Tutto Ciò Che Devi Sapere sulla Conformità AI Act

No, non serve alcun accreditamento ministeriale o regionale. A differenza della sicurezza sul lavoro (D.Lgs. 81/08), dove la legge richiede accordi Stato-Regioni e formatori accreditati, l'Articolo 4 dell'AI Act (Regolamento UE 2024/1689) adotta il principio europeo di Accountability (Responsabilità Verificabile), lo stesso modello del GDPR.

L'obbligo ricade interamente sul datore di lavoro (*Deployer*), a cui la norma richiede di adottare misure idonee e di poterne provare l'effettività in sede ispettiva. Piattaforme tecnologiche come ComplianceDesk (analogamente a quanto fanno Iubenda per la privacy o Cyber Guru per la sicurezza informatica) forniscono all'azienda il percorso verificato e il fascicolo probatorio necessario per documentare la formazione di fronte alle autorità.

L'obbligo è già pienamente in vigore dal 2 febbraio 2025.

Trattandosi di un Regolamento Comunitario Europeo (e non di una direttiva), l'AI Act è fonte primaria del diritto avente efficacia diretta e immediata nell'ordinamento italiano (artt. 11 e 117 della Costituzione). Non richiede alcuna legge di recepimento del Parlamento italiano per essere vincolante. Attendere decreti attuativi nazionali è un grave errore di compliance, poiché l'obbligo di alfabetizzare il personale vige già per chiunque utilizzi software o strumenti dotati di IA nel proprio studio o azienda.

Le conseguenze della mancata alfabetizzazione sono molteplici:

• Sanzioni amministrative formali: L'AI Act prevede sanzioni che possono raggiungere fino al 3% del fatturato annuo globale o 15 milioni di euro.
• Responsabilità per colpa d'organizzazione (Modello 231): Se un dipendente non formato inserisce segreti industriali, diffonde deepfake diffamatori o commette una frode con tool IA, l'azienda non può invocare l'esimente e risponde direttamente.
• Violazioni Privacy GDPR: L'immissione di dati personali di clienti, fornitori o terzi in prompt di sistemi IA non autorizzati integra un illecito trattamento sanzionato dal Garante Privacy fino a 20 milioni di euro o al 4% del fatturato.

In caso di controlli o data breach, viene richiesta la prova documentale delle misure preventive e formative adottate dall'azienda (*Accountability*).

ComplianceDesk mette a disposizione nella dashboard il Fascicolo di Conformità Completo in formato PDF scaricabile con un click, che include:

1. Il Regolamento Aziendale d'Uso (Policy Modello 231) con l'elenco dei tool autorizzati e i divieti GDPR.
2. Il Registro del Personale Formato con indicazione di Nome, Cognome, Codice Fiscale, data di completamento e punteggio del quiz.
3. I Log di Permanenza Effettiva (Timer Anti-Skipping) a dimostrazione che la formazione non è stata simulata.
4. I Codici Univoci e QR Code per la verifica crittografica pubblica immediata di ciascun attestato.