Implementazione dell'AI Act: operativi in poche settimane
I nostri servizi di implementazione dell’AI Act configurano AI Sigil per la vostra organizzazione: registrazione dei sistemi di IA, attivazione dei framework giusti (AI Act, ISO 42001 e NIST AI RMF) e onboarding del vostro team sulla piattaforma.
Cosa è incluso
Tutti i servizi di implementazione dell’AI Act sono erogati dalla nostra rete di partner di consulenza accreditati: specialisti di governance e compliance selezionati per la loro competenza sulla normativa dell’IA e per l’esperienza diretta sulla piattaforma.
Mappatura del portafoglio
Il vostro partner documenta ogni sistema di IA del portafoglio, ne mappa componenti, flussi di dati, stakeholder e ruoli, e classifica ogni sistema rispetto alle normative e ai framework che si applicano alla vostra organizzazione.
Configurazione dei framework
Il vostro partner attiva e valida i framework normativi giusti per ogni sistema, imposta i flussi di raccolta delle evidenze, collega i documenti esistenti ai controlli corretti e configura la deduplicazione tra framework.
Onboarding del team
Un programma di formazione strutturato, guidato dal vostro partner: percorsi guidati, prime valutazioni dei controlli completate insieme e pratica fino a quando il vostro team non è pienamente a suo agio con la piattaforma.
Revisione pre-produzione
Il vostro partner conduce una revisione finale per confermare che la configurazione sia completa, che le mappature normative siano esatte, che i flussi di evidenze funzionino e che il team sia pronto a operare in autonomia.
Tempistica tipica
Ogni incarico di implementazione dell’AI Act segue cinque fasi. La durata dipende dalle dimensioni del portafoglio e dalla complessità dell’organizzazione.
Inquadramento e avvio
Una sessione di discovery riunisce i vostri stakeholder IA, legale, compliance e ingegneria. L’obiettivo di questa fase dell’implementazione dell’AI Act: costruire un quadro completo del vostro portafoglio di IA.
Quanti sistemi sono in produzione o in sviluppo. Chi ne è responsabile, quali dati trattano, dove si collocano nell’organigramma. Quali normative si applicano (AI Act, ISO 42001, NIST AI RMF, norme di settore). Quanto sono mature le vostre pratiche di governance rispetto allo stato obiettivo.
L’output è un documento di inquadramento con il piano dell’incarico, le milestone chiave, le risorse necessarie e una sequenza prioritizzata per le fasi successive.
Durata stimata: startup 2,5 settimane / PMI 5 settimane / grande impresa 10 settimane.
Inventario e classificazione dell'IA
Ogni sistema di IA viene registrato nella piattaforma in sessioni strutturate con i suoi responsabili. Per ciascun sistema si documentano:
- I modelli sottostanti e le fonti dei dati di addestramento
- I flussi di dati in ingresso e in uscita e i fornitori terzi
- Gli stakeholder interni e i consumatori a valle
Workshop di classificazione dei rischi guidano poi il vostro team nelle decisioni di livello (alto rischio, rischio limitato, rischio minimo ai sensi dell’AI Act) e stabiliscono il vostro ruolo per ciascun sistema (fornitore, deployer o entrambi).
Il risultato: un registro dei sistemi di IA completamente popolato in AI Sigil, con ogni sistema categorizzato correttamente, le sue dipendenze mappate e i suoi obblighi normativi identificati.
Durata stimata: startup 5 settimane / PMI 10 settimane / grande impresa 20 settimane
Attivazione e configurazione dei framework
I framework normativi applicabili a ciascun sistema di IA vengono attivati in base ai risultati della classificazione. Da lì:
- I controlli vengono configurati e gli obblighi validati rispetto al livello di rischio e al ruolo di ciascun sistema
- La deduplicazione tra framework garantisce che i requisiti comuni ad AI Act, ISO 42001 e NIST AI RMF vengano tracciati una sola volta, mai in doppio
- I flussi di raccolta delle evidenze vengono impostati: documenti esistenti collegati ai controlli corretti, lacune identificate, processi continuativi di raccolta, revisione e approvazione messi in piedi
Questa fase si chiude con ogni sistema collegato ai suoi controlli applicabili e un quadro chiaro di ciò che resta da fare prima di essere pronti per l’audit.
