# Registro dei sistemi AI — modello gratuito **Versione 1.0 · 27 luglio 2026 · a cura di Giovanni Liguori (giovanniliguori.it)** Questo è il modello base del registro dei sistemi AI: l'inventario dei sistemi di intelligenza artificiale che usi, con finalità, livello di rischio, base giuridica e responsabile interno. È il primo file da compilare quando affronti l'AI Act, perché senza sapere quali sistemi usi non puoi classificarne il rischio né documentare la trasparenza verso clienti e autorità. Il file compilabile è il CSV: **https://giovanniliguori.it/assets/registro-sistemi-ai-template.csv** Uso libero, anche commerciale, dentro la tua azienda. Non è consulenza legale: è un modello operativo da adattare al tuo caso. --- ## Come si usa in cinque minuti 1) Scarica `registro-sistemi-ai-template.csv` e aprilo con Excel, Google Sheets o Numbers. 2) Cancella le due righe di esempio (Claude Sonnet e Otter.ai) e mettici i tuoi sistemi, uno per riga. 3) Elenca tutto quello che usi davvero: gli assistenti conversazionali, i trascrittori di riunioni, i generatori di immagini, i CRM con funzioni predittive, i plugin AI dentro software che già avevi. 4) Compila almeno le colonne obbligatorie (le trovi nella tabella qui sotto). 5) Salva il file dove lo ritrovi, e mettilo in calendario per la revisione. **Note tecniche sul CSV.** Il separatore è il punto e virgola (`;`), l'encoding è UTF-8 con BOM: così Excel in italiano lo apre correttamente al doppio clic, accenti compresi. Le date sono in formato `AAAA-MM-GG`. Se il tuo foglio di calcolo mette tutto in una colonna sola, usa `Dati > Testo in colonne` e scegli il punto e virgola come separatore. --- ## Le dodici colonne | # | Colonna | Obbligatoria | Valori ammessi | Perché c'è | |---|---------|--------------|----------------|------------| | 1 | ID sistema | sì | numero progressivo | Ti serve per citare una riga in altri documenti (DPIA, nota di trasparenza, policy interna) | | 2 | Nome sistema | sì | testo libero | Il nome commerciale, per esempio "Claude Sonnet" o "ChatGPT" | | 3 | Fornitore | sì | testo libero | Ragione sociale e paese, per esempio "Anthropic PBC (USA)". Il paese serve per i trasferimenti extra-UE (Capo V GDPR) | | 4 | Finalità | sì | testo libero | A cosa lo usi davvero, in concreto. È il campo che regge tutto il resto | | 5 | Tipo dati personali | sì | `nessuno` · `comuni` · `particolari (Art. 9 GDPR)` · `giudiziari (Art. 10 GDPR)` | Determina se e come si applica il GDPR a quel sistema | | 6 | Classificazione AI Act | sì | `Limited` · `Limited+` · `High (richiede review)` · `Vietato` | Il perimetro di rischio in cui ricade il sistema. Vedi la legenda sotto | | 7 | Base giuridica GDPR | sì se la colonna 5 non è `nessuno` | `consenso` · `contratto` · `obbligo di legge` · `interesse vitale` · `compito di interesse pubblico` · `legittimo interesse` | Le sei basi dell'Art. 6 GDPR. Senza una di queste il trattamento non è lecito | | 8 | Owner interno | sì | nome e ruolo | Chi risponde di quel sistema. Se la casella è vuota, nessuno lo controlla davvero | | 9 | Data attivazione | sì | `AAAA-MM-GG` | Da quando il sistema è in uso | | 10 | Ultima revisione | sì | `AAAA-MM-GG` | Aggiornarla, anche quando non cambia nient'altro, è già prova di adempimento | | 11 | Frequenza review | sì | `6 mesi` · `annuale` · `a ogni cambiamento` | Il ritmo con cui ricontrolli quella riga | | 12 | Note | no | testo libero | Dettagli: piano contrattuale, opt-out dal training, tempi di conservazione, disclosure fatte | ### Legenda della colonna 6 (classificazione AI Act) - **Limited**: il sistema interagisce con persone o genera contenuti, e si applicano gli obblighi di trasparenza dell'Art. 50 del Reg. UE 2024/1689. È il caso della maggior parte degli usi aziendali ordinari di un assistente AI. - **Limited+**: come sopra, ma il sistema genera contenuti che possono essere scambiati per reali (immagini di persone, audio, video sintetici) oppure testo pubblicato su temi di interesse pubblico. Serve un'etichettatura esplicita di ciò che pubblichi. - **High (richiede review)**: il sistema ricade in uno degli ambiti dell'Allegato III dell'AI Act (tra gli altri: selezione del personale, valutazione del merito creditizio, istruzione, servizi essenziali) oppure è componente di sicurezza di un prodotto regolato. Qui non si improvvisa: serve una valutazione dedicata prima di continuare a usarlo. - **Vietato**: pratiche dell'Art. 5 (per esempio manipolazione subliminale, punteggio sociale, riconoscimento delle emozioni sul luogo di lavoro). Se una riga finisce qui, il sistema va spento, non documentato. Nel dubbio tra `Limited` e `High`, segna `High (richiede review)`: costa un controllo in più, ti evita di scoprirlo dopo. --- ## Le due righe di esempio, per esteso **Riga 1.