Timeline di implementazione EU AI Act
Scegliete il vostro ruolo e livello di rischio. Ottenete un piano pratico per fase, con gli esatti artefatti da produrre e le evidenze che dovete poter esportare.
Ultimo aggiornamento: 16 dic 2025 · Versione v1.0 · Solo a scopo orientativo. Non costituisce consulenza legale.
Segnala un problema: /contact
Cos'è (e quando vi serve)
Un piano a fasi per produrre i deliverable e le evidenze che gli auditor si aspettano.
Questa pagina non è un riepilogo legale. È una timeline di implementazione legata a deliverable concreti: documentazione tecnica, procedure di supervisione umana, piani di monitoraggio, policy di conservazione dei log ed esercitazioni di esportazione delle evidenze.
Utilizzate i toggle interattivi per generare una checklist per ruolo e livello di certezza sul rischio. In caso di dubbio, trattatelo come potenziale alto rischio finché non potete difendere la classificazione.
Vi serve quando
- State pianificando budget e sequenziando il lavoro tra i team.
- Dovete produrre artefatti rapidamente e mantenerli collegati alle evidenze.
- Volete dimostrare la prontezza all'audit tramite esercitazioni di esportazione, non promesse.
Errore comune
I team iniziano la documentazione troppo tardi e non possono esportare evidenze su richiesta: nessuna traccia delle versioni, nessun record di revisione, nessuna prova di integrità, nessun report delle esercitazioni.
Com'è fatto un buon risultato
Criteri di successo della timeline: controlli + evidenze, non presentazioni.
- Disponete di un inventario dei sistemi con responsabili designati e di un memo di classificazione difendibile.
- Le azioni ad alto rischio sono controllate da policy gate e/o code di approvazione.
- Il piano di monitoraggio include soglie, policy di campionamento, responsabili e workflow per la gestione degli incidenti.
- I log di audit sono protetti nell'integrità ed esportabili con manifesto e checksum.
- Eseguite esercitazioni di esportazione e conservate i report delle esercitazioni e le azioni correttive come evidenza.
Date chiave (orientative)
Utilizzate queste tappe per verificare la vostra timeline interna.
2024-07-12
Pubblicato nella Gazzetta ufficiale
Inizio del conto alla rovescia. Usate questa data per verificare le tempistiche di applicabilità a fasi.
2024-08-01
Entrata in vigore
Il regolamento è in vigore, con molti obblighi che entrano in fasi successive.
2025-02-02
Si applicano le pratiche proibite (Articolo 5)
Che sia ad alto rischio o meno, i casi d'uso proibiti vanno rimossi o riprogettati.
2025-08-02
Iniziano gli obblighi per l'IA di uso generale (GPAI)
Gli obblighi lato provider iniziano ad applicarsi per i modelli GPAI e a rischio sistemico.
2026-08-02
Si applicano gli obblighi di trasparenza dell'articolo 50
Informativa agli utenti e marcatura dei contenuti generati dall'IA per ogni sistema che interagisce con persone o produce contenuti sintetici.
2027-08-02
Spazi di sperimentazione normativa per l'IA operativi
Ogni Stato membro ne gestisce almeno uno ai sensi dell'articolo 57.
2027-12-02
Si applicano gli obblighi per i sistemi ad alto rischio (Allegato III)
Rinviati dal 2 agosto 2026 dal Digital Omnibus sull'IA. La FRIA dell'articolo 27 e la registrazione dell'articolo 49 seguono questa data.
2028-08-02
IA ad alto rischio nei prodotti regolamentati (Allegato I)
Rinviata dal 2 agosto 2027. Si allinea alla valutazione di conformità settoriale che il prodotto già richiede.
Piano di implementazione interattivo
Un ordine di operazioni suggerito, personalizzato per il vostro ruolo e livello di certezza sul rischio.
Fase 1: inventario e classificazione
Non potete conformarvi a ciò che non avete identificato. Iniziate rendendo difendibile la classificazione del rischio.
Responsabili
- Conformità
- Prodotto
- Ingegneria
Risultati
- Inventario dei sistemi
- Memorandum di classificazione (ipotesi e motivazioni)
- Mappa dei responsabili
Elenco di controllo
- Inventariate i sistemi di IA, i responsabili, le regioni di distribuzione e i gruppi di utenti interessati.
- Descrivete la finalità prevista e i limiti di utilizzo.
- Classificate il livello di rischio; se vi sono dubbi, trattatelo come potenzialmente ad alto rischio fino al chiarimento.
- Individuate e rimuovete i modelli vietati; registrate le decisioni correttive.
Fase 2: governance e controllo delle modifiche
Gli audit falliscono quando mancano versioni e approvazioni. Rendete dimostrabile fin dall’inizio cosa è cambiato e quando.
Responsabili
- Conformità
- Sicurezza
- Ingegneria
Risultati
- Politica di controllo delle modifiche
- Definizione di modifica sostanziale
- Processo di approvazione e campi di evidenza
Elenco di controllo
- Definite la modifica sostanziale: modello, prompt, policy, processo, dati o strumento.
