Registro dei Sistemi AI: Cos'è e Modello Gratuito da Scaricare

Q: Il registro dei sistemi AI è obbligatorio per legge?

Non con un modello imposto e quel nome preciso. Ma è il presupposto pratico di adempimenti che l'AI Act rende obbligatori (alfabetizzazione Art. 4, trasparenza Art. 50, valutazione del rischio) e si collega al registro dei trattamenti dell'Art. 30 GDPR. Senza registro sei scoperto su tutto il resto, quindi nella pratica è il primo documento da compilare.

Q: Che differenza c'è tra registro dei sistemi AI e registro dei trattamenti GDPR?

Il registro dei trattamenti (Art. 30 GDPR) elenca i trattamenti di dati personali. Il registro dei sistemi AI elenca i sistemi di intelligenza artificiale che usi, con la loro classificazione di rischio ai sensi dell'AI Act. Si sovrappongono quando un sistema AI tratta dati personali, ma rispondono a due norme diverse. Averli coerenti tra loro è la cosa più efficiente.

Q: Ogni quanto va aggiornato il registro dei sistemi AI?

Ogni volta che aggiungi o togli un sistema AI, e comunque con revisione minima ogni sei mesi o annuale. A ogni revisione verifichi che la classificazione di rischio, la base giuridica e l'owner interno siano ancora corretti, e aggiorni la data di ultima revisione anche se nulla è cambiato.

Giovanni Liguori

TL;DR

Il registro dei sistemi AI non è imposto da un modello di legge, ma è la base di ogni altro adempimento AI Act: senza sapere quali sistemi usi non puoi classificarne il rischio. Qui trovi cos'è e un modello gratuito a 12 colonne.

Cos'è il registro dei sistemi AI

Il registro dei sistemi AI è l'inventario dei sistemi di intelligenza artificiale che un'azienda usa, con la loro finalità, il livello di rischio e chi ne è responsabile. È il documento operativo da cui parte ogni altro adempimento previsto dall'AI Act: senza sapere quali sistemi usi, non puoi classificarne il rischio né documentare la trasparenza verso clienti e autorità. In pratica è la mappa che trasforma "usiamo l'AI" in "sappiamo esattamente cosa usiamo, per cosa, e con quali dati".

Se sei qui per il file, eccolo: scarica il modello del registro in formato CSV. Si apre con Excel, Google Sheets o Numbers, ed è gratuito. Qui sotto trovi cosa scriverci dentro, colonna per colonna.

Il registro dei sistemi AI è obbligatorio?

Non esiste un modello di registro imposto per legge con quel nome, e questo confonde molti. Ma è il presupposto pratico di adempimenti che l'AI Act rende obbligatori: l'alfabetizzazione del personale (Art. 4 Reg. UE 2024/1689, in vigore dal 2 febbraio 2025), la trasparenza sull'uso dell'AI (Art. 50), e la valutazione del rischio dei trattamenti. Si collega inoltre al registro dei trattamenti dell'Art. 30 GDPR, che per molte attività è già obbligatorio. Detto semplice: nessuno ti multa per non avere "il registro", ti trovi scoperto su tutto il resto se non ce l'hai. È il primo file da compilare, non l'ultimo.

Cosa scrivere nel registro: le 12 colonne

Un registro utile ha una riga per ogni sistema AI attivo e queste dodici colonne. Sono le stesse che uso nel kit che consegno ai clienti, ridotte all'essenziale.

1) ID sistema. 2) Nome del sistema, per esempio Claude o ChatGPT. 3) Fornitore, per esempio Anthropic o OpenAI. 4) Finalità, a cosa lo usi. 5) Tipo di dati personali coinvolti: nessuno, comuni, particolari Art. 9 GDPR, giudiziari Art. 10 GDPR. 6) Classificazione AI Act: Limited, Limited+, High se richiede review, Vietato. 7) Base giuridica GDPR: consenso, contratto, legittimo interesse, obbligo di legge, e le altre. 8) Owner interno, chi è responsabile di quel sistema. 9) Data di attivazione. 10) Data ultima revisione. 11) Frequenza di review: sei mesi, annuale, a ogni cambiamento. 12) Note.

