Cosa fare entro il 2 agosto 2026
Le regole fondamentali iLevel per utilizzare AI cloud, AI locale, server on-premise e basi di conoscenza aziendali in modo responsabile e documentato.
☁️ AI Cloud
💻 AI Locale
🖥️ Server On-premise
📚 LLM Wiki & RAG
Workshop iLevel – Termoli, 18 luglio 2026 · Riccardo Rossi
Workshop iLevel – AI Act per PMI – Termoli, 18 luglio 2026
L'obiettivo di oggi
Non diventare esperti di diritto. L'obiettivo è capire concretamente cosa riguarda la tua azienda, cosa è già obbligatorio e cosa fare prima del 2 agosto 2026.
Quali obblighi
Identificare gli obblighi concreti che riguardano una PMI come deployer di sistemi AI.
Quali rischi
Riconoscere i rischi da identificare e classificare in base all'uso reale degli strumenti.
Quali documenti
Predisporre i documenti minimi necessari per dimostrare governance e conformità.
Come innovare
Utilizzare l'AI senza bloccare l'innovazione, in modo utile, sicuro e controllabile.
Il 2 agosto 2026 non è l'unica scadenza
L'AI Act si applica in modo progressivo. Alcune disposizioni sono già in vigore. Conoscere la sequenza delle scadenze è il primo passo per non essere colti impreparati.
2 febbraio 2025
Pratiche AI vietate già applicabili. Obbligo di AI literacy (art. 4) già in vigore.
2 agosto 2025
Disposizioni sui modelli AI per finalità generali, governance europea, prime norme sanzionatorie.
2 agosto 2026
Maggior parte delle disposizioni: sistemi ad alto rischio, obblighi deployer, trasparenza (art. 50).
2 agosto 2027
Disposizioni sui sistemi ad alto rischio incorporati in prodotti regolamentati (Allegato I).
Cosa cambia il 2 agosto 2026
La scadenza del 2 agosto 2026 rappresenta il momento in cui la maggior parte degli obblighi dell'AI Act diventa concretamente applicabile anche per le PMI italiane.
Cosa diventa applicabile
- Obblighi relativi ai sistemi ad alto rischio
- Obblighi dei deployer nei casi previsti
- Obblighi di trasparenza (art. 50)
- Applicazione generale del Regolamento
Cosa rimanda al 2027
Alcune disposizioni relative ai sistemi ad alto rischio incorporati in prodotti regolamentati indicati nell'Allegato I si applicheranno solo dal 2 agosto 2027.
Il principio
Non è una scadenza unica e indistinta: ogni categoria di sistema e di soggetto ha la propria finestra temporale di riferimento.
La PMI è quasi sempre un "Deployer"
Chi utilizza un sistema di AI sotto la propria autorità è normalmente classificato come Deployer. Non bisogna sviluppare un algoritmo per essere coinvolti dall'AI Act.
Esempi tipici di Deployer PMI
- Usa ChatGPT o Copilot per attività professionali
- Utilizza software HR con funzioni AI
- Installa un modello AI locale
- Usa un chatbot sul sito aziendale
- Collega un modello AI ai documenti aziendali
- Utilizza sistemi di visione artificiale
- Interroga una LLM Wiki o un sistema RAG
Quando si diventa Fornitore
L'azienda può diventare anche fornitore quando:
- Sviluppa un proprio sistema AI
- Modifica sostanzialmente un sistema esistente
- Lo commercializza con il proprio nome
- Lo integra in un prodotto destinato a terzi
Il principio fondamentale dell'AI Act
Più cresce il rischio, più aumentano gli obblighi
🚫 Rischio Inaccettabile
Pratiche vietate — divieto assoluto
🔴 Alto Rischio
Obblighi organizzativi, tecnici e documentali rigorosi
🟡 Rischio Limitato
Obblighi specifici di trasparenza
🟢 Rischio Minimo
Utilizzo generalmente libero nel rispetto delle leggi applicabili
Non si classifica lo strumento
Si classifica la finalità, il processo, i dati, le persone coinvolte, l'impatto dell'output e il livello di autonomia.
Esempio concreto
ChatGPT può essere a rischio minimo per correggere una mail, più delicato se analizza contratti, critico se influenza una selezione del personale.
Nessuna AI invisibile
L'azienda deve sapere esattamente quali strumenti AI sono utilizzati, da chi, in quale reparto, per quale finalità, con quali dati e per produrre quali risultati. Ciò che non si vede non può essere governato.
