AI Act e ISO/IEC 42001: ciò che si misura oggi e ciò che è in preparazione.
Per un’organizzazione che utilizza o integra l’IA: misuriamo la Sua copertura dell’AI Act, valutiamo ISO/IEC 42001 e trattiamo i Suoi fornitori di IA come terze parti. Il registro dei sistemi di IA è un modulo in preparazione, senza data.
- AI Governance: in preparazione, senza data né promesse
- Dati nell’UE (OVH, Gravelines); Cloudflare (USA) lungo il percorso della richiesta
Che cosa richiede l’AI Act, in breve
Regola l’IA in base al rischio del sistema e al ruolo che Lei ricopre: fornitore o deployer.
Riepilogo informativo, non consulenza legale. Le date sono cambiate di recente; consulti la versione consolidata su EUR-Lex.
- Pratiche vietate
- Alcuni usi dell’IA sono vietati (articolo 5), e i fornitori e i deployer devono adottare misure per promuovere l’alfabetizzazione in materia di IA del proprio personale, senza garantire un livello specifico (articolo 4).
- Sistemi ad alto rischio
- Quelli degli allegati I e III hanno requisiti di gestione dei rischi, dati, documentazione tecnica, registrazione degli eventi e sorveglianza umana. Chi li impiega ha obblighi propri (articolo 26).
- Trasparenza e modelli per finalità generali
- Esistono obblighi di informazione all’utente (articolo 50) e requisiti specifici per i fornitori di modelli per finalità generali.
- Ruolo e calendario
- Ciò che Le compete dipende dal fatto che sia fornitore o deployer e dal rischio del sistema. Il calendario per l’alto rischio è stato modificato dal Regolamento (UE) 2026/1744; consulti la versione consolidata su EUR-Lex.
Un calendario graduale
Date secondo il Regolamento (UE) 2024/1689 modificato dal Regolamento (UE) 2026/1744. Le verifichi nel testo consolidato prima di pianificare.
2 feb 2025
Capi I e II: divieti e alfabetizzazione in materia di IA
Si applicano l’articolo 5 (pratiche vietate) e l’articolo 4 (alfabetizzazione in materia di IA). Il Regolamento (UE) 2026/1744 ha riformulato l’articolo 4, che si applica nella nuova formulazione dal 27 luglio 2026: sostenere lo sviluppo dell’alfabetizzazione in materia di IA, senza garantire un livello specifico.
2 ago 2025
Sanzioni, modelli per finalità generali e governance
Si applicano il capo XII sulle sanzioni (tranne l’articolo 101), gli obblighi dei fornitori di modelli di IA per finalità generali (capo V) e le norme di governance; da questa data possono essere sanzionate le violazioni dell’articolo 5 (articolo 113, lettera b).
2 ago 2026
Obblighi di trasparenza
Data generale di applicazione. Si applica l’articolo 50: obblighi di informare chi interagisce con un sistema di IA o è esposto a contenuti generati o manipolati dall’IA. I sistemi generativi immessi sul mercato prima di questa data hanno una transizione fino al 2 dicembre 2026 (articolo 111, paragrafo 4).
2 dic 2026
Nuove pratiche vietate
Si applicano i punti aggiunti all’articolo 5 dal Regolamento (UE) 2026/1744: articolo 5(1)(ba) e (bb), e articolo 5(1a) e (1b). Lo stesso giorno scade il termine per i sistemi generativi immessi sul mercato prima del 2 agosto 2026 per conformarsi all’articolo 50, paragrafo 2 (articolo 111, paragrafo 4).
2 dic 2027
Alto rischio dell’allegato III
Le sezioni da 1 a 3 del capo III si applicano ai sistemi ad alto rischio di cui all’articolo 6, paragrafo 2, e all’allegato III, compresi gli obblighi dei deployer (articolo 26) e la valutazione d’impatto sui diritti fondamentali (articolo 27) (articolo 113, lettera c), punto i)).
2 ago 2028
Alto rischio dell’allegato I
Le sezioni da 1 a 3 del capo III si applicano ai sistemi ad alto rischio di cui all’articolo 6, paragrafo 1, e all’allegato I, cioè componenti di sicurezza di prodotti regolamentati o prodotti regolamentati essi stessi (articolo 113, lettera c), punto ii)).
2 ago 2030
Autorità pubbliche
I fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere usati da autorità pubbliche devono conformarsi entro questa data, anche se il sistema era già sul mercato (articolo 111, paragrafo 2).
HodeiAI: l’IA della piattaforma, descritta con i suoi limiti
Un esempio di come si governa un’IA all’interno di un prodotto, non una dichiarazione di conformità.
- Modello
- Mistral AI, sub-responsabile di Hodeitek.
- Pseudonimizzazione preventiva
- HodeiAI e il CISO virtuale pseudonimizzano i dati personali che riconoscono prima dell’invio; la mappatura vive solo in memoria. L’analisi del rischio delle scansioni dei fornitori non pseudonimizza: invia il dominio del fornitore e i risultati.
- Interruttore dell’amministratore
- Un amministratore della Sua organizzazione può disattivare HodeiAI; se disattivato, non viene effettuata alcuna chiamata al modello.
- Non agisce mai senza conferma
- HodeiAI propone; una persona con ruolo di scrittura approva, una sola volta, per 15 minuti e legata all’hash della proposta.
Da ogni obbligo a una capacità di HodeiShield
Con la fase del ciclo. Qui si vede bene che cosa esiste oggi e che cosa no.