- Implementate approvazioni per le modifiche rischiose e registrate motivazione e identità.
- Definite le aspettative di conservazione ed esportazione dei log di audit.
Fase 3: controlli, punti di autorizzazione, supervisione e registrazione
Passate dalla documentazione a controlli applicabili in fase di esecuzione, con blocco predefinito dove necessario.
Responsabili
- Ingegneria
- Conformità
- Operazioni
Risultati
- Punti di controllo delle policy applicate tramite codice
- Procedura operativa di supervisione umana
- Tassonomia dei log di audit
Elenco di controllo
- Definite checkpoint che bloccano, richiedono revisione o consentono le azioni ad alto rischio.
- Create una coda di approvazione con procedura di escalation e deroga.
- Registrate decisioni, approvazioni e deroghe, chiamate agli strumenti e versioni in vigore.
Fase 4: pacchetto di documentazione e riferimenti alle evidenze
I revisori si aspettano un artefatto che colleghi ogni affermazione a una prova esportabile.
Responsabili
- Conformità
- Ingegneria
- Rischio
Risultati
- Bozza di documentazione tecnica allineata all’allegato IV
- Riferimenti alle evidenze per sezione
Elenco di controllo
- Redigete le sezioni dell’allegato IV e allegate riferimenti alle evidenze: artefatto, fonte e prova di integrità.
- Preparate una sintesi di una pagina che le parti interessate possano inoltrare.
- Preparate istruzioni per gli utilizzatori e i controlli operativi richiesti.
Fase 5: monitoraggio post-commercializzazione e risposta agli incidenti
Dovete dimostrare l’efficacia continua dei controlli: campionamento, soglie, incidenti e misure correttive.
Responsabili
- Operazioni
- Conformità
- Ingegneria
Risultati
- Piano di monitoraggio post-commercializzazione
- Politica di campionamento
- Guida alla risposta agli incidenti
Elenco di controllo
- Definite segnali e soglie monitorati: qualità, conformità alle policy, correttezza degli strumenti e salute operativa.
- Implementate il campionamento per livello di rischio, con regole di riferimento e di aumento.
- Definite livelli di gravità, SLA, procedura di ripristino o interruttore di arresto e responsabilità di segnalazione.
Fase 6: esercitazioni di preparazione all’audit
Le evidenze esistono solo se potete esportarle su richiesta, con passaggi di verifica.
Responsabili
- Conformità
- Ingegneria
- Sicurezza
Risultati
- Rapporto dell’esercitazione di esportazione delle evidenze
- Registro delle azioni correttive
Elenco di controllo
- Eseguite un’esercitazione di esportazione delle evidenze a tempo, simulando una richiesta di audit.
- Verificate l’integrità in modo indipendente: manifesto, checksum e convalida della catena di hash.
- Registrate le lacune e le azioni correttive; ripetete l’esercitazione ogni mese o trimestre.
Anteprima della checklist
Un breve estratto dell'artefatto scaricabile (HTML indicizzabile).
## Fase 2: Valutazione delle lacune (artefatti che dovete poter produrre) - Bozza documentazione tecnica Annex IV (se alto rischio) - SOP di supervisione umana + percorso evidenze degli interventi - Tassonomia di logging + policy di conservazione + meccanismo di esportazione - Piano di monitoraggio post-commercializzazione + policy di campionamento + workflow incidenti ## Fase 6: Esercitazioni di prontezza all'audit - Eseguire un'esercitazione completa di esportazione delle evidenze (a tempo) - Verificare l'integrità in modo indipendente (manifesto + checksum) - Risolvere le lacune e registrare le azioni correttive
Come KLA aiuta nella Control Plane
Trasformate la timeline in un piano di controllo con evidenze esportabili.
Govern
- Checkpoint policy-as-code che bloccano o richiedono revisione per le azioni a rischio.
- Approvazioni versionate per modifiche a modelli/prompt/policy/workflow.
Assure
- Revisioni a campione graduate per rischio (regole baseline + burst).
- Tracciamento dei near-miss (passaggi bloccati / quasi bloccati) come segnale di efficacia dei controlli.
Prove
- Traccia di audit a integrità verificabile, append-only con conservazione 7+ anni ove richiesto.
- Pacchetti di esportazione Evidence Room (manifesto + checksum) per verifica indipendente.
Registro aggiornamenti
Segnale di aggiornamento senza pretendere di essere il regolatore.
2025-12-16
Timeline interattiva iniziale
Aggiunti toggle ruolo/rischio + checklist a fasi + artefatto checklist scaricabile.
Ultimo aggiornamento: 2025-12-16
FAQ
Risposte brevi per la pianificazione e le revisioni.
Scarica la checklist della timeline
Checklist Markdown editabile per la pianificazione e le esercitazioni di prontezza all'audit.
Scarica la checklist