Il minimo legale AI Act: i 4 documenti da avere entro il 2 agosto
Guida pratica per PMI e freelancer: i 4 documenti AI Act indispensabili, cosa scrivere in ciascuno e come organizzarli in meno di una settimana.
Perché il 2 agosto
Il 2 dicembre 2027 è la data in cui scatta la piena applicabilità delle regole per i sistemi AI ad alto rischio (Annex III AI Act). Per chi usa AI in azienda senza sistemi ad alto rischio, gli obblighi principali sono già attivi: la necessità di literacy AI dal 2 febbraio 2025, l'articolo 50 sulla trasparenza. Il problema è che la documentazione che li prova manca quasi ovunque.
Questa guida copre i 4 documenti minimi per chi usa AI come strumento di lavoro generico. Non è consulenza legale. È il punto di partenza reale prima di parlare con un consulente.
Il documento 1: il registro interno AI
Il registro AI è l'inventario di tutto ciò che usi e per quale scopo. Senza questo, non sai nemmeno da dove parti.
Cosa scrivere:
- Nome dello strumento (Claude, ChatGPT, Gemini, altro)
- Chi lo usa in azienda e per quale funzione
- Tipologia di dati trattati (dati personali? dati di terzi? dati interni?)
- Scopo d'uso (testi, analisi, assistenza clienti, coding)
- Se i dati vengono inviati a server esterni (quasi sempre sì per i tool cloud)
Formato: anche una tabella su Google Sheets va bene. L'importante è che esista, sia aggiornata e riporti la data di creazione.
Il registro è la base per qualsiasi valutazione futura. Se un'autorità ti chiede "cosa usi e come", il registro è la tua risposta.
Il documento 2: la policy uso AI
La policy uso AI definisce come il team può e non può usare l'AI. È importante che le persone che usano AI in azienda abbiano una literacy sufficiente. La policy è il modo per strutturare questa consapevolezza.
Cosa includere:
- Quali tool AI sono autorizzati e quali no
- Su quali dati si può usare l'AI (mai dati personali di clienti su tool cloud non approvati)
- Chi supervisiona gli output AI prima che vengano usati o pubblicati
- Come si documenta l'uso AI nei deliverable per i clienti
Non deve essere un documento da 30 pagine. Una pagina con 6-8 regole chiare è più efficace e più probabile che venga letta.
La policy non è un adempimento burocratico. È la risposta alla domanda "come fate a sapere che il vostro team usa l'AI in modo responsabile?".
Il documento 3: la dichiarazione di trasparenza
L'articolo 50 dell'AI Act stabilisce che chi usa AI per generare contenuti o per interagire con utenti deve informarli. In pratica:
- Se mandi newsletter o contenuti scritti con AI: devi indicarlo
- Se usi chatbot o assistenti AI per rispondere ai clienti: devi informarli
- Se produci immagini, audio o video con AI: devi etichettarli
Cosa scrivere:
- Elenca i contesti in cui usi AI che interagisce o produce contenuto per terzi
- Per ciascuno: come informi l'utente (footer email, nota nel documento, banner sul sito)
- Riferimento all'art. 50 AI Act e data di implementazione interna
Una riga nei termini di servizio o nelle note a piè di pagina di un'email bastano per la maggior parte dei casi.
Il documento 4: il piano di literacy
È importante che le persone che usano AI in azienda abbiano un livello di literacy adeguato. Non significa un master in machine learning. Significa che sanno riconoscere un output AI, sanno quando fidarsi e quando no, sanno cosa fare con un errore.
Cosa scrivere:
- Chi del team usa AI e per quale ruolo
- Quali attività formative o di aggiornamento sono state svolte (anche un webinar conta)
- Con quale frequenza viene aggiornata questa formazione
- Chi è il referente interno per le domande sull'uso AI
Non serve un corso certificato. Serve la prova che la formazione è avvenuta: date, contenuti, partecipanti.
Come organizzarli in meno di una settimana
- Lunedì: registro AI. 2 ore max.
- Martedì: policy uso AI. 3 ore max, inclusa la condivisione con il team.
- Mercoledì: dichiarazione trasparenza. 1 ora max.
- Giovedì: piano literacy. 2 ore max.
- Venerdì: raccogli tutto in una cartella, firmato con data, condiviso con chi di dovere.
In 5 giorni hai il minimo legale. Non è la conformità totale. È il punto di partenza.
Una nota sui sistemi ad alto rischio
Se usi AI in contesti che rientrano nell'Annex III dell'AI Act (valutazione del credito, HR e recruiting, sistemi educativi, accesso a servizi pubblici, sicurezza delle infrastrutture), hai obblighi aggiuntivi che vanno oltre questi 4 documenti. In quel caso, hai bisogno di consulenza legale specializzata, non di questa guida.
Questi 4 documenti coprono il caso della PMI o del freelancer che usa AI come strumento di lavoro generico: assistenti di testo, chatbot di supporto, tool di analisi, generatori di contenuto.