AI Act in azienda: la mappa dei documenti per la compliance
Oltre all'uso degli strumenti, le aziende devono dimostrare la conformità. Ecco i documenti chiave, dal registro dei trattamenti alla DPIA, per gestire AI Act e GDPR in modo integrato.
La domanda che ricevono i consulenti privacy non è più se l'intelligenza artificiale sia utilizzabile, ma come dimostrarne la conformità in caso di ispezione. Con l'AI Act pienamente operativo su diversi fronti — dalle pratiche vietate del 2025 agli obblighi di trasparenza del 2026 — le aziende italiane devono gestire un fascicolo di governance che unisca gli adempimenti GDPR e quelli specifici per l'IA. Non si tratta solo di installare software, ma di tracciare scelte, responsabilità e controlli.
Il contesto normativo e i ruoli
Prima di redigere la documentazione, è fondamentale chiarire il ruolo dell'azienda. La maggior parte delle PMI che usa strumenti come ChatGPT o Gemini tramite abbonamento standard è un deployer: utilizza un sistema di terzi senza modificarne l'architettura. Il carico documentale diventa più pesante se l'azienda personalizza il modello o lo integra in un proprio prodotto, diventando provider. In questo caso servono documentazione tecnica, valutazione di conformità e registrazione nel database UE. Il primo passo è quindi una nota formale che inquadri il ruolo per ogni sistema in uso.
- Deployer: uso standard di strumenti di terzi.
- Provider: personalizzazione, fine-tuning o integrazione in prodotti propri.
- Nota di inquadramento: documento che specifica il ruolo per ogni strumento.
Cosa significa per chi compra e usa l'IA in Italia
Per le aziende italiane, l'uso di IA generativa comporta quasi sempre il trattamento di dati personali, anche in modo non evidente (es. incollare email di clienti in un prompt). Questo attiva obblighi specifici che vanno documentati con precisione.
- Aggiornare il Registro dei trattamenti: censire ogni uso sistematico di IA, indicando finalità, base giuridica, categorie di dati e tempi di conservazione. Verificare il meccanismo di legittimazione per i trasferimenti extra-UE (spesso verso gli USA), come il Data Privacy Framework o le Clausole Contrattuali Standard.
- Valutare la necessità di una DPIA: la Valutazione d'Impatto è quasi automatica per profilazione, screening di candidati o monitoraggio delle prestazioni. L'EDPB ha pubblicato un modello armonizzato nel 2026 utile come riferimento.
- Firmare accordi con i fornitori (DPA): prima di attivare lo strumento, è necessario un Data Processing Agreement che definisca le responsabilità del fornitore nel trattamento dei dati.
La formazione del personale è un altro pilastro: i dipendenti devono sapere come usare gli strumenti in modo sicuro e conforme. Manca un'ultima verifica: la policy interna che regola l'uso dell'IA e la designazione di un responsabile per la supervisione di questi processi.
La compliance non è un ostacolo, ma una leva di fiducia. Avere un fascicolo ordinato dimostra maturità organizzativa e riduce i rischi legali in un mercato in rapida evoluzione. Per approfondire le implicazioni tecnologiche e di sicurezza, puoi consultare la nostra sezione Magazine.
Domande frequenti
Chi deve fare la DPIA?
Le aziende che utilizzano sistemi di IA per finalità ad alto rischio, come la selezione del personale o il monitoraggio dei dipendenti, devono redigere una Valutazione d'Impatto sulla Protezione dei Dati.
Il registro dei trattamenti serve anche per l'IA?
Sì, ogni trattamento di dati personali tramite strumenti di IA deve essere censito nel registro, specificando la base giuridica e le misure di sicurezza adottate.
Cosa succede se non documentiamo il ruolo di deployer?
In caso di ispezione, la mancanza di una nota di inquadramento può portare a sanzioni per mancata trasparenza e difficoltà nel dimostrare la conformità agli obblighi specifici del ruolo.