In un controllo AI Act non ti chiedono un'opinione: ti chiedono documenti. Le quattro cose da poter esibire sono il registro dei sistemi AI, il registro della formazione, l'attestato di chi si è formato e la policy interna sull'uso dell'AI.
Se ce le hai, il controllo dura poco. Se non ce le hai, la tua "buona fede" non si può dimostrare, e questo è il vero problema. Vediamole una per una, in modo che tu sappia esattamente cosa preparare.
1. Il registro dei sistemi AI
È l'elenco degli strumenti di AI che usi nel lavoro: ChatGPT, Copilot, un generatore di immagini, un trascrittore di riunioni, il chatbot sul sito. Per ciascuno, a cosa serve e chi lo usa.
Non è un PDF compilato una volta e dimenticato. Gli strumenti cambiano ogni mese: il registro serve proprio a fotografare cosa gira in azienda oggi. Se ti chiedono "quali sistemi di AI usate?", questa è la risposta scritta. Come si tiene vivo lo spiego nella pagina sul registro dei sistemi AI.
2. Il registro della formazione
È la prova che chi usa l'AI è stato formato. Chi ha fatto cosa, quando, su quali contenuti. È il modo in cui l'articolo 4 (l'alfabetizzazione) smette di essere una parola e diventa un fatto verificabile.
Per un freelance è semplice: sei tu. Per uno studio o una piccola azienda, è l'elenco delle persone formate, con le date.
Chi deve comparire nell'elenco non è tutto l'organico: sono le persone che usano sistemi di AI, compresi i collaboratori esterni che li usano per tuo conto. Le categorie sono spiegate in a chi si applica l'articolo 4, e le colonne che rendono il registro solido in quante ore di formazione servono per l'AI Act.
3. L'attestato
È il certificato nominale che chiude il cerchio della formazione. Dice che quella persona ha seguito il percorso e superato una verifica. Vale come evidenza documentale, non come "bollino" rilasciato da un ente pubblico: per questo adempimento un ente certificatore pubblico non esiste.
Diffida di chi promette un "attestato ufficiale riconosciuto dallo Stato": non è così che funziona. Quello che conta è che sia nominale, verificabile e conservato.
4. La policy interna sull'uso dell'AI
È il regolamento che dice come si usa l'AI da te: quali dati non si caricano mai, chi controlla gli output, cosa è vietato. Anche se lavori da solo, metterlo per iscritto ti protegge e dimostra che hai pensato ai rischi. La pagina sulla policy spiega cosa deve contenere.
Non è solo l'autorità a chiedertelo
Ecco la parte che pochi dicono. Il primo a chiederti queste evidenze spesso non è un ispettore: è un cliente.
I reparti acquisti delle aziende più strutturate hanno cominciato a inserire domande sull'AI nei questionari di fornitura e negli onboarding. "Come usate l'AI? Che garanzie date sui nostri dati? Avete formato le persone?". Se lavori in B2B, il fascicolo diventa un requisito commerciale prima ancora che legale.
Chi ce l'ha pronto vince la gara. Chi deve "prepararlo nei prossimi giorni" la perde.
Quanto pesa avere (o non avere) il fascicolo
L'articolo 4 non ha una multa dedicata, quindi nessuno ti sanziona solo perché manca l'attestato. Ma quando si valuta una sanzione per un'altra violazione, le misure organizzative che avevi in campo entrano nel conto. Il fascicolo pronto è esattamente la prova che riduce l'esposizione. I tetti delle sanzioni, e perché per le PMI sono più bassi, sono in quanto rischia davvero una PMI o un freelance.
Per chi parte da zero, l'ordine giusto è: prima capisci se e perché l'AI Act ti riguarda, poi costruisci i quattro documenti. Non serve un mese: serve farli davvero.
Domande frequenti
Le domande che tornano
- Cosa mi chiedono, concretamente, in un controllo AI Act?
- Documenti che dimostrino come usi l'AI: il registro dei sistemi AI, la prova della formazione con attestato nominale e la policy interna sull'uso dell'AI. Non una relazione teorica, ma evidenze scritte ed esibibili.
- Serve un attestato AI Act ufficiale rilasciato dallo Stato?
- No. Per l'obbligo di alfabetizzazione dell'articolo 4 non esiste un ente certificatore pubblico. Conta che l'attestato sia nominale, legato a una verifica dell'apprendimento e conservato come evidenza documentale.
- Un cliente può chiedermi come uso l'AI?
- Sì. I reparti acquisti delle aziende più strutturate inseriscono già domande sull'uso dell'AI nei questionari di fornitura e negli onboarding. Avere il fascicolo pronto diventa un requisito commerciale oltre che legale.
- Se lavoro da solo devo comunque avere una policy scritta sull'uso dell'AI?
- Sì. Anche una policy sintetica che indichi quali dati non vanno mai caricati e come si controllano gli output vale come evidenza di aver gestito i rischi, e si prepara in poco tempo.
