# Checklist AI Act per le aziende che usano l'IA

Aggiornata il 9 novembre 2026. Libera da copiare e usare. Testi degli articoli da EUR-Lex e dall'AI Act Service Desk.

Un'azienda che usa sistemi di IA sotto la propria autorità è un deployer ai sensi dell'AI Act (articolo 3, punto 4). Questa checklist riporta cosa il regolamento chiede ai deployer, l'articolo da cui viene ogni obbligo e la prova che dimostra che è stato adempiuto: alfabetizzazione in materia di IA dal 2 febbraio 2025, trasparenza dal 2 agosto 2026 e gli obblighi degli articoli 26 e 27 per gli usi ad alto rischio dal 2 dicembre 2027.

14 ottobre 2026: la prima norma armonizzata dell'AI Act, la EN 18286 (gestione della qualità per i fornitori di sistemi di IA ad alto rischio), è stata pubblicata nella Gazzetta ufficiale. [Cosa significa per i deployer](https://standardcompute.com/en-18286-norma-armonizzata-ai-act).

## 1. Ogni azienda che usa l'IA

_Vale per qualsiasi strumento: assistenti conversazionali, funzioni di IA in altri software, agenti di programmazione e modelli chiamati via API._

| Fatto | N. | Cosa fare | Articolo | Come dimostrarlo |
| --- | --- | --- | --- | --- |
| [ ] | 1 | Alfabetizzazione in materia di IA. Adottare misure per favorire l'alfabetizzazione in materia di IA del personale e delle altre persone che gestiscono o usano sistemi di IA per vostro conto, tenendo conto di conoscenze, esperienza, formazione e contesto d'uso. | Art. 4 (dal 2 feb. 2025, modificato dal reg. 2026/1744) | Registri della formazione per ruolo (data, partecipanti, contenuti), la policy sull'uso dell'IA accettata dal personale e indicazioni su rischi come le allucinazioni. Non serve alcun certificato. |
| [ ] | 2 | Inventario. Censire ogni sistema di IA e ogni caso d'uso: finalità, responsabile, utenti, modelli e fornitori, dati inseriti. | Base per gli art. 4, 6, 26 e 50 | Un registro dell'IA con responsabile, finalità, utenti, modelli, fornitori, categorie di dati, pubblicazione degli output e data dell'ultima verifica. Un export dei modelli e fornitori usati per applicazione o per chiave. |
| [ ] | 3 | Classificazione del rischio. Confrontare ogni caso d'uso con gli otto settori dell'allegato III: biometria, infrastrutture critiche, istruzione, occupazione e gestione dei lavoratori, servizi privati e pubblici essenziali (compresi merito creditizio e prezzi nelle assicurazioni vita e sanitarie), attività di contrasto, migrazione e controllo delle frontiere, giustizia e processi democratici. Redigere, tradurre, riassumere e assistere nella programmazione non sono settori dell'allegato III. Un uso del genere diventa ad alto rischio quando l'IA serve una finalità dell'elenco, per esempio filtrare le candidature. | Art. 6, par. 2 e 3, allegato III | Una nota di classificazione per caso d'uso con il punto dell'allegato III verificato e il ragionamento, l'eventuale deroga dell'articolo 6, paragrafo 3, approvazione dell'ufficio legale e nuova verifica a ogni cambio di finalità. La profilazione di persone fisiche in un settore dell'allegato III è sempre ad alto rischio. |
| [ ] | 4 | Verifica del ruolo. Confermare di restare deployer. Assumete gli obblighi del fornitore se apponete il vostro nome o marchio su un sistema ad alto rischio, lo modificate in modo sostanziale o cambiate la finalità di un sistema di IA in modo che diventi ad alto rischio. | Art. 25, par. 1 | Una nota nel registro per ogni sistema: marchio proprio o no, modifiche apportate, finalità confrontata con quella del fornitore. |

## 2. Solo se usate un sistema di IA ad alto rischio

_Usi dell'allegato III, dal 2 dicembre 2027 (articolo 113 come modificato dall'omnibus digitale sull'IA)._

