AI Act – Italia · ISO/IEC 42001:2023
Quanto è conforme la tua organizzazione all'AI Act e alla normativa italiana?
71 requisiti che integrano il Regolamento (UE) 2024/1689 (con il Digital Omnibus), la Legge 132/2025 con i decreti attuativi D.Lgs. 160/2026 e 179/2026, e i controlli dell'Allegato A della ISO/IEC 42001:2023.
Nessun dato di questa valutazione è trasmesso a GoToCertify.
Come funziona
- Profilo: pochi dati e domande sì/no escludono i requisiti non applicabili.
- Assessment: un livello di maturità 0-4 per requisito, con evidenze e note.
- Dashboard: % di conformità per area, per fonte e per gruppo di controlli; gap P1/P2.
- Report PDF: risultati, piano d'azione prioritario con linee guida, mappa dei controlli, roadmap.
71 requisiti · 15 aree di valutazione · mappato su ISO 42001 · 45-90 minuti
Aree di valutazione
- GOV – Governance, ruoli e politica IA
Partire da un mandato del vertice: politica IA, Comitato IA multidisciplinare, owner per ogni sistema. La qualificazione del ruolo (fornitore/deployer) per ciascun sistema determina gli obblighi: rivederla ad ogni personalizzazione o rebranding. - INV – Inventario e classificazione dei sistemi
Senza inventario non c'è conformità. Censire anche l'IA integrata nei SaaS e l'uso individuale di chatbot. Classificare con albero decisionale e riesaminare ad ogni cambio di finalità. - PRO – Pratiche vietate
Gate obbligatorio in fase di progetto/acquisto con la checklist art. 5. Attenzione a riconoscimento emozioni sul lavoro e ai nuovi divieti in vigore dal 02/12/2026. - LIT – Alfabetizzazione e formazione IA
L'obbligo resta: adottare misure documentate, proporzionate al ruolo. Tre livelli formativi; conservare le evidenze di partecipazione; aggiornare ad ogni nuovo strumento. - TRA – Trasparenza e contenuti sintetici
Obblighi in vigore dal 02/08/2026: avvisi nei chatbot, marcatura dei contenuti sintetici (sistemi preesistenti entro 02/12/2026), etichette per deepfake. Coordinarsi con il nuovo reato art. 612-quater c.p. - HRP – Alto rischio – obblighi del fornitore
Per i fornitori di sistemi ad alto rischio il 2027 è l'anno di preparazione: QMS (ISO 42001 + ISO 9001), fascicolo All. IV, test, percorso di valutazione di conformità. Il D.Lgs. 160/2026 introduce rilievo penale per omesse misure di sicurezza. - HRD – Alto rischio – obblighi del deployer
I deployer devono: seguire le istruzioni del fornitore, nominare supervisori umani competenti, monitorare e conservare i log (≥ 6 mesi), informare lavoratori e interessati, svolgere la FRIA quando dovuta. - GPA – Modelli di IA per finalità generali (GPAI)
Fornitori di modelli: documentazione All. XI-XII, policy copyright con rispetto opt-out TDM, sintesi dei dati di addestramento. Chi integra modelli di terzi: acquisire e valutare la documentazione downstream. - DAT – Dati, privacy e qualità dei dati
Integrare il DPO in ogni progetto IA; una valutazione d'impatto unica che copra DPIA e FRIA; riesame umano significativo per le decisioni automatizzate; consenso genitoriale per under 14. - LAV – Lavoro e sicurezza sul lavoro
Informativa scritta ai lavoratori e RSA/RSU (art. 11 L. 132/2025 + art. 1-bis D.Lgs. 152/1997), aggiornamento DVR con RSPP/RLS, decisione umana nei processi HR, rispetto dell'art. 4 dello Statuto. - SET – Settori e professioni (normativa italiana)
Verificare gli obblighi di settore: professioni (informativa al cliente, prevalenza del lavoro umano), sanità (decisione medica, MDR), PA (tracciabilità, decisione del funzionario), finanza (vigilanza Banca d'Italia/CONSOB/IVASS). - RES – Responsabilità civile, penale e 231
Aggiornare il Modello 231 (art. 25-vicies), rivedere le polizze assicurative e curare la documentazione: in giudizio la violazione dell'AI Act fa presumere il nesso causale. - TPR – Fornitori e catena del valore
Due diligence IA nel procurement, clausole contrattuali standard (informazioni, audit, incidenti, manleva), allineamento della documentazione verso i clienti. - MON – Incidenti, monitoraggio e miglioramento
KPI per ogni sistema (accuratezza, drift, tasso di override, reclami), incident management integrato con ISO 27001/NIS2, piano post-market per i fornitori. - AMS – Sistema di gestione IA (ISO/IEC 42001)
Un AIMS ISO/IEC 42001 fornisce la struttura per dimostrare in modo organico la conformità: usare il foglio 'Mappa ISO 42001' come base della SoA e pianificare audit interni e riesami.
