AI Act: in che fascia di rischio è il tuo sistema?
Un percorso a domande per collocare un sistema di intelligenza artificiale nelle fasce di rischio del regolamento (UE) 2024/1689.
GDPR · AI Act · Compliance
Consulenza GDPR + AI Act per imprese italiane
La consulenza GDPR e AI Act serve a un'impresa per trattare dati personali e usare sistemi di intelligenza artificiale nel rispetto del Regolamento (UE) 2016/679 e del Regolamento (UE) 2024/1689. Studio Legale BCS assiste PMI, operatori del gioco, aziende tech e sanitarie: mappatura, documenti, valutazioni d'impatto, DPO esterno, modelli integrati con la 231 e difesa davanti al Garante.
A cura dell'Avv. Vincenzo Sapone, Cassazionista
Punti chiave
- ▸GDPR: registro trattamenti, informative, DPIA
- ▸AI Act: classificazione rischio + FRIA
- ▸DPO esterno certificato
- ▸Data breach: gestione 72h + notifica Garante
- ▸Integrazione 231 cyber + privacy
- ▸Difesa contenziosi sanzionatori Garante
Strumenti
Strumenti su AI Act
e intelligenza artificiale.
Un test guidato sull’AI Act e la serie dello studio sull’uso di Claude negli studi legali. Per la tua azienda o il tuo studio conta l’analisi dei processi reali.
-
-
Per delega: Claude Cowork per studi legali
La serie dello studio su Claude Cowork per gli studi legali: episodi, guide, prompt e il plugin /parcella.
Cosa cambia per le imprese con l'AI Act?
L'AI Act (Regolamento (UE) 2024/1689) si applica per tappe (art. 113). Dal 2 febbraio 2025 valgono i divieti, come le tecniche manipolative e il social scoring (art. 5), e l'obbligo di promuovere l'alfabetizzazione del personale (art. 4). Dal 2 agosto 2026 si applica la parte generale, compresi gli obblighi di trasparenza: chi interagisce con un chatbot deve sapere che parla con un sistema di IA, salvo che sia evidente (art. 50). Per i sistemi ad alto rischio il Regolamento (UE) 2026/1744 (Omnibus digitale sull'IA) ha spostato le date: 2 dicembre 2027 per quelli dell'allegato III, come selezione del personale e merito creditizio, e 2 agosto 2028 per quelli dell'allegato I. Alcuni deployer devono svolgere una valutazione d'impatto sui diritti fondamentali (art. 27) e possono richiamare la DPIA già fatta per il GDPR. In Italia si aggiungono la legge 23 settembre 2025, n. 132 e il nuovo art. 437-bis del codice penale, sulle misure di sicurezza dei sistemi ad alto rischio.
Quando servono la DPIA e il responsabile della protezione dei dati?
La valutazione d'impatto (DPIA) va fatta prima di iniziare un trattamento che può presentare un rischio elevato per i diritti delle persone, in particolare quando si usano nuove tecnologie (art. 35 GDPR). Profilazione, monitoraggio sistematico e grandi volumi di dati particolari sono i casi tipici. Il responsabile della protezione dei dati (DPO) è obbligatorio per autorità e organismi pubblici e per chi, come attività principale, monitora in modo regolare e sistematico gli interessati su larga scala o tratta su larga scala dati particolari o relativi a reati (art. 37). Può essere un dipendente o un professionista esterno con un contratto di servizi (art. 37, par. 6). In caso di violazione dei dati il titolare la notifica al Garante entro 72 ore da quando ne viene a conoscenza, salvo che il rischio sia improbabile (art. 33). Un caso concreto di notifica tardiva è in questa decisione del Garante.
Se vuoi valutare il tuo caso con noi, prenota un colloquio.
Quali pacchetti offre lo studio?
GDPR Starter
da € 1.500
- ▸ Audit privacy base
- ▸ Registro trattamenti
- ▸ Informative + consensi
- ▸ Data breach procedure
Più richiesto
GDPR + AI Readiness
da € 3.500
- ▸ Tutto lo Starter
- ▸ Mappatura sistemi AI
- ▸ Classificazione rischio AI Act
- ▸ FRIA + DPIA integrate
- ▸ DPO esterno 6 mesi
Enterprise / Gaming
su misura
- ▸ Modello 231 + GDPR + AI
- ▸ KYC/AML gaming tailored
- ▸ Audit NIS2
- ▸ DPO esterno annuale
- ▸ Difesa Garante
Quali sanzioni rischia un'impresa?