| Fatto | N. | Cosa fare | Articolo | Come dimostrarlo |
| --- | --- | --- | --- | --- |
| [ ] | 5 | Uso conforme alle istruzioni. Adottare misure tecniche e organizzative per usare il sistema secondo le istruzioni per l'uso del fornitore. | Art. 26, par. 1 | Le istruzioni per l'uso archiviate con la versione e una procedura interna che associa un controllo a ogni istruzione. |
| [ ] | 6 | Sorveglianza umana. Affidare la sorveglianza a persone con la competenza, la formazione e l'autorità necessarie, e dare loro il supporto necessario. | Art. 26, par. 2 | Le persone designate per sistema, i loro registri di formazione, il potere di fermare o scavalcare il sistema e il percorso di escalation. |
| [ ] | 7 | Dati di input. Nella misura in cui controllate i dati di input, garantire che siano pertinenti e sufficientemente rappresentativi rispetto alla finalità prevista. | Art. 26, par. 4 | Una descrizione delle fonti di dati e una verifica datata di pertinenza e rappresentatività. |
| [ ] | 8 | Monitoraggio. Monitorare il funzionamento sulla base delle istruzioni per l'uso. In caso di possibile rischio, informare il fornitore o il distributore e l'autorità di vigilanza del mercato e sospendere l'uso. Segnalare gli incidenti gravi. | Art. 26, par. 5 | Un registro di monitoraggio, una procedura per gli incidenti con i contatti di fornitore e autorità e la traccia di ogni segnalazione o sospensione. |
| [ ] | 9 | Conservazione dei log. Conservare i log generati automaticamente dal sistema ad alto rischio, nella misura in cui sono sotto il vostro controllo, per un periodo adeguato alla finalità prevista e di almeno sei mesi, salvo diversa disposizione del diritto dell'Unione o nazionale, in particolare in materia di protezione dei dati personali. | Art. 26, par. 6 | L'impostazione di conservazione e il luogo di archiviazione dei log del sistema, il piano di cancellazione e un export di esempio che copre almeno sei mesi. |
| [ ] | 10 | Informare i lavoratori. Prima di mettere in servizio o usare un sistema ad alto rischio sul luogo di lavoro, il datore di lavoro informa i rappresentanti dei lavoratori e i lavoratori interessati. | Art. 26, par. 7 | La comunicazione datata al personale e il verbale o la lettera alle RSU o ad altri rappresentanti dei lavoratori. |
| [ ] | 11 | Informare le persone interessate. Quando un sistema dell'allegato III adotta decisioni riguardanti persone fisiche o aiuta ad adottarle, informare tali persone che sono soggette al suo uso. | Art. 26, par. 11 | Il testo dell'informativa e dove e quando viene mostrato alle persone interessate. |
| [ ] | 12 | Valutazione d'impatto sui diritti fondamentali, dove richiesta: organismi di diritto pubblico, enti privati che forniscono servizi pubblici e deployer di sistemi per il merito creditizio o per rischio e prezzi nelle assicurazioni vita e sanitarie (allegato III, punto 5, lettere b e c) valutano l'impatto prima del primo uso e notificano i risultati all'autorità di vigilanza del mercato. Le infrastrutture critiche (allegato III, punto 2) sono escluse. | Art. 27, art. 26, par. 9 | La valutazione svolta (processi, periodo e frequenza d'uso, gruppi interessati, rischi, sorveglianza, misure e meccanismi di reclamo), la notifica inviata e i rimandi alla vostra DPIA ai sensi dell'articolo 35 del GDPR. |

## 3. Trasparenza

_L'articolo 50 si applica dal 2 agosto 2026._

| Fatto | N. | Cosa fare | Articolo | Come dimostrarlo |
| --- | --- | --- | --- | --- |
| [ ] | 13 | Marcatura da parte del fornitore. I fornitori di sistemi di IA che generano contenuti sintetici audio, immagine, video o testo marcano gli output in un formato leggibile da una macchina come generati o manipolati artificialmente. È un obbligo del fornitore. Per i sistemi immessi sul mercato prima del 2 agosto 2026 si applica dal 2 dicembre 2026. | Art. 50, par. 2, art. 111, par. 4 | Per ogni strumento generativo nel registro, la dichiarazione o la documentazione del fornitore sulla marcatura, con la data della vostra verifica. |
| [ ] | 14 | Deep fake e testi di interesse pubblico. Rendere noto che immagini, audio o video che costituiscono un deep fake sono stati generati o manipolati artificialmente. Rendere noto che un testo pubblicato per informare il pubblico su questioni di interesse pubblico è stato generato o manipolato dall'IA, salvo che sia stato sottoposto a revisione umana o controllo editoriale e una persona ne detenga la responsabilità editoriale. | Art. 50, par. 4 | Una regola di etichettatura nel flusso di pubblicazione, esempi di contenuti etichettati e il nome della persona con la responsabilità editoriale dei testi rivisti. |
| [ ] | 15 | Riconoscimento delle emozioni e categorizzazione biometrica. Informare le persone esposte al funzionamento di un tale sistema. | Art. 50, par. 3 | Il testo dell'informativa e dove viene mostrato, oppure una nota nel registro che nessun sistema del genere è in uso. |

## 4. Documenti da chiedere ai fornitori di modelli

_Gli obblighi per i modelli di IA per finalità generali spettano ai fornitori e si applicano dal 2 agosto 2025._

| Fatto | N. | Cosa fare | Articolo | Come dimostrarlo |
| --- | --- | --- | --- | --- |
| [ ] | 16 | Documentazione dei modelli di IA per finalità generali. Se integrate un tale modello nel vostro sistema di IA, chiedete le informazioni e la documentazione che il fornitore deve mettere a disposizione dei fornitori a valle, oltre alla sintesi pubblica dei contenuti di addestramento e alla politica sul diritto d'autore. I modelli open source sono esenti dall'obbligo di documentazione, salvo rischio sistemico. | Art. 53, par. 1, lettere b, c, d, allegato XII | Una cartella per modello con la documentazione del fornitore, il link alla sintesi dei contenuti di addestramento, la politica sul diritto d'autore, le condizioni di trattamento dei dati e la data di acquisizione, collegata dal registro. |

---

## Fonti

- [Regolamento (UE) 2024/1689 sull'intelligenza artificiale, EUR-Lex](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689)
- [Regolamento (UE) 2026/1744, omnibus digitale sull'IA, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2026/1744/oj)
- AI Act Service Desk, testo consolidato: [articolo 4](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-4), [articolo 6](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-6), [articolo 25](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-25), [articolo 26](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-26), [articolo 27](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-27), [articolo 50](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50), [articolo 53](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-53), [articolo 111](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-111), [articolo 113](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-113), [allegato III](https://ai-act-service-desk.ec.europa.eu/en/ai-act/annex-3)

_Checklist gratuita AI Act per il deployer da https://standardcompute.com/checklist-ai-act-deployer (versione del 9 novembre 2026). Libera da copiare e modificare. Non costituisce consulenza legale._