25/09/2026
«Da dove comincio con l'AI Act?»
Da un elenco. Non si può classificare il rischio di sistemi che non si sa di avere, e non si può dimostrare a nessuno — un cliente, un revisore, un'autorità — di aver fatto una valutazione se quella valutazione non è scritta da qualche parte.
Quel «qualche parte», all'inizio, può benissimo essere Excel. Non perché sia lo strumento definitivo, ma perché è quello che tutti sanno usare, che nessuno deve comprare e che si riempie davvero — invece di restare vuoto, come succede alla maggior parte dei software di compliance acquistati d'impulso.
La struttura che consigliamo è di quattro fogli operativi più uno di istruzioni. Non di più: un file che nessuno riesce a tenere aggiornato è peggio di nessun file.
Inventario — una riga per ogni coppia processo + strumento. Se lo stesso assistente generativo è usato dal marketing per i testi e dall'HR per le job description, sono due righe: il contesto d'uso cambia la valutazione del rischio.
Classificazione — sei domande a tendina e una formula che restituisce il livello: inaccettabile, alto, limitato, minimo. Un dettaglio deliberato: quando lo screening non è ancora stato fatto la cella resta vuota, così la dashboard conta le righe da lavorare invece di dichiararle innocue per default.
Obblighi e piano d'azione — cosa scatta per ogni livello, con un responsabile e una data accanto a ogni voce.
Registro delle decisioni — la parte che si sottovaluta e che conta di più il giorno in cui qualcuno vi chiede conto delle scelte.
Una precisazione che fa risparmiare molte discussioni: un sistema che ricade in un ambito dell'Allegato III non è automaticamente ad alto rischio. Ma la valutazione spetta al fornitore, non a chi usa il sistema: se siete deployer non potete applicarvi l'eccezione da soli, dovete ottenerla documentata da chi vi vende la tecnologia.
