Quello che vediamo facendo audit.
Note tecniche, casi reali e letture sull'EU AI Act — scritte da chi fa gli audit, non da chi li racconta.
2 dicembre 2026: marcatura dei contenuti IA e nuovi divieti, cosa cambia per chi ha costruito su un LLM
Il 2 dicembre 2026 finisce il periodo transitorio per la marcatura dell'art. 50(2) AI Act e si applicano due nuovi divieti. Chi ha messo un chatbot o un generatore su un modello altrui è spesso il fornitore: ecco come capirlo e cosa fare.
· 6 min di letturaLeggi l’articolo- · 5 min
D.Lgs. 179/2026 sull'IA: autorità, sanzioni e regole sul lavoro in vigore dal 23 ottobre
Il secondo decreto attuativo della Legge 132/2025 dice chi vigila sull'AI Act in Italia, come si calcolano le multe per le PMI e cosa cambia per chi usa l'IA nelle decisioni sul personale.
- · 5 min
Presenze con impronta digitale o riconoscimento facciale: perché il Garante continua a sanzionare (e cosa dice l'AI Act)
Usare impronta o volto per timbrare il cartellino è, oggi in Italia, un trattamento che il Garante considera illecito: il consenso non basta e il badge basta. Cosa dicono GDPR, Statuto dei lavoratori e AI Act, e cosa fare se il sistema è già installato.
- · 6 min
Software e IA difettosi: cosa cambia dal 9 dicembre 2026 con la nuova direttiva sulla responsabilità da prodotto
Con la direttiva (UE) 2024/2853 il software, IA compresa, diventa un «prodotto»: chi lo sviluppa o lo modifica risponde senza colpa dei danni causati da un difetto, anche dopo un aggiornamento. Chi risponde, per quali danni e cosa fare prima del 9 dicembre 2026.
- · 5 min
Cyber Resilience Act e IA: cosa deve fare da subito chi sviluppa software con intelligenza artificiale
Dall'11 settembre 2026 chi vende software o dispositivi con IA nell'UE deve segnalare entro 24 ore le vulnerabilità sfruttate attivamente. Ecco come il Cyber Resilience Act si incastra con l'AI Act, chi è dentro e chi no, e le cinque cose da mettere in piedi adesso.
- · 5 min
Contenuti creati con l'IA: di chi sono e come non violare il diritto d'autore
Testi, immagini e codice prodotti con l'IA sono tutelati solo se c'è un vero contributo creativo umano. Cosa dice la Legge 132/2025, quali rischi corre chi pubblica un output che copia e come proteggere i propri contenuti dall'addestramento.
- · 5 min
Agenti IA in azienda: quali regole valgono già (AI Act e GDPR)
L'AI Act non ha una categoria «agenti», ma gli agenti IA non sono fuori dalle regole. Ecco come inquadrarli, cosa impone la trasparenza dal 2 agosto 2026 e quali controlli GDPR e operativi servono prima di dar loro accesso a email, gestionale e pagamenti.
- · 7 min
Dati personali in ChatGPT e Copilot: i sette controlli GDPR prima di usarli in azienda
«Possiamo mettere i dati dei clienti in ChatGPT?» Sì, ma solo se il trattamento regge al GDPR: piano aziendale con contratto ex art. 28, niente addestramento sui vostri dati, base giuridica, trasferimenti, informativa, DPIA. I sette controlli, con la lezione dei casi OpenAI, DeepSeek e Replika.
- · 5 min
Diritto alla spiegazione delle decisioni prese con l'IA: art. 86 AI Act e art. 22 GDPR
Un cliente rifiutato da un sistema di scoring chiede perché. Cosa devi rispondere, entro quando e con quale livello di dettaglio: GDPR oggi, AI Act per i sistemi ad alto rischio, e la sentenza Dun & Bradstreet della Corte di giustizia.
- · 7 min
Responsabilità civile e penale per l'IA: cosa cambia per le imprese dal 30 settembre 2026 (D.Lgs. 160/2026)
Il D.Lgs. 160/2026 attua la legge italiana sull'IA: dal 30 settembre 2026 arrivano il reato di omessa sicurezza nei sistemi ad alto rischio (art. 437-bis c.p.), la responsabilità 231 dell'ente, l'accesso alle prove e la presunzione del nesso di causalità. Cosa devono fare le imprese.
- · 7 min
Comprare AI: la due diligence sul fornitore prima di firmare
«Il nostro software è conforme all'AI Act» è una dichiarazione, non una prova. Ecco i documenti da pretendere, le clausole che ti trasformano in fornitore e le domande da fare prima di firmare.
- · 5 min
Fine-tuning e chatbot su un LLM: quando la tua azienda diventa «fornitore» per l'AI Act
Addestrare un modello sui propri dati o costruire un assistente su un LLM via API non ti rende automaticamente fornitore di un modello GPAI. Ma quasi sempre ti rende fornitore di un sistema di IA. Ecco i tre livelli da distinguere.
- · 6 min
Quando l'IA sbaglia: chi segnala l'incidente, a chi ed entro quando
Un sistema di IA causa un danno: scatta un obbligo di segnalazione? L'art. 73 dell'AI Act fissa termini di 15, 10 e 2 giorni — e il cronometro parte da quando lo scopri tu, non da quando lo scopre il fornitore. Ecco la mappa delle notifiche e il piano di risposta minimo.
- · 5 min
ISO/IEC 42001 per le PMI: cosa certifica davvero e cosa non sostituisce dell'AI Act
«Se ci certifichiamo ISO 42001 siamo a posto con l'AI Act?» No: nessuna presunzione di conformità. Ma è il metodo più maturo per organizzare la governance dell'AI. Ecco quando conviene e quando basta usarla senza certificarsi.
