Controllo AI Act: cosa devi avere pronto da mostrare (il fascicolo)

In un controllo AI Act non ti chiedono un'opinione: ti chiedono documenti. Le quattro cose da poter esibire sono il registro dei sistemi AI, il registro della formazione, l'attestato di chi si è formato e la policy interna sull'uso dell'AI.

Se ce le hai, il controllo dura poco. Se non ce le hai, la tua "buona fede" non si può dimostrare, e questo è il vero problema. Vediamole una per una, in modo che tu sappia esattamente cosa preparare.

1. Il registro dei sistemi AI

È l'elenco degli strumenti di AI che usi nel lavoro: ChatGPT, Copilot, un generatore di immagini, un trascrittore di riunioni, il chatbot sul sito. Per ciascuno, a cosa serve e chi lo usa.

Non è un PDF compilato una volta e dimenticato. Gli strumenti cambiano ogni mese: il registro serve proprio a fotografare cosa gira in azienda oggi. Se ti chiedono "quali sistemi di AI usate?", questa è la risposta scritta. Come si tiene vivo lo spiego nella pagina sul registro dei sistemi AI.

2. Il registro della formazione

È la prova che chi usa l'AI è stato formato. Chi ha fatto cosa, quando, su quali contenuti. È il modo in cui l'articolo 4 (l'alfabetizzazione) smette di essere una parola e diventa un fatto verificabile.

Per un freelance è semplice: sei tu. Per uno studio o una piccola azienda, è l'elenco delle persone formate, con le date.

3. L'attestato

È il certificato nominale che chiude il cerchio della formazione. Dice che quella persona ha seguito il percorso e superato una verifica. Vale come evidenza documentale, non come "bollino" rilasciato da un ente pubblico: per questo adempimento un ente certificatore pubblico non esiste.

Diffida di chi promette un "attestato ufficiale riconosciuto dallo Stato": non è così che funziona. Quello che conta è che sia nominale, verificabile e conservato.

4. La policy interna sull'uso dell'AI

È il regolamento che dice come si usa l'AI da te: quali dati non si caricano mai, chi controlla gli output, cosa è vietato. Anche se lavori da solo, metterlo per iscritto ti protegge e dimostra che hai pensato ai rischi. La pagina sulla policy spiega cosa deve contenere.

Non è solo l'autorità a chiedertelo

Ecco la parte che pochi dicono. Il primo a chiederti queste evidenze spesso non è un ispettore: è un cliente.

I reparti acquisti delle aziende più strutturate hanno cominciato a inserire domande sull'AI nei questionari di fornitura e negli onboarding. "Come usate l'AI? Che garanzie date sui nostri dati? Avete formato le persone?". Se lavori in B2B, il fascicolo diventa un requisito commerciale prima ancora che legale.

Chi ce l'ha pronto vince la gara. Chi deve "prepararlo nei prossimi giorni" la perde.

Quanto pesa avere (o non avere) il fascicolo

L'articolo 4 non ha una multa dedicata, quindi nessuno ti sanziona solo perché manca l'attestato. Ma quando si valuta una sanzione per un'altra violazione, le misure organizzative che avevi in campo entrano nel conto. Il fascicolo pronto è esattamente la prova che riduce l'esposizione.

Per chi parte da zero, l'ordine giusto è: prima capisci se e perché l'AI Act ti riguarda, poi costruisci i quattro documenti. Non serve un mese: serve farli davvero.

Domande frequenti

Cosa mi chiedono, concretamente, in un controllo AI Act? Documenti che dimostrino come usi l'AI: il registro dei sistemi, la prova della formazione con attestato e la policy interna. Non una relazione teorica, ma evidenze scritte.

Serve un attestato "ufficiale" rilasciato dallo Stato? No. Per l'obbligo di alfabetizzazione non esiste un ente certificatore pubblico. Conta che l'attestato sia nominale, legato a una verifica dell'apprendimento e conservato come evidenza.

Un cliente può chiedermi come uso l'AI? Sì, e i primi lo fanno già in fase di fornitura o onboarding. Avere il fascicolo pronto diventa un vantaggio commerciale, non solo un adempimento.

Se lavoro da solo devo comunque avere una policy scritta? Sì, ed è più semplice di quanto sembri. Anche una pagina che dice quali dati non carichi e come controlli gli output vale come evidenza che hai gestito i rischi.