Shadow AI: i rischi nascosti
- Account personali non autorizzati
- Chatbot gratuiti non censiti
- Estensioni browser non controllate
- Modelli locali installati autonomamente
- Documenti aziendali caricati su servizi esterni
- Copie incontrollate della base di conoscenza
Buona pratica essenziale
Creare un Registro degli strumenti e dei casi d'uso AI: il primo atto concreto di governance aziendale.
Il registro è il punto di partenza per qualsiasi valutazione successiva del rischio e per dimostrare la conformità all'AI Act.
Censire strumenti e casi d'uso
Per ogni sistema AI utilizzato in azienda, il registro deve contenere informazioni sufficienti a valutare il rischio e ad attribuire una responsabilità chiara. Un inventario incompleto è quasi inutile quanto l'assenza di un inventario.
🔧 Strumento
Nome, fornitore, versione o modello utilizzato
👥 Utilizzo
Reparto, utenti autorizzati, finalità dichiarata
📊 Dati
Dati inseriti, output generati, persone interessate
🏷️ Governance
Responsabile interno, ambiente, livello di rischio preliminare
Ambienti da distinguere nel registro
Non tutti gli strumenti AI sono uguali. Il registro deve distinguere chiaramente l'ambiente di utilizzo, perché da questo dipendono le regole applicabili ai dati e le misure di sicurezza necessarie.
AI Cloud Consumer
Strumenti pubblici accessibili da browser. Solo per dati non riservati e quando autorizzati dalla policy aziendale.
AI Cloud Enterprise
Servizi approvati con contratto verificato, accessi aziendali e trattamento dei dati governato contrattualmente.
AI Locale sul PC
Modelli installati sul singolo dispositivo. Utile per ridurre il cloud, lavorare offline e proteggere dati sensibili.
Server AI On-premise
Accesso centralizzato per dati riservati, NDA, proprietà intellettuale. Controllo accessi, logging e gestione IT.
LLM Wiki / RAG
Base di conoscenza aziendale strutturata, leggibile da persone e modelli. Richiede governance documentale dedicata.
Cloud e on-premise non sono avversari: devono essere governati in modo coerente.
Scegliere l'ambiente in base ai dati
La scelta dell'ambiente di utilizzo dell'AI non è una questione tecnica: è una scelta di governance. Ogni categoria di dato richiede un ambiente adeguato al suo livello di sensibilità.
☁️ Cloud Consumer
Adatto solo a dati pubblici o non riservati, e solo quando autorizzato dalla policy aziendale.
🏢 Cloud Enterprise
Adatto alla produttività quotidiana quando il servizio è approvato, il contratto verificato, gli accessi aziendali e il trattamento governato.
💻 AI Locale sul PC
Utile per ridurre l'invio di dati al cloud, lavorare offline, sperimentare modelli locali e proteggere informazioni sensibili.
🖥️ Server On-premise
Per dati riservati, documenti NDA, proprietà intellettuale. Garantisce controllo accessi, logging e gestione IT centralizzata.
Classificare i dati prima di usare l'AI
Prima di inserire qualsiasi informazione in un sistema AI, è necessario sapere a quale categoria appartiene il dato. Questa classificazione determina dove può essere caricato, da chi e con quale strumento.
🟢 Verde — Pubblico
- Contenuti già pubblicati
- Dati liberamente divulgabili
- Materiale marketing approvato
Può essere utilizzato in qualsiasi ambiente autorizzato.
🟡 Giallo — Interno
- Procedure interne non critiche
- Bozze e documentazione organizzativa
- Dati aziendali non destinati alla diffusione
Solo ambienti approvati con accessi controllati.
🔴 Rosso — Riservato
- Dati personali, dati HR, dati sanitari
- Documenti NDA, offerte economiche
- Codice sorgente, disegni tecnici, segreti industriali
Solo ambienti on-premise con logging e controllo accessi.
Regola operativa per la classificazione dati
Non basta classificare i dati: per ogni categoria occorre stabilire regole operative chiare e far sì che ogni persona in azienda le conosca e le applichi nella pratica quotidiana.
Identificare gli usi vietati
I divieti dell'AI Act sono già applicabili dal 2 febbraio 2025. Non è necessario aspettare il 2026. Un uso vietato deve essere identificato, sospeso, bloccato e documentato immediatamente.
