 113
2 agosto 2026	Che cosa si applica: Il regolamento si applica in generale, compresi gli obblighi di trasparenza dell'articolo 50.	Fonte ufficiale: Articolo 113, articolo 50
2 dicembre 2026	Che cosa si applica: Fine del periodo transitorio dell'articolo 111, paragrafo 4: i fornitori di sistemi immessi sul mercato prima del 2 agosto 2026 devono marcare gli output sintetici in formato leggibile da una macchina (articolo 50, paragrafo 2).	Fonte ufficiale: Articolo 111
2 dicembre 2027	Che cosa si applica: Obblighi per i sistemi di IA ad alto rischio dell'allegato III, come selezione del personale, occupazione, merito creditizio e istruzione, compresi quelli del deployer all'articolo 26.	Fonte ufficiale: Articolo 113, articolo 26
2 agosto 2028	Che cosa si applica: Obblighi per l'IA nei prodotti coperti dalla normativa di armonizzazione dell'allegato I.	Fonte ufficiale: Articolo 113

Sintesi dei testi ufficiali, verificata il 9 novembre 2026. Non è una consulenza legale.

Chiamare un LLM tramite API ci rende fornitori o deployer?

Il regolamento chiama deployer qualsiasi persona o ente che utilizza un sistema di IA sotto la propria autorità (articolo 3, punto 4), salvo l'uso personale non professionale. Un'azienda che chiama GPT, Claude o Gemini tramite API, o che dà un assistente IA ai propri dipendenti, è il deployer di quel sistema.

Gli obblighi per i modelli di IA per finalità generali del capo V, come la documentazione tecnica e le informazioni per i fornitori a valle, spettano alle aziende che sviluppano i modelli e li immettono sul mercato.

Che cosa chiede l'articolo 50 dal 2 agosto 2026?

I fornitori di sistemi di IA che generano contenuti sintetici audio, immagine, video o testo marcano gli output in un formato leggibile da una macchina come generati o manipolati artificialmente (articolo 50, paragrafo 2). Per i sistemi immessi sul mercato prima del 2 agosto 2026, l'articolo 111, paragrafo 4, concede tempo fino al 2 dicembre 2026.

I deployer rendono noto che contenuti di immagine, audio o video che costituiscono un deep fake sono stati generati o manipolati artificialmente (articolo 50, paragrafo 4). Lo stesso vale per i testi generati o manipolati dall'IA pubblicati per informare il pubblico su questioni di interesse pubblico, salvo che il testo sia stato sottoposto a revisione umana o a controllo editoriale e una persona ne abbia la responsabilità editoriale. I deployer di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica informano le persone esposte (articolo 50, paragrafo 3).

Per quanto tempo un deployer conserva i log?

Solo in caso di uso ad alto rischio. Usare l'IA per una finalità dell'allegato III, come la selezione dei candidati, la gestione dei lavoratori, la valutazione del merito creditizio o l'istruzione, ne fa un sistema di IA ad alto rischio. Dal 2 dicembre 2027 l'articolo 26 chiede allora, tra l'altro, di usare il sistema secondo le istruzioni del fornitore, affidare la sorveglianza umana a persone competenti e monitorarne il funzionamento.

Articolo 26, paragrafo 6: i deployer conservano i log generati automaticamente dal sistema di IA ad alto rischio, nella misura in cui sono sotto il loro controllo, per un periodo adeguato alla finalità prevista e di almeno sei mesi, salvo diversa disposizione del diritto dell'Unione o nazionale applicabile, in particolare in materia di protezione dei dati personali.

Quali evidenze fornisce un gateway IA?

Standard Compute mette Claude, GPT, Gemini e i modelli aperti sotto un unico account aziendale, con una chiave per ogni persona e ogni applicazione. Inventario IA, policy d'uso ed evidenze stanno così in un solo posto.

Ogni modifica amministrativa viene registrata con i valori prima e dopo, e potete esportare un registro di ogni richiesta con il modello, il provider che l'ha servita e la regola di regione in vigore, conservato 12 mesi. I log delle richieste contengono solo metadati (modello, provider, token, costo, stato), mai i vostri prompt o output.

Decidete quali modelli può usare ogni chiave e quali provider di inferenza possono trattare i vostri dati, per tutta l'azienda, un team o una singola chiave. I livelli inferiori possono solo restringere le regole e i fallback non possono mai aggirare il vostro elenco. Con una regola Europa ogni richiesta, compresi nuovi tentativi e fallback, è servita solo da endpoint di inferenza europei approvati.

