Chi si occupa di protezione dei dati e di compliance si trova oggi davanti a tre regole che si sovrappongono: il Regolamento europeo sull'intelligenza artificiale (AI Act, Reg. UE 2024/1689, modificato dal Digital Omnibus), il GDPR e la Legge italiana 132/2025. Questa guida è pensata per DPO, uffici legali e responsabili IT che devono dire "sì" a un progetto di AI senza esporre l'azienda a sanzioni: una checklist operativa in 29 punti, con il riferimento normativo per ciascuno, da usare come traccia per le riunioni con direzione e fornitori.
In breve: i divieti dell'AI Act sono in vigore dal 2 febbraio 2025, la Legge 132/2025 dal 10 ottobre 2025, gli obblighi di trasparenza dal 2 agosto 2026. Il Digital Omnibus ha rinviato solo gli obblighi sui sistemi ad alto rischio, al 2 dicembre 2027 e al 2 agosto 2028. Il GDPR si applica già a ogni trattamento svolto con l'AI.
Le sanzioni in gioco
Le cifre sono quelle massime previste: le autorità le commisurano a gravità, durata, collaborazione e dimensione dell'azienda. Per l'AI Act, alle PMI e alle start-up si applica il minore tra i due importi indicati; alle altre imprese il maggiore.
| Norma | Violazione | Sanzione massima |
|---|---|---|
| AI Act | Pratiche vietate (art. 5) | 35 milioni di euro o 7% del fatturato mondiale annuo |
| AI Act | Altri obblighi, ad esempio quelli del deployer (art. 26) e di trasparenza (art. 50) | 15 milioni di euro o 3% del fatturato |
| AI Act | Informazioni inesatte o incomplete fornite alle autorità | 7,5 milioni di euro o 1% del fatturato |
| GDPR | Principi, basi giuridiche, diritti degli interessati, trasferimenti extra-UE | 20 milioni di euro o 4% del fatturato |
| GDPR | Altri obblighi, ad esempio DPIA, sicurezza, registro, contratti con i responsabili | 10 milioni di euro o 2% del fatturato |
Riferimenti: AI Act art. 99, GDPR art. 83. La Legge 132/2025 aggiunge inoltre nuovi reati, come la diffusione illecita di contenuti generati o alterati con l'AI (art. 612-quater del codice penale).
Le date che contano
| Data | Cosa diventa applicabile |
|---|---|
| 2 febbraio 2025 | Divieti dell'AI Act (art. 5) e alfabetizzazione AI (art. 4) |
| 2 agosto 2025 | Obblighi per i modelli di AI per finalità generali e regime delle sanzioni |
| 10 ottobre 2025 | Entrata in vigore della Legge 132/2025 |
| 27 luglio 2026 | Entrata in vigore del Digital Omnibus (Reg. UE 2026/1744) |
| 2 agosto 2026 | Applicazione generale dell'AI Act, compresi gli obblighi di trasparenza (art. 50) |
| 2 dicembre 2026 | Marcatura dei contenuti generati (art. 50, par. 2) e nuovo divieto sui contenuti intimi non consensuali e pedopornografici generati con l'AI |
| 2 dicembre 2027 | Obblighi per i sistemi ad alto rischio dell'allegato III (personale, credito, istruzione, servizi essenziali…) |
| 2 agosto 2028 | Obblighi per i sistemi ad alto rischio integrati in prodotti regolamentati (allegato I) |
La checklist in 5 fasi
Ogni punto riporta il riferimento normativo principale. Le spunte restano salvate in questo browser, così la checklist si può compilare in più sessioni; con il pulsante di stampa si ottiene una versione da allegare ai verbali o da salvare in PDF.
Per approfondire i singoli obblighi: classificazione del rischio, alfabetizzazione AI (art. 4), trasparenza (art. 50) e NIS2, Data Act e Cyber Resilience Act. Il quadro generale è nella sezione Normative AI.
Fase 1 — Mappare: sapere quale AI c'è in azienda
Non si può mettere in regola ciò che non si conosce. Il primo passo è un censimento onesto, che includa anche gli strumenti adottati dai dipendenti di propria iniziativa.
Fase 2 — Classificare: a quale livello di rischio appartiene ogni uso
L'AI Act ragiona per livelli di rischio: dagli usi vietati a quelli ad alto rischio, fino a quelli che richiedono solo trasparenza.
Fase 3 — GDPR: proteggere i dati personali che passano dall'AI
L'AI Act non sostituisce il GDPR: quando un sistema di AI tratta dati personali, valgono tutti gli obblighi ordinari, con alcuni punti di attenzione specifici.