** Sistema: Claude Sonnet. Fornitore: Anthropic PBC (USA). Finalità: redazione bozze email e sintesi documenti interni. Tipo dati personali: comuni. Classificazione AI Act: Limited. Base giuridica: legittimo interesse. Owner: Mario Rossi (titolare). Attivazione: 2026-02-01. Ultima revisione: 2026-07-27. Frequenza: annuale. Note: nessun dato particolare nei prompt, provider extra-UE con base di trasferimento da verificare. **Riga 2.** Sistema: Otter.ai. Fornitore: Otter.ai Inc. (USA). Finalità: trascrizione automatica delle riunioni con i clienti. Tipo dati personali: comuni (voce, nome, contenuto della conversazione). Classificazione AI Act: Limited. Base giuridica: consenso. Owner: Anna Bianchi (ufficio operations). Attivazione: 2026-03-15. Ultima revisione: 2026-07-27. Frequenza: 6 mesi. Note: disclosure ai partecipanti a ogni riunione registrata, trascrizioni cancellate dopo 90 giorni. I nomi delle persone sono di fantasia. I due sistemi sono esempi reali di strumenti diffusi, non un consiglio di acquisto. --- ## Come si tiene aggiornato Il registro non è un file che compili una volta e archivi. Va toccato ogni volta che aggiungi o togli un sistema AI, più una revisione minima ogni sei mesi o una volta l'anno. A ogni revisione controlla queste cose, riga per riga: - La classificazione della colonna 6 è ancora corretta? - La base giuridica della colonna 7 è ancora valida? - L'owner della colonna 8 è ancora in azienda e ha davvero tempo per seguire quel sistema? - Il fornitore ha cambiato le condizioni di trattamento dei dati o la policy sul training? - Per i fornitori fuori dall'Unione europea: nelle note c'è la base del trasferimento dati? - È successo qualcosa che meriti una riga nelle note (un incidente, un uso nuovo, una lamentela)? Poi aggiorna la colonna 10 con la data di oggi, anche se non hai cambiato nient'altro. **Quando dismetti un sistema non cancellare la riga.** Scrivi nelle note "dismesso il AAAA-MM-GG" e lasciala dov'è: se un domani qualcuno chiede conto di un periodo passato, lo storico è l'unica risposta che regge. --- ## A cosa si aggancia questo file Il registro da solo non è un adempimento: è il presupposto pratico degli adempimenti che l'AI Act rende obbligatori. | Riferimento | Cosa chiede | Quando si applica | |---|---|---| | Art. 4, Reg. UE 2024/1689 | Alfabetizzazione in materia di AI per il personale che usa i sistemi | applicabile dal 2 febbraio 2025 | | Art. 5, Reg. UE 2024/1689 | Divieto di alcune pratiche di AI | applicabile dal 2 febbraio 2025 | | Art. 50, Reg. UE 2024/1689 | Obblighi di trasparenza su interazioni e contenuti generati | applicabile dal 2 agosto 2026 | | Art. 6 e Allegato III, Reg. UE 2024/1689 | Regole di classificazione dei sistemi ad alto rischio | vedi le fonti ufficiali per le date, oggetto di modifica | | Art. 6 GDPR | Base giuridica del trattamento (colonna 7) | in vigore | | Artt. 9 e 10 GDPR | Categorie particolari di dati e dati giudiziari (colonna 5) | in vigore | | Art. 30 GDPR | Registro delle attività di trattamento, a cui questo registro si affianca senza sostituirlo | in vigore | | Capo V GDPR | Trasferimenti verso paesi terzi (colonna 3 e note) | in vigore | Il testo del Regolamento sta su EUR-Lex: Regolamento (UE) 2024/1689, CELEX 32024R1689. Le date di applicabilità dell'alto rischio sono state oggetto di proposte di modifica: prima di prendere decisioni su un sistema che ricade nell'Allegato III, controlla la versione consolidata in vigore. --- ## Cosa c'è in più nella versione completa Questo modello copre l'inventario. Nel kit **AI Setup Compliant** il registro arriva compilato sui sistemi che usi davvero, con i menu a tendina già validati, e soprattutto non arriva da solo: insieme ci sono la valutazione d'impatto, la nota di trasparenza per i clienti, la policy interna e l'albero decisionale per la classificazione del rischio. Se non sai in che perimetro di rischio ricadi, il self-check su giovanniliguori.it ti dà la risposta in un paio di minuti. --- *Modello distribuito gratuitamente. Non costituisce consulenza legale: per una valutazione vincolante sul tuo caso rivolgiti a un professionista.*