🚫 Pratiche vietate
- Manipolazione dannosa delle persone
- Sfruttamento delle vulnerabilità
- Forme vietate di social scoring
- Scraping indiscriminato di immagini facciali
- Riconoscimento emozioni nel lavoro/istruzione
- Inferenza di categorie sensibili da dati biometrici
⚠️ Attenzione ai software HR
- Leggono emozioni durante colloqui
- Deducono personalità da volto o voce
- Classificano affidabilità psicologica
- Sorvegliano comportamenti in modo invasivo
✅ Obbligo di legge
- Identificare ogni uso vietato
- Sospendere immediatamente
- Bloccare l'accesso
- Documentare la decisione
Individuare gli usi potenzialmente ad alto rischio
Alcuni usi dell'AI richiedono una valutazione approfondita perché l'output può influenzare in modo significativo decisioni su persone fisiche. La domanda chiave è: l'output dell'AI influenza in modo significativo una decisione su una persona?
👔 Lavoro
Selezione, assunzione, promozione, valutazione performance, monitoraggio lavoratori, cessazione del rapporto
💰 Credito e Assicurazioni
Accesso al credito, valutazione assicurativa, accesso a servizi essenziali
🏥 Sicurezza e Salute
Biometria, dispositivi medici, componenti di sicurezza, infrastrutture critiche
AI literacy: la formazione è già un obbligo
L'articolo 4 dell'AI Act è applicabile dal 2 febbraio 2025. L'azienda deve adottare misure concrete affinché chi utilizza l'AI abbia competenze adeguate rispetto al ruolo, al sistema utilizzato e al rischio connesso.
La formazione deve essere proporzionata a:
- Ruolo ed esperienza del lavoratore
- Sistema AI specificamente utilizzato
- Contesto operativo e rischio connesso
- Persone coinvolte dall'output
Non basta un corso generico su ChatGPT
La formazione minima deve comprendere: capacità e limiti dell'AI, allucinazioni ed errori, verifica degli output, protezione dei dati, bias e discriminazioni, proprietà intellettuale, casi autorizzati e vietati, gestione degli incidenti.
Evidenze da conservare per l'AI literacy
Non è sufficiente erogare la formazione: occorre documentarla in modo che possa essere dimostrata alle autorità competenti in caso di ispezione o incidente. La documentazione della formazione è parte integrante del fascicolo di governance.
Programma formativo
Contenuti, obiettivi, data e durata del corso erogato.
Partecipanti
Elenco nominativo con ruolo e reparto di appartenenza.
Materiali
Dispense, slide, video e risorse utilizzate nella formazione.
Verifica apprendimento
Test, quiz o domande di verifica con risultati documentati.
Attestazione
Verbale, certificato o attestato di partecipazione firmato.
Approvare una policy aziendale
La policy aziendale sull'AI è il documento che traduce le norme in regole operative concrete per ogni persona in azienda. Una policy che nessuno comprende non governa nulla.
✅ Strumenti autorizzati e vietati
🔐 Account e accessi ammessi
📋 Dati ammessi e dati vietati
☁️ Regole per cloud, locale e on-premise
👁️ Obbligo di verifica umana
🖼️ Immagini, audio e video sintetici
🚨 Segnalazione degli incidenti
📝 Responsabilità degli utenti
Caratteristiche di una policy efficace
Una policy aziendale sull'AI è efficace solo se è realmente compresa e applicata da tutti. Non è un documento per i legali: è uno strumento operativo per chi usa l'AI ogni giorno.
Semplice e concreta
Scritta con un linguaggio accessibile a tutti i lavoratori, senza tecnicismi giuridici non necessari.
Conosciuta e approvata
Distribuita a tutti i dipendenti, approvata formalmente dalla direzione aziendale.
Aggiornata periodicamente
Revisionata almeno annualmente o ogni volta che cambiano gli strumenti o la normativa.
Collegata alla formazione
Integrata nel percorso formativo obbligatorio per ogni nuovo utilizzo o strumento approvato.
Supervisione umana reale
Supervisione umana non significa soltanto cliccare su "Approva". L'AI può supportare la decisione. Non trasferisce la responsabilità. La persona deve essere in grado di esercitare un controllo effettivo e consapevole sull'output.
Capire il significato dell'output
Saper interpretare il risultato, non solo riceverlo passivamente dal sistema.
Conoscere i limiti del sistema
Essere consapevole delle allucinazioni, dei bias e dei possibili errori dello strumento utilizzato.
Verificare, correggere e interrompere
Avere la capacità tecnica e l'autorità organizzativa di correggere o ignorare la raccomandazione dell'AI.
