Regolamento (UE) 2024/1689
AI Act nella Pubblica Amministrazione: dall'inventario dei sistemi di IA agli obblighi
L'AI Act non riguarda solo chi sviluppa intelligenza artificiale: anche il Comune che la usa ha obblighi, e alcuni valgono già. Si parte dall'inventario dei sistemi, si classifica ciascuno, e dalla classificazione discendono gli obblighi. AuditManagement deriva il registro degli adempimenti dai sistemi che l'ente ha davvero.
- 132
- adempimenti verificabili
- art. 4 · art. 5
- alfabetizzazione e divieti, già applicabili
- art. 27
- FRIA del soggetto pubblico
- €0
- per le Pubbliche Amministrazioni
«Non abbiamo sistemi ad alto rischio» non basta
L'alfabetizzazione del personale (art. 4) e il divieto delle pratiche dell'art. 5 si applicano dal 2 febbraio 2025 a chiunque usi l'IA, senza soglie. Gli obblighi di trasparenza (art. 50) valgono a prescindere dall'alto rischio. E l'IA generativa usata dal personale è un sistema dell'ente: va censita.
Ruolo e classe decidono gli obblighi
Lo stesso Comune è utilizzatore (deployer) del gestionale che usa l'IA e può diventare fornitore del chatbot fatto sviluppare con il proprio nome. Per ogni sistema si determina il ruolo e la classe di rischio, con un atto motivato e datato. La deroga dell'art. 6, par. 3, per i sistemi dell'Allegato III non opera se il sistema effettua profilazione di persone fisiche.
Gli obblighi del deployer pubblico ad alto rischio
- valutazione d'impatto sui diritti fondamentali (FRIA, art. 27) prima dell'uso, notificata all'autorità;
- registrazione nella banca dati UE (art. 49);
- sorveglianza umana effettiva, con persone competenti e il tempo per esercitarla (art. 14 e 26);
- conservazione dei log per almeno sei mesi e informazione dei lavoratori e degli interessati;
- segnalazione degli incidenti gravi nei termini dell'art. 73.
Gli obblighi per i sistemi ad alto rischio seguono il calendario dell'art. 113: verificate la data vigente, perché a livello europeo sono state proposte modifiche. Per i sistemi destinati alle autorità pubbliche già in servizio, l'adeguamento è comunque dovuto entro il 2 agosto 2030 (art. 111).
AI Act, ISO/IEC 42001 e Legge 132/2025
La certificazione EN ISO/IEC 42001 organizza la gestione dell'IA ma non dà presunzione di conformità all'AI Act. In Italia si aggiunge la Legge 132/2025. AuditManagement gestisce il regolamento, il sistema di gestione ISO/IEC 42001 e il metodo di valutazione del rischio ISO/IEC 23894 su un inventario unico dei sistemi di IA.
Come lo gestisce AuditManagement
Nel menu dell'applicazione le sezioni dedicate hanno 27 funzioni. Ecco che cosa fa ciascuna, con le stesse voci che si trovano nell'app.
AI Act · Reg. (UE) 2024/1689Ambito e classificazione
- Cruscotto AI ActcruscottoAmbito, classi di rischio, scadenze del Regolamento e stato degli adempimenti
- Ambito & GovernanceA quale titolo il Regolamento vincola l'ente, ruoli assunti, referente e rapporti con ACN e AgID
- Pratiche Vietate (art. 5)Lo screening documentato delle otto pratiche vietate: il divieto si dimostra provando di aver guardato
- Classificazione dei SistemiL'atto motivato che stabilisce ruolo e classe di rischio di ciascun sistema (artt. 6, 25 e Allegato III)
- Struttura del Regolamento13 Capi, 113 articoli, Allegato III, deroga dell'art. 6(3), sanzioni e le insidie da non sbagliare
AI Act · Reg. (UE) 2024/1689Obblighi e presidi
- Gap Analysis AdempimentiIl registro degli adempimenti, con il denominatore DERIVATO dai sistemi censiti
- Obblighi per SistemaChe cosa deve questo sistema, in ragione della sua classe di rischio e del ruolo dell'ente
- Sorveglianza UmanaChi sorveglia, con quali competenze e con quanto tempo: le cinque capacità dell'art. 14
- Registrazione Banca Dati UEArt. 49: l'obbligo proprio dell'utilizzatore pubblico, e il divieto d'uso senza registrazione
AI Act · Reg. (UE) 2024/1689Formazione, incidenti e raccordi
- Alfabetizzazione IA (art. 4)In vigore dal 2 febbraio 2025 e senza soglie: vale per chiunque usi l'IA
- Incidenti Gravi (art. 73)I tre termini — 15, 10 e 2 giorni — che decorrono dalla conoscenza del fatto
- CorrispondenzeDove ogni obbligo è già presidiato: ISO 42001, 23894, 27001, 9001, GDPR, ISO 31000 e gli altri
EN ISO/IEC 42001:2026Sistema di Gestione
- Cruscotto AIMScruscottoQuadro d'insieme del sistema di gestione per l'IA
- Sistema di GestioneContesto, campo di applicazione, politica e ruoli (cl. 4-5, 7)
- Gap Analysis RequisitiI 70 requisiti verificabili: clausole 4-10 e Annex A
- Dichiarazione di ApplicabilitàI 38 controlli dell'Annex A con la motivazione di ogni scelta (6.1.3)
- Struttura della NormaClausole, 9 obiettivi di controllo e le insidie da non sbagliare
EN ISO/IEC 42001:2026Sistemi di IA e Impatti
- Inventario dei Sistemi di IAIl registro dell'IA dell'ente: ruolo, classe di rischio AI Act, dati e ciclo di vita
- Valutazioni d'ImpattoConseguenze su individui, gruppi e società (6.1.4 / 8.4 / A.5)
- Rischi dell'IARischi per l'ente E per le persone, con ponte al Registro Rischi (6.1.2)
EN ISO/IEC 42001:2026Governo e Terze Parti
- Obiettivi per l'IAObiettivi misurabili con milestone e responsabili (6.2)
- Fornitori di IARipartizione delle responsabilità e documentazione tecnica (A.10)
- CorrispondenzeCome l'AIMS si raccorda ad AI Act, GDPR, L. 132/2025 e agli altri standard
EN ISO/IEC 42001:2026Verifica e Miglioramento
- Monitoraggio & IndicatoriIndicatori di prestazione e deriva dei modelli (9.1)
- Audit dell'AIMSProgramma, audit e rilievi (9.2)
- Riesame di DirezioneRiesame con i dieci elementi in ingresso e le decisioni (9.3)
- Non Conformità & AzioniCause, azioni correttive e verifica di efficacia (10.2)
Tutte le funzioni sono incluse e gratuite per le Pubbliche Amministrazioni. Vedi l'elenco completo delle funzionalità.
Domande frequenti
Usiamo un assistente di scrittura basato su IA: è un sistema da censire?
Sì. Va inserito nell'inventario, con il ruolo dell'ente e la classe di rischio; quasi sempre non è ad alto rischio, ma alfabetizzazione e trasparenza valgono comunque.
La DPIA sostituisce la FRIA?
No. Sono valutazioni distinte con oggetti diversi; possono alimentarsi a vicenda, ma vanno fatte entrambe quando richieste.