Il Regolamento UE sulla IA non aspetta più. Entro agosto 2026, ogni sistema AI ad alto rischio deve essere conforme: ecco cosa fare subito.

La domanda che ogni responsabile IT pone è sempre la stessa: da dove comincio? La risposta è metodica, non richiede di fermare la produzione, e si divide in tre fasi da 30 giorni ciascuna.

Fase 1, mese 1: inventario completo. Non è una ricerca archeologica nei server. È molto più pratico: lista tutti i sistemi che usano dati per prendere decisioni o che influiscono su persone fisiche.

Includi il software interno, i servizi in abbonamento di terze parti, i modelli di machine learning sviluppati internamente, persino le automazioni RPA (i robot software che eseguono attività ripetitive) che funzionano da anni senza essere state etichettate come IA. Per ogni sistema, raccogli: nome, fornitore, funzione principale, tipo di dati in input, chi fa la decisione finale (macchina o umano?).

Poi classifica ogni sistema su una scala di rischio a tre livelli. Basso rischio: sistemi che supportano solo analisi interne senza impatto diretto su persone (ad esempio, previsioni di meteo per pianificazione logistica).

Rischio medio: sistemi che influiscono su processi ma con supervisione umana forte (ad esempio, algoritmo di scoring che il recruiter può sempre ignorare). Alto rischio: sistemi che prendono decisioni finali su persone fisiche in aree sensibili (accesso al lavoro, credito, servizi essenziali, infrastrutture).

Accanto a questo, fai un'analisi degli scostamenti (gap analysis): per ogni sistema, confronta le sue caratteristiche attuali con i requisiti dell'EU AI Act (l'Allegato III ti dà la lista esatta). Scrivi in una tabella semplice cosa manca. Questo lavoro, fatto bene, ti porta già a capire la dimensione del problema.

Fase 2, mese 2: documentazione e governance. Qui il lavoro diventa più solido, perché crei i documenti che i regolatori vorranno vedere. Per ogni sistema ad alto rischio, prepara: (1) architettura del sistema, con un diagramma che spiega come i dati fluiscono, dove vengono archiviati, come il modello prende decisioni; (2) dataset di training, con descrizione dei dati storici usati per insegnare al modello, il loro volume, la loro provenienza, eventuali bias noti; (3) metriche di performance, cioè come misuri se il sistema funziona bene (accuratezza, tasso di errore, equità di trattamento tra i diversi gruppi demografici); (4) risultati dei test sui bias, che dimostrano che il modello non discrimina per genere, età, nazionalità o altre caratteristiche protette; (5) procedura di supervisione umana, che documenta come i tuoi operatori controllano le decisioni del sistema e possono intervenire.

Contemporaneamente, crea un registro interno di tutti i sistemi AI e aggiornalo ogni trimestre. Nomina un responsabile AI governance interno, che potrebbe essere il CTO, il responsabile IT o una nuova figura dedicata: questa persona farà da punto di contatto con regolatori, coordinerà i test, terrà traccia degli aggiornamenti.

Se la tua PMI non ha le competenze interne, questo è il momento per contattare partner specializzati in EU AI Act compliance: Italy Soft, ad esempio, offre servizi di gap analysis e documentazione che accelerano questo processo senza richiedere di assumere nuovo personale full-time.

Fase 3, mese 3: test, formazione e prova generale. Questo è il momento per assicurare che tutto funzioni nella pratica, non solo sulla carta. Fai test completi dei tuoi sistemi ad alto rischio, dall'inizio alla fine del processo, cercando i casi limite e le situazioni che potrebbero portare a decisioni sbagliate o discriminatorie.

Documenta i risultati. Forma il personale che interagisce con questi sistemi: insegna a riconoscere quando il sistema suggerisce qualcosa che non ha senso, come far salire il problema al livello giusto, come registrare gli incidenti.

Prepara procedure scritte di gestione degli incidenti: cosa fai se il sistema produce un risultato che discrimina un candidato, o che raccomanda un'azione pericolosa per un'infrastruttura critica? Chi chiami?

Quanto tempo hai per intervenire? Infine, simula un'ispezione di regolatore. Chiedi a qualcuno dall'esterno di verificare se la documentazione è completa, se i test sono credibili, se i tuoi operatori sanno rispondere alle domande.

Quest'ultimo passaggio, che suona formale, è in realtà il più utile perché ti aiuta a trovare i buchi prima che li trovi l'autorità. Tre mesi sono un orizzonte realistico se muovi le persone giuste all'interno dell'azienda e se il management dà priorità al progetto. Se aspetti agosto 2026 per cominciare, 90 giorni diventano 15 e tutto diventa caos.