Regole di trasparenza AI operative dal 2 agosto, obblighi high‑risk rinviati

Dal 2 agosto ogni funzione AI usata in azienda va tracciata, a partire da quelle già attive in strumenti di produttività, CRM, recruiting, antifrode, analisi documentale, assistenti di coding e servizi cloud. Gli obblighi di trasparenza dell’articolo 50 entrano in vigore quel giorno. Gli adempimenti per i sistemi ad alto rischio slittano al 2 dicembre 2027, o al 2 agosto 2028 se l’AI è incorporata in prodotti regolamentati¹.

Il rinvio non è una pausa. L’esposizione nasce quando un modello entra in un processo, non alla scadenza. Leggere il differimento come tempo morto porta a trascurare rischi già vivi nei reparti che hanno attivato opzioni AI senza un progetto etichettato “AI”¹.

La trasparenza dell’articolo 50 richiede tracciabilità immediata. Le organizzazioni devono sapere che tipo di AI impiegano, dove la impiegano e con quale scopo. Molte non hanno un inventario affidabile. Continuare a censire l’AI come un normale software, con voci come prodotto, fornitore, licenza e owner, non basta più¹.

Il calendario impone due piste. Per la trasparenza, si interviene subito, perché l’obbligo scatta il 2 agosto. Per l’alto rischio, si pianifica l’adeguamento verso il 2 dicembre 2027, o il 2 agosto 2028 per l’AI incorporata in prodotti regolamentati. In mezzo c’è il lavoro strutturale: inventario dei sistemi effettivamente in uso, mappatura dei processi, comprensione dei flussi decisionali in cui l’AI è già presente¹.

Mini‑checklist operativa:

• Chi fa cosa: IT e sicurezza censiscono strumenti e attivazioni; legale e compliance curano l’allineamento con articolo 50, GDPR e NIS2; i responsabili di funzione dichiarano i casi d’uso abilitati nei propri strumenti¹.
• Cosa inventariare: sistemi in uso nei processi, casi d’uso concreti, dati trattati, decisioni supportate o automatizzate, grado di autonomia del sistema¹.
• Dove intervenire subito: funzioni AI accese in produttività individuale, CRM e piattaforme acquistate come servizio, spesso attivate senza progetto dedicato¹.
• Come scandire il lavoro: fissare scadenze interne coerenti con il 2 agosto per chiudere l’inventario minimo e avviare la mappatura dei processi critici¹.

Prima di chiedersi se un sistema rientra nell’Allegato III, serve un censimento operativo. Bisogna mappare dove il sistema agisce, con quali dati, per quale decisione e con quale autonomia. Senza queste informazioni, la classificazione resta astratta e la gestione del rischio diventa opaca¹.

Le regole non vivono in silo. L’AI Act va coordinato con obblighi su protezione dei dati e sicurezza. GDPR e NIS2 fanno parte della stessa cornice di requisiti da allineare, mentre partono gli obblighi di trasparenza dell’articolo 50¹.

Gli acquisti e le attivazioni continueranno anche dopo il 2 agosto. Un inventario aggiornato nel tempo evita sorprese quando arriveranno le scadenze più pesanti e riduce duplicazioni tra trasparenza, privacy e sicurezza¹.