Assumersi la responsabilità
La decisione finale è sempre umana. L'output dell'AI non costituisce mai una copertura automatica dalla responsabilità.
Output da verificare sempre
Esistono categorie di output per i quali la supervisione umana non è opzionale ma obbligatoria, indipendentemente dalla qualità apparente del risultato prodotto dall'AI.
📄 Contratti e offerte economiche
👔 Decisioni HR
🔧 Istruzioni tecniche
🛡️ Documentazione di sicurezza
⚖️ Pareri legali
💰 Informazioni finanziarie
📢 Comunicazioni esterne e contenuti pubblici
💻 Codice o configurazioni critiche
Proteggere la conoscenza aziendale
Una LLM Wiki è una base di conoscenza organizzata e leggibile sia dalle persone sia dai modelli linguistici. Una knowledge base non governata può moltiplicare gli errori invece di ridurli.
Cosa deve contenere ogni documento nella LLM Wiki
- Fonte e autore
- Versione, data e stato del documento
- Livello di riservatezza
- Responsabile dell'aggiornamento
- Regole di backup e controllo accessi
Futuro sistema RAG: requisiti aggiuntivi
- Indicizzazione ed embeddings
- Database vettoriale e chunking
- Filtri per utente e reparto
- Citazioni delle fonti nell'output
- Protezione dal leakage informativo
- Test di precisione periodici
Il Fascicolo Essenziale di Governance AI
Il documento minimo da costruire
Non serve iniziare da una certificazione. Serve iniziare da un sistema documentato e proporzionato alla realtà della propria PMI.
Scopo e perimetro
Definire il campo di applicazione della governance AI in azienda.
Ruoli e responsabilità
Chi fa cosa: referente AI, responsabili di reparto, utenti autorizzati.
Registro degli strumenti
Inventario aggiornato di tutti i sistemi AI utilizzati in azienda.
Classificazione del rischio
Valutazione per ogni caso d'uso: minimo, limitato, alto o vietato.
Policy aziendale
Regole operative approvate dalla direzione e distribuite a tutti.
Governance dati, privacy e sicurezza
Classificazione dati, compliance GDPR, misure di sicurezza informatica.
Kit di allegati compilabili
Il Fascicolo Essenziale si completa con un set di allegati operativi, ciascuno dedicato a un aspetto specifico della governance AI. Sono strumenti pratici, non documenti teorici.
📋 Registro sistemi AI
Inventario completo di tutti gli strumenti censiti
📝 Scheda caso d'uso
Dettaglio per ogni utilizzo specifico
⚖️ Scheda classificazione rischio
Valutazione documentata per sistema
💻 Registro modelli locali
Censimento AI installate sui dispositivi
📊 Matrice dati e ambienti
Regole operative per categoria di dato
📚 Scheda LLM Wiki
Governance della base di conoscenza
🎓 Registro formazione
Evidenze dell'AI literacy aziendale
🚨 Registro incidenti e piano adeguamento
Tracciamento eventi e piano di miglioramento
Piano operativo entro il 2 agosto 2026
Quattro fasi per una governance concreta e proporzionata
Il percorso è sequenziale: senza visibilità non è possibile valutare, senza valutazione non è possibile definire regole efficaci, senza regole non è possibile produrre evidenze credibili.
Fase 1 — Visibilità
Il punto di partenza: sapere cosa c'è in azienda
Nominare un referente AI
Individuare una persona responsabile del coordinamento della governance AI in azienda. Non deve essere necessariamente un tecnico.
Censire strumenti e casi d'uso
Avviare la compilazione del registro, coinvolgendo tutti i reparti. Includere anche gli strumenti usati saltuariamente.
Individuare lo Shadow AI
Verificare l'utilizzo di strumenti non autorizzati, account personali, estensioni browser e applicazioni non censite.
Bloccare eventuali usi vietati
Identificare e sospendere immediatamente qualsiasi pratica che rientri nei divieti già applicabili dal 2 febbraio 2025.
Fasi 2 e 3 — Valutazione e Regole
Fase 2 — Valutazione
- Classificare i casi d'uso per livello di rischio
- Identificare quelli critici o ad alto rischio
- Classificare i dati in verde, giallo, rosso
- Verificare la conformità privacy e sicurezza
- Valutare i fornitori e i contratti in essere
Fase 3 — Regole
- Approvare la policy aziendale AI
- Definire ruoli, autorizzazioni e responsabilità
- Stabilire le modalità di supervisione umana
- Predisporre la trasparenza per chatbot e contenuti sintetici (art. 50)
Fase 4 — Evidenze
Documentare tutto ciò che è stato fatto
Le evidenze sono la prova concreta che l'azienda ha adottato un approccio responsabile e proporzionato alla governance dell'AI. Senza documentazione, il lavoro fatto non esiste agli occhi delle autorità.