Le cifre massime sono alte, ma dipendono dal tipo di violazione. Nel GDPR le fasce sono due: fino a 10 milioni di euro o al 2% del fatturato mondiale per gli obblighi del titolare e del responsabile, come DPIA, sicurezza e DPO; fino a 20 milioni o al 4% per i principi, il consenso, i diritti degli interessati e i trasferimenti all'estero (art. 83 GDPR). Per le imprese vale l'importo più alto. Nell'AI Act le pratiche vietate costano fino a 35 milioni o al 7%; gli obblighi di fornitori, importatori, distributori e deployer, e quelli di trasparenza, fino a 15 milioni o al 3% (art. 99 AI Act). La disciplina NIS2 sulla cybersicurezza prevede fino a 10 milioni o il 2% per i soggetti essenziali e fino a 7 milioni o l'1,4% per quelli importanti (art. 38 D.Lgs. 4 settembre 2024, n. 138). Documentare le scelte prima di un controllo è la prima difesa.
| Normativa | Sanzione massima | Esempio |
|---|---|---|
| GDPR (principi e diritti) | € 20M o 4% fatturato | Violazione dei principi, del consenso o dei diritti degli interessati |
| GDPR (obblighi del titolare) | € 10M o 2% fatturato | Mancata DPIA, misure di sicurezza, DPO (artt. 25-39) |
| AI Act (divieti) | € 35M o 7% fatturato | Uso AI proibito (social scoring, manipolazione) |
| AI Act (altri obblighi) | € 15M o 3% fatturato | Obblighi di fornitori e deployer, trasparenza (art. 50) |
| NIS2 | € 10M o 2% fatturato | Soggetti essenziali; per i soggetti importanti € 7M o 1,4% |
Guide e articoli
- Trasferimenti di dati extra UE: quali basi servono per il cloud?
- Responsabile del trattamento: quando va nominato e come?
- Reato IA 437-bis in vigore: pene, 231 e il nodo del 2027
- Deepfake e satira, il Garante privacy traccia il confine dopo il caso Mentana
- Password in chiaro e notifica tardiva: 85.000 euro di multa dal Garante Privacy
- Dal 2 agosto il tuo chatbot deve dichiarare di non essere una persona
Domande frequenti
Cos'è l'AI Act europeo?
L'AI Act (Regolamento UE 2024/1689) è la prima normativa organica al mondo sull'intelligenza artificiale. Adotta un approccio basato sul rischio: sistemi AI proibiti, ad alto rischio, a rischio limitato, a rischio minimo. Obblighi di trasparenza, governance, valutazione d'impatto sui diritti fondamentali (FRIA), documentazione tecnica. Si applica dal 2 agosto 2026, ma i divieti valgono dal 2 febbraio 2025; gli obblighi per i sistemi ad alto rischio sono stati rinviati dal Reg. (UE) 2026/1744 al 2 dicembre 2027 (allegato III) e al 2 agosto 2028 (allegato I).
Chi deve nominare un DPO in Italia?
Ai sensi dell'art. 37 GDPR, la nomina del Data Protection Officer è obbligatoria per: autorità pubbliche, titolari che effettuano monitoraggio regolare e sistematico su larga scala di interessati, titolari che trattano su larga scala categorie particolari di dati. È possibile nominare un DPO esterno (lo Studio BCS fornisce il servizio).
Cos'è una DPIA e quando è obbligatoria?
La DPIA (Data Protection Impact Assessment) è una valutazione preventiva d'impatto sulla protezione dei dati, obbligatoria ex art. 35 GDPR quando il trattamento presenti rischi elevati: uso sistematico di tecnologie nuove, profilazione, trattamento su larga scala di dati sensibili, monitoraggio sistematico di aree accessibili al pubblico. Deve precedere l'inizio del trattamento.
Cos'è una FRIA nell'AI Act?
La FRIA (Fundamental Rights Impact Assessment) è la valutazione d'impatto sui diritti fondamentali introdotta dall'AI Act (art. 27) per l'uso di sistemi AI ad alto rischio da parte di organismi di diritto pubblico, di enti privati che forniscono servizi pubblici e di chi usa sistemi per il merito creditizio o per i prezzi delle assicurazioni vita e sanitarie (allegato III, punto 5, lettere b e c). Analizza rischi concreti del deployment e misure di mitigazione.
Sanzioni GDPR e AI Act: quanto rischia un'impresa?
GDPR: fino a € 20.000.000 o 4% del fatturato annuo mondiale (il maggiore) per principi, consenso e diritti degli interessati; fino a € 10.000.000 o 2% per gli obblighi del titolare, come la DPIA. AI Act: fino a € 35.000.000 o 7% del fatturato mondiale per i divieti (sistemi AI proibiti), € 15M o 3% per gli obblighi di fornitori, deployer e trasparenza.
Fonti
- Regolamento (UE) 2016/679 (GDPR), artt. 33, 35, 37 e 83
- Regolamento (UE) 2024/1689 (AI Act), artt. 4, 5, 27, 50, 99, 113 e allegato III
- Regolamento (UE) 2026/1744 dell'8 luglio 2026 (Omnibus digitale sull'IA)
- Legge 23 settembre 2025, n. 132 (disposizioni in materia di intelligenza artificiale)
- Codice penale, art. 437-bis
- D.Lgs. 4 settembre 2024, n. 138, art. 38 (sanzioni NIS2)
GDPR + AI Act in regola?
Per accedere alla consulenza compila prima la richiesta preliminare: lo studio attiverà poi il percorso corretto e l'accesso riservato.