Un esempio di riga compilata. Sistema: Claude Sonnet. Fornitore: Anthropic PBC. Finalità: redazione bozze email e sintesi documenti. Dati personali: comuni. Classificazione AI Act: Limited. Base giuridica: legittimo interesse. Owner: il titolare. Frequenza review: annuale. Note: nessun dato sensibile inserito nei prompt. Ripeti per ogni strumento che usi, ed è fatto.

Il file con queste dodici colonne già impostate è questo: modello del registro dei sistemi AI in CSV, con le due righe di esempio già compilate e cinque righe vuote da riempire. Accanto c'è la guida alle colonne: per ogni colonna trovi i valori ammessi, la procedura di revisione e il riferimento normativo a cui si aggancia.

Compila il registro col tuo assistente AI

Le dodici colonne si compilano bene a mano. Ma se un assistente AI lo usi già, tanto vale farti aiutare: copia il prompt qui sotto in Claude o ChatGPT, rispondi alle domande una alla volta, e alla fine ottieni le righe già pronte da incollare nel CSV. Il prompt è costruito sulle stesse colonne del modello, nell'ordine esatto.

Sei il mio assistente per compilare il registro dei sistemi AI. Uso il modello gratuito di giovanniliguori.it: un CSV con separatore ";" e queste 12 colonne esatte:
ID sistema;Nome sistema;Fornitore;Finalità;Tipo dati personali;Classificazione AI Act;Base giuridica GDPR;Owner interno;Data attivazione;Ultima revisione;Frequenza review;Note

Procedi così:
1) Intervistami UNA domanda alla volta, in quest'ordine: che attività svolgo e in quanti siamo; quali strumenti AI uso direttamente (assistenti, trascrittori di riunioni, generatori di immagini); quali funzioni AI stanno dentro software che uso già (CRM, gestionale, suite ufficio); poi, per ogni strumento: a cosa lo uso davvero, che tipo di dati ci passano (nessuno, comuni, particolari), chi ne risponde internamente, da quando lo uso.
2) Non inventare niente: se non conosci uno strumento che nomino, chiedimi cosa fa. Dove un'informazione manca, scrivi "da verificare" nella cella invece di riempirla a caso.
3) Alla fine genera UNA riga CSV per ogni sistema, con le 12 colonne nell'ordine esatto dell'intestazione qui sopra, date in formato AAAA-MM-GG.
4) Per la colonna Classificazione AI Act usa solo questi valori: Limited, Limited+, High (richiede review), Vietato. Sui casi dubbi scrivi "Limited, da verificare" e spiegami il dubbio sotto la tabella.
5) Chiudi con l'elenco dei punti da far verificare a un professionista, in ordine di importanza.

Regola fissa: nelle risposte e nelle righe non inserire mai nomi o dati personali di clienti, dipendenti o fornitori. Bastano i ruoli.

Due avvertenze che valgono più del prompt. La prima: quello che esce è una bozza operativa, non consulenza legale. Rileggila riga per riga e fai verificare i casi dubbi, che l'assistente ti segnala in coda. La seconda: mentre rispondi alle domande descrivi gli strumenti e i ruoli, mai i dati delle persone. Il registro censisce i sistemi, non i tuoi clienti.

Come tenere aggiornato il registro

Il registro non è un file che compili una volta e archivi. Va aggiornato ogni volta che aggiungi o togli un sistema AI, con una revisione minima ogni sei mesi o una volta l'anno. A ogni revisione controlli tre cose: la classificazione di rischio è ancora corretta, la base giuridica è ancora valida, l'owner interno è ancora la persona giusta. Aggiornare la data di ultima revisione, anche quando nulla cambia, è già prova di adempimento. Quando dismetti un sistema non cancelli la riga: la marchi come dismessa con la data, così resta lo storico per un eventuale controllo.

Questa è la versione base. Il registro completo fa parte del kit AI Setup Compliant, insieme alla valutazione d'impatto e alla nota di trasparenza, personalizzati sui sistemi che usi davvero. Se non sai in che perimetro di rischio ricadi, il self-check ti dà la risposta in due minuti. E se vuoi leggere la fonte, il registro poggia sul Regolamento UE 2024/1689.