L’obbligo di alfabetizzazione dopo l’Omnibus
L’articolo 4, applicabile dal 2 febbraio 2025, obbligava nella formulazione originale fornitori e deployer a garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di IA del proprio personale e di chi utilizza i sistemi per loro conto.
Il Regolamento (UE) 2026/1744 lo riscrive: ora devono adottare misure per sostenere la promozione di tale alfabetizzazione, tenendo conto di conoscenze, esperienza, contesto d’uso e persone interessate, e si chiarisce che non devono garantire un livello determinato in alcuna persona. La Commissione pubblicherà esempi pratici e gli Stati membri sosterranno le PMI (art. 4, par. 2).
L’obbligo resta, sebbene più flessibile. Il modo ragionevole per dimostrarlo è un piano di formazione per profili —chi sorveglia un sistema ad alto rischio non ha bisogno di ciò che serve a chi usa un assistente di scrittura— con la registrazione di chi lo ha ricevuto.
Governance interna minima
Il Regolamento non impone un comitato per l’IA, ma diversi obblighi lo presuppongono: sapere quali sistemi ci sono, chi li sorveglia, quali dati ricevono e chi va avvisato se falliscono. Un inventario aggiornato, una politica di uso accettabile e un responsabile per sistema coprono gran parte delle esigenze.
La governance si collega alla protezione dei dati. Il nuovo articolo 4 bis consente di trattare in via eccezionale categorie particolari di dati per rilevare e correggere distorsioni, con garanzie rigorose —pseudonimizzazione, accesso controllato, cancellazione al termine— e annotandone il motivo nel registro delle attività di trattamento.
Dove si colloca la ISO/IEC 42001
La ISO/IEC 42001:2023 è una norma internazionale di requisiti per un sistema di gestione dell’intelligenza artificiale, con la struttura comune delle norme sui sistemi di gestione. La sua certificazione è volontaria.
Aiuta a organizzare l’inventario, la valutazione dei rischi, i ruoli, il controllo dei fornitori e il miglioramento continuo, e può fare da ossatura al sistema di gestione della qualità che l’articolo 17 impone ai fornitori di sistemi ad alto rischio. Ma non sostituisce la valutazione della conformità dell’articolo 43: la presunzione di conformità la conferiscono le norme armonizzate i cui riferimenti sono pubblicati nella Gazzetta ufficiale dell’UE (art. 40, par. 1).
Cosa chiede di solito l’auditor
- Piano di formazione sull’IA per profili, con registrazione delle presenze
- Politica di uso accettabile degli strumenti di IA approvata e comunicata
- Responsabile designato per ogni sistema dell’inventario
- Trattamenti di dati per correggere distorsioni motivati nel registro delle attività
- Decisione presa sull’eventuale adozione della ISO/IEC 42001 come quadro di gestione
Come affrontarlo in pratica
- 1Definisca due o tre profili di formazione in base all’uso reale dell’IA e registri chi completa ciascuno.
- 2Integri l’inventario dei sistemi di IA nell’analisi dei rischi che già mantiene per la sicurezza delle informazioni o la protezione dei dati.
- 3Se ha già un sistema certificato ISO/IEC 27001 o ISO 9001, valuti di estenderlo con i requisiti della ISO/IEC 42001 invece di crearne uno separato.
La cibersicurezza che l’articolo 15 impone ai sistemi ad alto rischio poggia sugli stessi controlli della ISO/IEC 27001.
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- Regolamento (UE) 2024/1689 sull’intelligenza artificiale EUR-Lex · GU L 2024/1689 · 12 luglio 2024
- Regolamento (UE) 2026/1744 (Omnibus digitale sull’IA), che modifica il Regolamento (UE) 2024/1689 EUR-Lex · GU L 2026/1744 · 24 luglio 2026
- Regolamento (UE) 2024/1689, testo consolidato EUR-Lex · CELEX 02024R1689-20260727 · Versione del 27 luglio 2026
- ISO/IEC 42001:2023 — Tecnologia dell’informazione. Intelligenza artificiale. Sistema di gestione ISO · Ed. 2023