“Siamo conformi all’AI Act?” è la domanda che riceviamo più spesso da CISO e responsabili compliance, ed è quasi sempre la domanda sbagliata da cui partire. La domanda corretta è: quanti sistemi di intelligenza artificiale usiamo davvero in azienda, e con quale livello di rischio? Un gap analysis serve esattamente a rispondere a questo, prima di parlare di conformità.
Perché partire da qui, e non dalla normativa
Molte aziende affrontano l’AI Act partendo dal testo del regolamento e cercando di applicarlo in astratto. Il rischio è di produrre policy corrette sulla carta ma scollegate da ciò che accade davvero nei processi operativi, dove strumenti di IA vengono spesso adottati dai singoli team senza un processo di approvazione IT, un fenomeno che si sovrappone alla Shadow AI.
Le fasi di un gap analysis AI Act
1. Inventario dei sistemi di IA in uso
Mappare ogni sistema di IA utilizzato, in sviluppo o in fase di acquisizione: strumenti di produttività con IA integrata (come Copilot), chatbot, strumenti di analisi predittiva, soluzioni di recruiting o scoring, agenti automatizzati. L’inventario deve includere anche gli strumenti adottati informalmente dai team, non solo quelli approvati centralmente dall’IT.
2. Classificazione del ruolo aziendale
Per ogni sistema, stabilire se l’azienda agisce come provider, deployer, importatore o distributore, come descritto nel primo articolo di questa serie. La maggior parte delle aziende che integrano soluzioni di terzi (Microsoft, altri vendor) agisce prevalentemente come deployer, con obblighi diversi e generalmente meno onerosi rispetto al provider.
3. Classificazione del rischio per ciascun sistema
Applicare la griglia di classificazione (rischio inaccettabile, alto, limitato, minimo) a ogni sistema mappato, verificando in particolare se qualcuno rientra nelle categorie ad alto rischio elencate nell’Allegato III; con attenzione specifica a HR, credit scoring e servizi essenziali.
4. Mappatura degli obblighi mancanti
Per ogni sistema classificato, verificare cosa manca rispetto agli obblighi previsti per l’alto rischio. Qui conviene distinguere in modo netto tra i due ruoli, perché il regolamento distribuisce gli oneri in modo diverso:
- Se la tua azienda è provider (sviluppa il sistema): documentazione tecnica, sistema di gestione del rischio, registrazione nel database UE, marcatura CE, istruzioni per l’uso al deployer (art. 13).
- Se la tua azienda è deployer (la maggior parte dei casi, quando si integra uno strumento di terzi): formazione del personale (AI literacy, già obbligatoria dal 2025), supervisione umana, conservazione dei log per almeno 6 mesi, verifica che il sistema sia registrato prima dell’uso, informativa a lavoratori e rappresentanti sindacali prima di introdurlo sul posto di lavoro, valutazione d’impatto sui diritti fondamentali dove richiesta (dettagli nell’art.26).
5. Piano di remediation con priorità
Non tutti i gap hanno la stessa urgenza. Un piano realistico distingue tra obblighi già in vigore e già rilevanti oggi (divieti e AI literacy), obblighi di trasparenza applicabili dal 2 agosto 2026, e regole sui sistemi ad alto rischio che, dopo il Digital Omnibus, seguono il calendario del 2 dicembre 2027 per i sistemi dell’Allegato III e del 2 agosto 2028 per quelli integrati in prodotti regolati. Sul piano formale resta da completare la pubblicazione in Gazzetta Ufficiale UE.
Un gap analysis non è un documento, è un punto di partenza
Il valore di questo esercizio non è produrre un report da archiviare, ma costruire una base condivisa tra IT, legal, HR e management su cui pianificare gli interventi nei mesi successivi, con priorità chiare invece di un’unica scadenza percepita come lontana e quindi rimandabile. È anche il modo più diretto per capire in anticipo l’esposizione reale a sanzioni.
Un’azienda che sa dove si trova può scegliere le priorità. Una che non lo sa, le subisce.
Le risposte che cerchi: FAQ su gap analysis AI Act
Dipende dal numero di sistemi di IA in uso, ma un primo inventario e una classificazione di base si possono completare in poche settimane; un piano di remediation dettagliato richiede in genere più tempo.
Serve un consulente esterno per fare il gap analysis?
Non è obbligatorio, ma è utile quando mancano competenze interne che uniscano lettura tecnica dei sistemi e lettura normativa del regolamento: è il tipo di presidio condiviso su cui lavoriamo con i nostri clienti.
Da dove si comincia un gap analysis AI Act?
Dall’inventario di tutti i sistemi di IA in uso, inclusi quelli adottati informalmente dai team senza approvazione IT, non dalla lettura del testo normativo.
Con che frequenza va aggiornato il gap analysis?
Va rivisto ogni volta che l’azienda adotta un nuovo sistema di IA o cambia l’uso di uno esistente, oltre che periodicamente per tenere conto dell’evoluzione della normativa.