Scadenze normative
| Date | Source | Status | |
|---|---|---|---|
| 02/02/2025 | AI Act | Pratiche vietate (art. 5) e alfabetizzazione IA (art. 4) | In vigore |
| 02/08/2025 | AI Act | Obblighi per modelli GPAI, governance UE, regime sanzionatorio | In vigore |
| 10/10/2025 | L. 132/2025 | Principi nazionali, lavoro (art. 11), professioni (art. 13), PA (art. 14), minori, diritto d'autore, reati | In vigore |
| 02/08/2026 | AI Act (Digital Omnibus) | Obblighi di trasparenza art. 50; sanzioni GPAI della Commissione | In vigore |
| 30/09/2026 | D.Lgs. 160/2026 | Biometria per polizia, art. 437-bis c.p., reati presupposto 231 (art. 25-vicies), responsabilità civile | In vigore |
| 23/10/2026 | D.Lgs. 179/2026 | Poteri autorità (ACN, AgID, settoriali), sanzioni nazionali, formazione, IA nel DVR, decisioni HR | In vigore |
| 02/12/2026 | AI Act (Digital Omnibus) | Nuovi divieti (contenuti sessuali non consensuali, CSAM); marcatura art. 50(2) per sistemi già sul mercato | Imminente – priorità |
| 02/08/2027 | AI Act | Adeguamento dei modelli GPAI immessi prima del 02/08/2025; sandbox nazionali operative | Futuro |
| 02/12/2027 | AI Act (Digital Omnibus) | Obblighi per i sistemi ad alto rischio dell'Allegato III (artt. 8-27, FRIA, registrazione) | Futuro – preparare nel 2027 |
| 02/08/2028 | AI Act (Digital Omnibus) | Obblighi per i sistemi ad alto rischio dell'Allegato I (componenti di sicurezza di prodotti regolati) | Futuro |
Domande frequenti
Il self-assessment AI Act – Italia è gratuito?
Sì. Lo strumento è gratuito, non richiede registrazione e non salva nulla sui nostri server: la valutazione gira interamente nel browser e il report PDF e il file di salvataggio si scaricano sul proprio computer.
Su quale standard è mappato l'assessment AI Act – Italia?
Ogni requisito è collegato ai controlli della ISO/IEC 42001:2023. La mappa di copertura prodotta dallo strumento può essere usata come base per la Dichiarazione di Applicabilità.
Come si calcola la percentuale di conformità?
Ogni requisito applicabile riceve un livello di maturità da 0 (non avviato) a 4 (pienamente conforme). La percentuale di conformità è il rapporto tra punteggio ottenuto e massimo ottenibile. Le priorità P1/P2/P3 combinano criticità e livello.
A chi è rivolto?
Alle funzioni compliance, legale, sicurezza IT e risk management delle organizzazioni italiane; è un'autovalutazione e non costituisce parere legale.
Quanto è aggiornato il contenuto normativo?
Il quadro normativo è aggiornato al 2026-10-31 (versione 1.4). Le proposte non ancora adottate sono indicate come tali. I riferimenti rimandano alle fonti ufficiali (Gazzetta Ufficiale, Normattiva, EUR-Lex).
Altri assessment
- EU AI Act – Reg. (UE) 2024/1689 con il Digital Omnibus – mappato su ISO/IEC 42001:2023. Per organizzazioni di tutta l'UE (contenuti in inglese).
- GDPR – Regolamento (UE) 2016/679 e linee guida EDPB – mappato su ISO/IEC 27701:2025 (contenuti in inglese).
- NIS2 Directive – Direttiva (UE) 2022/2555 e Reg. di esecuzione 2024/2690 – mappato su ISO/IEC 27001:2022 (contenuti in inglese).
- DORA – Regolamento (UE) 2022/2554 e RTS/ITS – mappato su ISO/IEC 27001:2022 e ISO 22301:2019 (contenuti in inglese).
Strumento di autovalutazione a scopo informativo: non costituisce parere legale. Riferimenti e date vanno verificati sui testi ufficiali (GUUE, Gazzetta Ufficiale). Nessun dato di questa valutazione è trasmesso a GoToCertify. © 2026 GoToCertify.