Che cosa registra il gateway e quale lavoro supporta
Funzione	Che cosa fa	Supporta
Esportazione del log delle richieste	Che cosa fa: Modello, provider e regola di regione di ogni richiesta, conservati 12 mesi ed esportabili	Supporta: Evidenze d'uso, inventario IA
Registro di audit amministrativo	Che cosa fa: Ogni modifica amministrativa con i valori prima e dopo	Supporta: Storico della policy d'uso
Elenco dei modelli autorizzati	Che cosa fa: Solo i modelli che approvate per ogni applicazione o persona	Supporta: Policy d'uso
Elenco dei provider autorizzati	Che cosa fa: Solo i provider di inferenza approvati; uno nuovo richiede un amministratore	Supporta: Scelta dei provider
Una chiave per persona e applicazione	Che cosa fa: Uso collegato a una persona o a un'applicazione dalla prima richiesta	Supporta: Inventario IA
Regola Europa	Che cosa fa: Richieste, nuovi tentativi e fallback serviti solo da endpoint europei approvati	Supporta: Lavoro GDPR
Single sign-on	Che cosa fa: Microsoft Entra ID o qualsiasi provider di identità SAML	Supporta: Evidenze di accesso

Dashboard di Standard Compute, registro di audit: modifiche alla regola di regione, alla zero data retention, a un limite di spesa, ai modelli di una chiave applicativa e a un dominio SSO, ciascuna con il valore prima e dopo. — Il registro di audit amministrativo: ogni modifica a regole, budget e chiavi con il valore prima e dopo. L'azienda mostrata è un esempio; la dashboard è in inglese.

Queste registrazioni sono evidenze del gateway sull'uso di modelli e provider. I log dell'articolo 26, paragrafo 6, sono quelli che genera il sistema di IA ad alto rischio stesso. Che cosa il regolamento chiede alla vostra azienda lo decide il vostro ufficio legale, e le evidenze stanno su Standard Compute in un solo posto.

Domande da IT, sicurezza e acquisti

Usiamo API LLM internamente. Che cosa è cambiato ad agosto 2026?: Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell'articolo 50. L'obbligo di alfabetizzazione in materia di IA vale dal 2 febbraio 2025, e gli obblighi per gli usi ad alto rischio dell'allegato III partono il 2 dicembre 2027.
Standard Compute assolve i nostri obblighi previsti dall'AI Act?: Gli obblighi spettano alla vostra azienda in quanto deployer. Standard Compute fornisce le evidenze e le regole su cui questo lavoro si basa: un log delle richieste con modello, provider e regola di regione per 12 mesi, un registro di audit amministrativo, elenchi di modelli e provider autorizzati e la regola Europa.
Il log delle richieste conserva i nostri prompt?: No. I log delle richieste contengono solo metadati (modello, provider, token, costo, stato), mai i vostri prompt o output. Elaboriamo i vostri prompt in memoria per servire ogni richiesta e non li scriviamo mai su storage o nei log.
Che cosa devono chiedere gli acquisti a un fornitore di API LLM su AI Act e GDPR?: Dove vengono elaborati i prompt, se i contenuti vengono conservati o usati per l'addestramento, chi sono i sub-responsabili e quali evidenze ricevete. Standard Compute risponde con la regola Europa, la zero data retention, un DPA firmato nella dashboard, un elenco pubblico dei sub-responsabili con 14 giorni di preavviso e un log delle richieste di 12 mesi.
Chiamare Claude, GPT o Gemini tramite API ci rende fornitori di un modello?: No. Il regolamento chiama deployer l'azienda che usa un sistema di IA sotto la propria autorità. Il fornitore di un modello è l'azienda che lo sviluppa e lo immette sul mercato.

Fonti

Regolamento (UE) 2024/1689 (regolamento sull'IA), EUR-Lex, versione italiana, verificato il 9 novembre 2026
Regolamento (UE) 2026/1744 (omnibus digitale sull'IA), EUR-Lex, verificato il 9 novembre 2026
Articolo 4, AI Act Service Desk della Commissione europea, verificato il 9 novembre 2026
Articolo 26, AI Act Service Desk, verificato il 9 novembre 2026
Articolo 50, AI Act Service Desk, verificato il 9 novembre 2026
Articolo 111, AI Act Service Desk, verificato il 9 novembre 2026
Articolo 113, AI Act Service Desk, verificato il 9 novembre 2026

Create la vostra azienda, impostate le regole su modelli e provider e avviate il log delle richieste su cui si basa il vostro lavoro sull'AI Act.

Crea uno spazio aziendale