Fase 4 — Persone: lavoratori, professionisti e formazione
La Legge 132/2025 e il diritto del lavoro aggiungono obblighi che riguardano direttamente chi usa l'AI e chi ne è interessato.
Fase 5 — Governare nel tempo
La conformità non è un adempimento una tantum: modelli, fornitori e norme cambiano, e la documentazione deve restare allineata.
Cosa cambia se l'AI è installata in azienda
Un'architettura AI on-premise non esonera da nessuno degli obblighi elencati, ma rende più semplici da rispettare proprio i punti su cui si concentrano i rischi maggiori:
- Trasferimenti extra-UE (fase 3): i dati non lasciano l'infrastruttura aziendale, quindi non servono clausole contrattuali né valutazioni sul paese del fornitore.
- Uso dei dati per l'addestramento (fase 3): nessun fornitore esterno riceve prompt, documenti o conversazioni.
- Log e conservazione (fasi 3 e 5): tempi, accessi e cancellazioni sono decisi e verificabili dall'azienda, non regolati dalle condizioni di un servizio cloud.
- Documentazione (fase 5): modello, versione e configurazione sono noti e stabili, e la documentazione per DPIA e audit si scrive su un sistema che non cambia senza preavviso.
Approfondimenti: AI e GDPR in azienda: DPIA, AI Act e dati extra-UE e AI Act, Digital Omnibus e Legge 132/2025.
Il DPO come alleato del progetto
Nei progetti di AI che funzionano il DPO e l'ufficio legale non arrivano alla fine per "dare il via libera", ma partecipano dalla scelta dell'architettura. È il momento in cui si decide dove vengono elaborati i dati, quali log si conservano e chi può vederli: scelte che costano poco all'inizio e molto se vanno corrette dopo. Questa checklist è pensata per essere usata proprio così, come agenda comune tra compliance, IT e direzione.
Domande frequenti
L'AI Act si applica anche alle PMI che usano solo strumenti come ChatGPT?
Sì, l'azienda è un deployer (utilizzatore) e deve rispettare i divieti, gli obblighi di trasparenza che la riguardano e le misure di alfabetizzazione AI. Per un uso generico di un chatbot gli obblighi dell'AI Act sono limitati, ma il GDPR si applica per intero non appena nello strumento vengono inseriti dati personali, compresi i contratti di trattamento e gli eventuali trasferimenti extra-UE.
Il rinvio degli obblighi sull'alto rischio al 2027 permette di aspettare?
No. I divieti sono in vigore dal 2 febbraio 2025, gli obblighi di trasparenza dal 2 agosto 2026 e il GDPR si applica già oggi a ogni trattamento svolto con l'AI. Il Digital Omnibus ha spostato al 2 dicembre 2027 solo gli obblighi per i sistemi ad alto rischio dell'allegato III, e chi li usa ha comunque bisogno di tempo per DPIA, FRIA, procedure di supervisione e informazione dei lavoratori.
Serve una DPIA per ogni sistema di intelligenza artificiale?
No. La DPIA è obbligatoria quando il trattamento presenta un rischio elevato per le persone: dati sanitari o biometrici, valutazioni sistematiche, monitoraggio, uso innovativo della tecnologia su larga scala. Un assistente interno sulla documentazione tecnica di solito non la richiede; un sistema che supporta la selezione del personale o la valutazione dei clienti sì.
Chi controlla il rispetto delle regole in Italia?
Per il GDPR il Garante per la protezione dei dati personali. Per l'AI Act la Legge 132/2025 ha designato come autorità nazionali per l'intelligenza artificiale l'Agenzia per l'Italia Digitale (AgID) e l'Agenzia per la Cybersicurezza Nazionale (ACN), ferme restando le competenze del Garante sui dati personali.
Un sistema AI on-premise riduce gli adempimenti?
Non elimina nessun obbligo: base giuridica, informative, DPIA, supervisione umana e formazione restano necessarie. Semplifica però i punti più delicati: niente trasferimenti extra-UE, nessun fornitore che usa i dati per addestrare i propri modelli, log e tempi di conservazione sotto il controllo diretto dell'azienda.
Nota: questa guida ha scopo informativo, è aggiornata a ottobre 2026 e non costituisce consulenza legale. Gli obblighi concreti dipendono dal settore, dai sistemi usati e dal ruolo dell'azienda: per una valutazione specifica rivolgetevi al vostro DPO o a un legale esperto di diritto delle nuove tecnologie.
Vuoi verificare la checklist su un progetto concreto?
30 minuti con un tecnico Gaulin, anche insieme al vostro DPO: architettura, dati e documentazione del vostro caso, senza pressioni commerciali.
Valuta il progetto della tua azienda →Il servizio è rivolto ad aziende, professionisti ed enti.