- · 6 min
Legge 132/2025 sull'intelligenza artificiale: cosa impone davvero alle imprese, a un anno dall'entrata in vigore
La legge italiana sull'IA non aggiunge obblighi all'AI Act, ma cambia molto per chi usa l'IA con dipendenti, clienti, minori e contenuti: informativa ai lavoratori, trasparenza dei professionisti, diritto d'autore, nuovi reati. Cosa vale già oggi e cosa arriva con i decreti.
- · 6 min
Log dei sistemi di IA: cosa conservare, per quanto e perché contano in caso di contestazione
Sei mesi minimi di log per i sistemi ad alto rischio (artt. 12, 19 e 26 AI Act), ma dal 30 settembre 2026 il giudice italiano può già ordinare l'esibizione dei registri in una causa per danni. Cosa registrare, quanto tenerlo e come non violare il GDPR nel farlo.
- · 5 min
Marcatura CE per l'IA ad alto rischio: valutazione di conformità, dichiarazione UE e registrazione
Chi sviluppa un sistema di IA ad alto rischio dovrà, entro il 2 dicembre 2027, superare una valutazione di conformità, firmare la dichiarazione UE, apporre la marcatura CE e registrarsi nella banca dati UE. Ecco il percorso, passo per passo.
- · 6 min
Sorveglianza umana dell'IA: cosa richiede la legge e come organizzarla davvero
«C'è sempre una persona che approva» non basta: a Uber è costato 825 milioni. Cosa chiedono davvero GDPR (art. 22), AI Act (artt. 14 e 26) e Legge 132/2025, e come organizzare una sorveglianza umana che regga a un'ispezione.
- · 7 min
Whistleblowing e AI Act: dal 2 agosto 2026 chi segnala una violazione sull'IA è protetto
L'art. 87 dell'AI Act ha esteso la direttiva whistleblowing alle violazioni sull'intelligenza artificiale. Chi è protetto, dove si segnala (canale interno, ANAC, AI Office) e cosa deve aggiornare un'azienda italiana nella propria procedura.
- · 5 min
Policy aziendale sull'uso dell'IA: come scriverla (guida per le PMI)
Se in azienda qualcuno usa ChatGPT o Copilot, ti serve una policy scritta. Ecco cosa deve contenere, chi la governa e come renderla conforme ad AI Act, GDPR e alle Linee guida del Ministero del Lavoro (DM 180/2025).
- · 4 min
Digital Omnibus: cosa cambia (e cosa no) nelle scadenze dell'AI Act
Il Digital Omnibus ha rinviato solo gli obblighi sui sistemi ad alto rischio. Divieti, alfabetizzazione, GPAI e trasparenza restano: ecco cosa deve fare una PMI ora.
- · 5 min
Pratiche di AI vietate (art. 5 AI Act): gli 8 usi proibiti in azienda
L'art. 5 dell'AI Act vieta otto usi dell'intelligenza artificiale — dal social scoring al riconoscimento delle emozioni sul lavoro. Non c'è percorso di conformità: sono illeciti dal 2 febbraio 2025.
- · 6 min
AI nella selezione del personale: è ad alto rischio, ma gli obblighi italiani valgono già oggi
Un ATS che filtra i CV ricade nell'Allegato III dell'AI Act. Gli obblighi europei slittano al 2 dicembre 2027, ma decreto trasparenza, Statuto dei lavoratori, GDPR e legge 132/2025 si applicano adesso.
- · 5 min
AI Act dal 2 agosto 2026: sanzioni, vigilanza e le nuove scadenze dopo il rinvio
Il Digital Omnibus (Regolamento UE 2026/1744) ha rinviato gli obblighi sull'alto rischio, ma il 2 agosto 2026 scattano trasparenza, vigilanza e sanzioni. Ecco il nuovo calendario e chi controlla in Italia.
- · 6 min
Contenuti generati dall'IA: gli obblighi di trasparenza dell'art. 50 scattano il 2 agosto 2026
Il Digital Omnibus ha rinviato gli obblighi sull'alto rischio, ma non l'articolo 50: dal 2 agosto 2026 chatbot, contenuti sintetici e deepfake vanno dichiarati e marcati. Cosa fare, e chi deve farlo.
- · 5 min
Inventario e classificazione del rischio dei sistemi AI: guida pratica
Il primo passo concreto verso la conformità all'AI Act è sapere quali sistemi AI usi e a che livello di rischio. Ecco come costruire il registro e classificarli.
- · 5 min
AI Act e GDPR: come integrare DPIA e FRIA senza doppioni
Molti sistemi AI ad alto rischio trattano dati personali: DPIA (GDPR) e FRIA (AI Act) si sovrappongono. Ecco come coordinarle in un unico esercizio.
- · 5 min
Alfabetizzazione AI (Art. 4 EU AI Act): come costruire un programma conforme
L'alfabetizzazione AI è un obbligo dell'EU AI Act in vigore dal 2 febbraio 2025. Ecco cosa richiede davvero l'Art. 4 e come costruire un programma di formazione conforme e proporzionato.
- · 3 min
Fornitore o deployer? Chi è responsabile di cosa sotto l'EU AI Act
Sotto l'EU AI Act gli obblighi dipendono dal ruolo: fornitore o deployer. Ecco chi fa cosa, e quando un'azienda che usa l'AI diventa fornitore.
- · 1 min
EU AI Act 2026: cosa devono fare le PMI italiane prima delle ispezioni
Dal 2 agosto 2026 partono le ispezioni sui sistemi AI ad alto rischio. Ecco la checklist minima di conformità per una PMI italiana.