Durata stimata: startup 5 settimane / PMI 10 settimane / grande impresa 15 settimane
Onboarding e formazione del team
Viene erogato un programma di formazione strutturato, adattato a ogni ruolo della vostra organizzazione di governance:
- Gli amministratori della piattaforma imparano configurazione, gestione degli utenti e reportistica
- I responsabili dei sistemi e i valutatori dei controlli completano le prime valutazioni in workshop pratici, si esercitano nel caricamento e collegamento delle evidenze e percorrono da un capo all’altro il flusso di revisione e approvazione
- I responsabili compliance e i membri dei comitati seguono sessioni su lettura delle dashboard, monitoraggio del completamento e navigazione dell’audit trail
I processi interni di governance e le procedure operative vengono documentati direttamente nella piattaforma. Il vostro team resta con un riferimento unico su come condurre valutazioni, escalation e revisioni dopo il passaggio di consegne.
Durata stimata: startup 2,5 settimane / PMI 5 settimane / grande impresa 10 settimane
Revisione pre-produzione e passaggio di consegne
Un audit completo della configurazione copre ogni livello dell’implementazione:
- Sistemi di IA registrati con la classificazione corretta
- Framework attivati con controlli calibrati correttamente
- Flussi di raccolta delle evidenze operativi
- Permessi e ruoli del team assegnati correttamente
Un controllo della mappatura normativa conferma che nessun obbligo sia stato trascurato o collegato male. Il vostro responsabile della governance percorre una checklist di prontezza: completezza della documentazione, avanzamento delle valutazioni e integrità dell’audit trail.
La fase si conclude con un’approvazione formale che conferma che la piattaforma è pronta per la produzione, e con un documento di passaggio di consegne che riassume la configurazione, i punti aperti e le raccomandazioni per l’esercizio corrente.
Durata stimata: startup 2,5 settimane / PMI 5 settimane / grande impresa 10 settimane
Implementazione dell'AI Act: tre modelli di esecuzione a confronto
Le organizzazioni affrontano la conformità all’AI Act con tre modelli di esecuzione, con profili di costo e rischio diversi:
- Progetti interni. Il costo diretto più basso, la curva di apprendimento più ripida. I team nuovi alla normativa sull’IA passano di norma il primo trimestre a mappare definizioni e obblighi prima di produrre un solo artefatto.
- Incarichi di pura consulenza. Gap report dettagliati e raccomandazioni, ma il lavoro di implementazione (costruzione del registro, configurazione dei controlli, raccolta delle evidenze) ricade comunque sui team interni quando i consulenti se ne vanno.
- Implementazione dell’AI Act guidata dalla piattaforma. Partner senior che consegnano dentro la piattaforma: sistemi di IA registrati, framework attivati, controlli configurati, evidenze acquisite, tutto in un ambiente di lavoro che il vostro team continua a usare dopo il passaggio di consegne.
Il risultato: un’implementazione dell’AI Act che produce una conformità in esercizio, non un deliverable una tantum.
Rispettare le scadenze dell'alto rischio
Il livello dell’AI Act che la maggior parte dei team sottovaluta è l’alto rischio: i casi d’uso dell’allegato III (occupazione, istruzione, infrastrutture critiche, attività di contrasto, categorizzazione biometrica) portano con sé l’elenco di obblighi più lungo e i requisiti di documentazione più stringenti e, dalla modifica del Digital Omnibus di luglio 2026, si applicano integralmente dal 2 dicembre 2027 (2 agosto 2028 per i sistemi integrati in prodotti dell’allegato I).
L’implementazione dell’AI Act, in questo formato, lavora a ritroso da quella scadenza. Classificazione dei rischi, documentazione tecnica, preparazione alla valutazione della conformità, impostazione del monitoraggio post-commercializzazione e flussi di segnalazione degli incidenti gravi vengono sequenziati in un piano che il vostro team può davvero eseguire.
Il perimetro dell’incarico è dimensionato sul vostro portafoglio: un deployer con tre sistemi ad alto rischio non è lo stesso progetto di un fornitore che si prepara a una valutazione della conformità, e la forma dell’incarico lo riflette.