Quali documenti servono davvero, e da quale norma vengono

La cartella che regge a una domanda: cosa chiede l'AI Act a chi utilizza, cosa viene da altre norme, e cosa è organizzazione. Sono tre cose diverse, e metterle in un elenco solo è il modo più rapido di lavorare a vuoto.

Guida operativa8 minutiAggiornata il 26 settembre 2026Grace & Partners

La domanda che arriva adesso non è più «possiamo usarla», è «cosa dobbiamo poter mostrare se ce lo chiedono». È la domanda giusta, e quasi tutte le risposte in circolazione hanno lo stesso difetto: un unico elenco di adempimenti, in cui il registro dei sistemi, la policy interna, la valutazione d'impatto e gli accordi con i fornitori stanno sulla stessa riga, come se venissero tutti dallo stesso posto.

Non vengono dallo stesso posto, e la differenza cambia il lavoro. Un documento può avere tre origini:

1. lo chiede l'AI Act a chi utilizza — ed è la colonna più corta delle tre, molto più corta di quanto sembri; 2. viene da un'altra norma — protezione dei dati personali, diritto del lavoro — che esisteva già e che l'AI non ha cambiato; 3. è organizzazione: nessuno lo impone, e senza non si risponde alla domanda di partenza.

Tenerle separate serve a due cose opposte e ugualmente utili: non trattare come facoltativo ciò che è dovuto, e non affannarsi su un adempimento che non esiste.

La mappa, in una tabella

Documento	Da dove viene	Quando serve
Nota sul ruolo: fornitore o utilizzatore	Organizzazione — ma decide quali obblighi vi riguardano	Per ogni sistema, quando entra
Elenco dei sistemi di AI in uso	Organizzazione: il regolamento non lo impone a chi utilizza	Sempre. Senza, nient'altro è verificabile
Policy interna d'uso	Organizzazione	Da quando le persone usano strumenti di AI
Traccia della formazione	AI Act, articolo 4 — si applica dal 2 febbraio 2025	Per chi si occupa del funzionamento e dell'uso
Conservazione dei log, almeno sei mesi	AI Act, articolo 26	Solo sistemi ad alto rischio
Informativa a lavoratori e rappresentanti	AI Act, articolo 26	Solo sistemi ad alto rischio sul luogo di lavoro
Valutazione d'impatto sui diritti fondamentali	AI Act, articolo 27	Solo per i soggetti elencati lì: non basta avere un sistema ad alto rischio
Accordi col fornitore, informative, valutazione d'impatto sui dati	Protezione dei dati personali, non AI Act	Quando ci sono dati personali di mezzo

La cosa scomoda da dire

Per la maggior parte delle PMI, oggi, la colonna dell'AI Act è quasi vuota: il grosso degli obblighi documentali riguarda i sistemi ad alto rischio, e quel regime arriva più tardi. Resta l'alfabetizzazione, che vale dal 2025 e riguarda quasi tutti.

Questo non vuol dire che non ci sia niente da fare: vuol dire che quasi tutto quello che c'è da fare oggi è organizzazione, e va chiamato col suo nome. Chi ve lo vende come obbligo di legge vi sta vendendo una scadenza che non esiste — e il giorno in cui ve ne accorgete, smettete di credere anche alle scadenze vere.