Diretta: lo svolge la piattaforma. Parziale: fornisce evidenze o una parte, il resto spetta a Lei. Non coperta: resta fuori da HodeiShield.
- Obbligo:
Misurare la Sua copertura rispetto all’AI Act
Regolamento (UE) 2024/1689
Che cosa fa HodeiShield:L’AI Act figura tra i 17 framework come copertura misurata sui controlli canonici.
Docs · Conformità (si apre in una nuova scheda)FaseSENSEPREDICTCoperturaParziale - Obbligo:
Sistematizzare la governance dell’IA come sistema di gestione
ISO/IEC 42001
Che cosa fa HodeiShield:Punteggio controllo per controllo di ISO/IEC 42001 con evidenze dotate di responsabile e validità. La norma aiuta a organizzare la governance; non equivale a rispettare l’AI Act.
Docs · Conformità (si apre in una nuova scheda)FaseSENSEPREDICTCoperturaDiretta - Obbligo:
Trattare i fornitori di IA come terze parti
Art. 25 e 26
Che cosa fa HodeiShield:Un fornitore di modelli o servizi di IA entra nel grafo come qualsiasi fornitore: questionario, scansione esterna periodica, CVE e concentrazione.
Docs · Motore di rischio (si apre in una nuova scheda)FaseSENSEPREDICTCoperturaParziale - Obbligo:
Misure di alfabetizzazione in materia di IA e relative evidenze
Art. 4 (alfabetizzazione)
Che cosa fa HodeiShield:Libreria di policy e motore delle evidenze con responsabile, validità e stato.
Docs · Conformità (si apre in una nuova scheda)FaseSENSECoperturaParziale - Obbligo:
Inventario dei sistemi di IA e loro classificazione per rischio
Art. 6 e allegato III
Che cosa fa HodeiShield:Il registro dei sistemi di IA appartiene al modulo AI Governance, che è in preparazione, senza data. Oggi non esiste nella piattaforma.
FaseFuori dal cicloCoperturaNon coperta - Obbligo:
Documentazione tecnica, registrazione degli eventi e valutazione d’impatto
Art. 11, 12 e 27
Che cosa fa HodeiShield:Fuori da HodeiShield.
FaseFuori dal cicloCoperturaNon coperta - Obbligo:
Sorveglianza umana dell’IA
Art. 14 e 26
Che cosa fa HodeiShield:Si applica in HodeiAI: propone e approva una persona. Per i Suoi sistemi di IA, la sorveglianza spetta a Lei.
Docs · HodeiAI (si apre in una nuova scheda)FaseACTCoperturaNon coperta
Ciò che HodeiShield non fa con l’AI Act
Più limiti rispetto alle altre pagine, perché il modulo non esiste ancora.
Non esiste un registro dei sistemi di IA
AI Governance è in preparazione. Non indichiamo una data né lo presentiamo come disponibile.
Non classifica i Suoi sistemi per rischio né valuta la conformità
Tale classificazione, la documentazione tecnica e la valutazione di conformità spettano a Lei.
La copertura dell’AI Act è misurata sui controlli canonici
Viene riportata sui controlli canonici, senza affermare di coprire ogni requisito del regolamento.
ISO/IEC 42001 non è l’AI Act
Aiuta a sistematizzare la governance dell’IA, ma non sostituisce gli obblighi del regolamento.
Domande sull’AI Act
Con ciò che esiste oggi e ciò che non esiste.
HodeiShield dispone di un registro dei sistemi di IA?
Non ancora. Il modulo AI Governance, che includerebbe tale registro, è in preparazione e non ha una data. Oggi può misurare la copertura dell’AI Act e valutare ISO/IEC 42001.
Sono fornitore o deployer?
Dipende da come utilizza l’IA. Chi sviluppa o commercializza un sistema è fornitore; chi lo utilizza sotto la propria autorità è deployer. Lo precisa il Suo consulente legale.
Quale IA utilizza HodeiShield?
HodeiAI utilizza Mistral AI. Prima dell’invio, HodeiAI e il CISO virtuale pseudonimizzano i dati personali riconosciuti; l’analisi del rischio delle scansioni dei fornitori non pseudonimizza. Un amministratore può disattivare HodeiAI.
ISO/IEC 42001 mi rende conforme all’AI Act?
Non da sola. È uno standard di sistema di gestione che aiuta a organizzare la governance dell’IA. Gli obblighi del regolamento vanno comunque rispettati.
Quando si applica l’AI Act?
In modo graduale, secondo il Regolamento (UE) 2024/1689 modificato dal Regolamento (UE) 2026/1744: gli articoli 4 e 5 dal 2 febbraio 2025 (l’articolo 4, nella nuova formulazione, dal 27 luglio 2026), le sanzioni e gli obblighi dei modelli per finalità generali dal 2 agosto 2025, la data generale, con l’articolo 50, il 2 agosto 2026 (con una transizione fino al 2 dicembre 2026 per i sistemi generativi già sul mercato, articolo 111, paragrafo 4), i nuovi punti dell’articolo 5 il 2 dicembre 2026, l’alto rischio dell’allegato III il 2 dicembre 2027 e quello dell’allegato I il 2 agosto 2028. Verifichi il testo consolidato su EUR-Lex.
Soluzioni correlate
Una sessione sulla copertura dei framework
Per ora la demo è una sessione di copertura: che cosa si misura dell’AI Act e di ISO/IEC 42001, con quali evidenze e che cosa resta in preparazione.
Senza impegno né promesse di date.