🎓 Formazione completata
Programma, partecipanti, materiali, verifiche e attestazioni conservate.
📋 Registri aggiornati
Strumenti, modelli locali, fornitori, incidenti: tutto tracciato e aggiornato.
📁 Fascicolo essenziale
Il documento unitario che raccoglie governance, policy, rischio e compliance.
📈 Piano di miglioramento
Un piano approvato che definisce le azioni future e i tempi di adeguamento.
Le 10 azioni da fare subito
Checklist finale per la PMI — Inizia oggi
Nominare un referente AI
Censire strumenti e casi d'uso
Individuare e fermare gli usi vietati
Classificare i casi d'uso per rischio
Classificare dati e informazioni
Definire cloud, locale e on-premise autorizzati
Approvare una policy aziendale
Formare le persone e conservare le evidenze
Definire supervisione, fornitori e incidenti
Creare il Fascicolo Essenziale di Governance AI
Il principio guida iLevel
🏷️ Nessun sistema AI senza proprietario
Ogni strumento deve avere un responsabile interno che ne risponde.
📊 Nessun caso d'uso senza valutazione
Ogni utilizzo deve essere classificato per rischio prima di essere autorizzato.
🔐 Nessun dato senza regola
Ogni categoria di dato deve avere una regola chiara su dove può andare e con quale strumento.
👁️ Nessun output critico senza controllo umano
La responsabilità della decisione finale rimane sempre in capo alla persona, non al sistema.
L'obiettivo non è rallentare l'innovazione. L'obiettivo è trasformare l'AI in uno strumento utile, sicuro, responsabile, controllabile, documentabile e sostenibile nel tempo.
Distinguere: obblighi, buone pratiche e misure volontarie
Non tutto ha lo stesso peso normativo. Saper distinguere tra ciò che è obbligatorio per legge, ciò che è raccomandato e ciò che è facoltativo è fondamentale per allocare correttamente le risorse aziendali.
🔴 Obbligo di legge
Derivante direttamente dall'AI Act (Reg. UE 2024/1689) o dalla normativa italiana di recepimento. La violazione può comportare sanzioni significative. Esempi: divieti già in vigore, AI literacy (art. 4), obblighi dei deployer per sistemi ad alto rischio.
🟠 Buona pratica organizzativa
Raccomandata per una governance efficace e per ridurre il rischio operativo, ma non espressamente richiesta dalla legge. Esempi: registro degli strumenti, classificazione dati, policy aziendale strutturata.
🔵 Misura volontaria
Standard tecnici e sistemi di gestione adottabili su base volontaria per dimostrare maturità. Esempi: certificazione ISO/IEC 42001, adesione a codici di condotta, audit indipendenti.
Fonti e riferimenti principali
La governance AI di una PMI deve basarsi su fonti normative ufficiali e standard tecnici riconosciuti. Distinguere sempre tra obblighi di legge, buone pratiche e misure volontarie.
Normativa
- Reg. UE 2024/1689 — AI Act
- Legge 23 settembre 2025, n. 132 — Normativa italiana AI
- Reg. UE 2016/679 — GDPR
Standard tecnici
- UNI CEI ISO/IEC 42001 — Sistema di gestione AI
- UNI 11621-8:2026 — Competenze AI
Strumenti iLevel
- Fascicolo Essenziale di Governance AI per PMI
- Fascicolo Completo di Governance AI per PMI
Nota metodologica: Distinguere sempre tra: obblighi di legge, buone pratiche organizzative, misure volontarie e standard tecnici. Non hanno lo stesso peso né le stesse conseguenze in caso di inosservanza.
Grazie
Workshop iLevel – AI Act per PMI – Termoli, 18 luglio 2026
L'intelligenza artificiale non deve essere vietata. Deve essere conosciuta, governata e utilizzata responsabilmente.
👤 Riccardo Rossi
Relatore Workshop iLevel
📅 18 luglio 2026
Termoli — Workshop iLevel
📋 AI Act per PMI
Le regole fondamentali iLevel per una governance responsabile
Workshop iLevel – AI Act per PMI – Termoli, 18 luglio 2026
AI Act per PMI