01
Metti per iscritto, per ogni sistema, che ruolo avete
È il documento che viene prima di tutti, perché decide quali righe della tabella vi riguardano. Chi usa uno strumento di terzi con un abbonamento ordinario è un utilizzatore; personalizzarlo in profondità, integrarlo in un proprio prodotto o metterci il proprio marchio sono le circostanze che spostano il ruolo — e il carico documentale con lui. Le tre circostanze stanno in Fornitore o utilizzatore.
Cosa resta · Una nota per sistema: ruolo, motivo, data, chi l'ha scritta.
02
Fai l'elenco dei sistemi, sapendo che non è un adempimento
Il regolamento non impone a chi utilizza di tenere un elenco dei propri sistemi di AI — lo scriviamo sapendo che vendiamo esattamente questo. Serve lo stesso, ed è la base di ogni altra cosa: senza, nessuna delle risposte che darete è verificabile, nemmeno da voi. Come si tiene in piedi sta in Il registro dei sistemi AI; cosa chiede davvero la norma in Registri e documentazione.
Cosa resta · L'elenco con fornitore, reparto, uso, dati trattati, responsabile, data di revisione.
03
Scrivi la policy, e falla stare in tre pagine
Cosa si può usare, con quali dati, chi decide quando il caso non è previsto. È il documento che un controllo legge come prova che l'azienda ha esercitato un controllo reale, e quello che le aziende faticano di più a produrre da sole. Il metodo sta in Policy AI aziendale.
Cosa resta · Il documento con versione, data di approvazione e prossima revisione.
04
Tieni la traccia della formazione: è l'obbligo che riguarda quasi tutti
L'alfabetizzazione è l'unico obbligo documentale dell'AI Act che tocca praticamente ogni impresa che usa questi strumenti, e si applica dal 2 febbraio 2025 — non da agosto 2026, che è quando è cominciata la vigilanza. Non esiste una certificazione ufficiale: quello che serve è poter mostrare il programma, i contenuti, chi ha partecipato e quando. I riferimenti in Alfabetizzazione in materia di AI.
Cosa resta · Programma, materiali, elenco dei partecipanti con le date.
05
Quello che nasce dai dati personali, non improvvisarlo
Accordi con i fornitori, informative, valutazioni d'impatto sul trattamento: vengono dalla disciplina sui dati personali, non dall'AI Act, e chiedono competenze che sono un mestiere a parte. La cosa utile che potete fare voi è preparare il materiale — quali strumenti, quali dati ci passano, quali fornitori, dove stanno i dati — e portarlo a chi segue la privacy per l'azienda. Arrivare con l'elenco in mano accorcia quel lavoro di settimane.
Cosa resta · L'elenco dei sistemi con le categorie di dati e i fornitori, consegnato con una data.
06
Guarda se qualcosa è davvero ad alto rischio, prima di produrre documenti
Log conservati per almeno sei mesi, informativa ai lavoratori prima della messa in servizio, sorveglianza affidata a persone con competenza e autorità: sono obblighi che scattano sui sistemi ad alto rischio, non su tutti. E la valutazione d'impatto sui diritti fondamentali ha un perimetro soggettivo ristretto: non basta avere un sistema ad alto rischio per doverla fare — vedi a chi si applica l'articolo 27 e Chi sorveglia il sistema.
Cosa resta · La scheda di classificazione per sistema, con la motivazione e chi l'ha formulata.
07
Conserva le decisioni, non i materiali
Lo scopo pratico di tutta la cartella è uno: permettere a qualcuno, fra due anni, di ricostruire una decisione presa oggi. Vale la regola opposta a quella dell'archivio: un documento che non dice chi ha deciso, quando e con quali informazioni davanti non serve, per quanto sia lungo. E quello che non aiuta a ricostruire una decisione non va conservato.
Cosa resta · La decisione, con data, autore e le informazioni su cui poggiava.
08
Scrivi anche quello che avete deciso di NON fare
«Questo non ci riguarda perché il sistema non fa quella cosa» è una decisione, e regge solo se è scritta. Se non lo è, a distanza di tempo sembra una dimenticanza invece che una valutazione — ed è la differenza fra un'azienda che ha governato la scelta e una che l'ha subita.
Cosa resta · La motivazione del «non si applica», con chi l'ha formulata e quando.
09
Aggancia la revisione a un evento, non al calendario
Ogni abbonamento nuovo, ogni funzione di AI comparsa in un gestionale che avete da anni, ogni rinnovo con un fornitore dovrebbe far ripartire la verifica. È negli aggiornamenti silenziosi degli strumenti che avete già che si nasconde la parte più difficile da intercettare — e una cartella che si aggiorna «quando serve» non si aggiorna.
Cosa resta · L'evento scelto, scritto, e la data dell'ultimo passaggio.

Le domande che arrivano

Quali documenti ci chiederebbero in un controllo?: Dipende da chi controlla e in base a quale norma: nessuno può darvi la lista definitiva, e chi ve la dà sta semplificando. Quello che regge davanti a qualunque domanda è sempre la stessa cosa — poter ricostruire una decisione: cosa avete deciso, quando, sulla base di quali informazioni e chi l'ha decisa.
Abbiamo già la valutazione d'impatto sui dati: basta quella?: Sono due cose distinte. L'articolo 27 prevede che, dove un obbligo sia già assolto dalla valutazione d'impatto sulla protezione dei dati, la valutazione sui diritti fondamentali la integri — cioè si aggiunga completandola, non che la prima esoneri dalla seconda. E resta il presupposto: la seconda è dovuta solo dai soggetti elencati lì.
Il registro dei sistemi di AI è obbligatorio?: Non per chi utilizza: il regolamento non impone un elenco dei sistemi in uso, non c'è un modello da compilare né un'autorità a cui trasmetterlo. Serve comunque, per un motivo diverso — è il documento da cui si risponde a tutte le altre domande.
Siamo in ritardo?: Se l'elenco degli strumenti in uso non esiste, il ritardo è lì, e si recupera in mezza giornata. Se esiste, siete più avanti della maggior parte delle imprese che hanno già prodotto una cartella di documenti su un insieme di sistemi che nessuno ha mai guardato.

Cosa dice la norma

Questa guida descrive un metodo di lavoro: non stabilisce quali obblighi riguardino la vostra azienda, che dipendono da cosa usate, con quali dati e per quali finalità. I riferimenti normativi stanno qui, riportati con le fonti ufficiali:

Con [H]AIdafare

Le bozze dei documenti sono composte con i dati del vostro registro secondo modelli fissi — nessun modello linguistico le scrive — e dove un dato manca il testo lo dichiara invece di riempirlo.

Da leggere dopo