Checklist AI Act: l'audit interno in 10 verifiche

Martedì abbiamo messo in fila cosa scatta il 2 agosto e cosa slitta; oggi manteniamo la promessa del pezzo operativo. Quella che segue è la checklist che usiamo per l'audit interno rapido, dieci verifiche eseguibili in una settimana da un piccolo gruppo, compliance, IT e un process owner, con una regola che vale per tutte: la risposta non è mai "sì", è un documento. Ogni verifica indica l'evidenza che la chiude, perché un audit senza evidenze è un sondaggio, e i sondaggi il 2 agosto non difendono nessuno.

Le fondamenta: sapere cosa avete

Verifica 1, l'inventario. Esiste un registro dei sistemi AI, completo di quelli incorporati nei prodotti dei fornitori e di quelli entrati dal basso senza approvazione? Evidenza: il registro con data di ultimo aggiornamento e owner. Il test di completezza più rapido resta il confronto con la realtà: un giro con IT sui log di rete e sulle spese in nota trova quasi sempre sistemi che il registro ignora.

Verifica 2, la classificazione. Ogni sistema del registro ha una classificazione di rischio con motivazione scritta, non solo un'etichetta? Evidenza: la scheda di classificazione per sistema. La motivazione è ciò che trasforma un'opinione in una posizione difendibile, ed è anche ciò che vi dice a quali sistemi si applica il rinvio al 2027.

Verifica 3, le pratiche vietate. Qualcuno ha verificato formalmente che nessun sistema ricada nelle pratiche proibite, dal social scoring al riconoscimento delle emozioni sul lavoro? Evidenza: il verbale della verifica, con perimetro e data. È l'unico punto della lista dove il massimale sanzionatorio è il più alto e la tolleranza è zero.

Gli obblighi che scattano adesso

Verifica 4, la trasparenza verso le persone. I sistemi che interagiscono con clienti o dipendenti si dichiarano come AI? Evidenza: gli screenshot delle interfacce, raccolti sistema per sistema. Verifica 5, i contenuti generati. I contenuti prodotti o manipolati dall'AI che pubblicate sono riconoscibili come tali, con un piano per la marcatura machine-readable esigibile da dicembre? Evidenza: la policy sui contenuti e gli esempi marcati. Verifica 6, l'alfabetizzazione. L'obbligo dell'articolo 4 ha evidenze: chi è stato formato, su cosa, quando, con quale copertura rispetto a chi opera i sistemi? Evidenza: il piano formativo e i registri di partecipazione. Sono le tre verifiche più visibili dall'esterno, e per questo le prime che un'autorità o un segnalante possono testare senza nemmeno entrare in azienda.

La filiera e la tenuta nel tempo

Verifica 7, i ruoli. Per ogni sistema è scritto chi ne risponde, e la catena arriva a un punto unico che risponde al vertice? Evidenza: la matrice delle responsabilità. Verifica 8, i fornitori. Per i sistemi acquistati, avete la documentazione del provider, la sua classificazione, le clausole che vi servono per i vostri adempimenti di deployer? Evidenza: il fascicolo fornitore per i sistemi principali; le domande da cui partire le abbiamo pubblicate parlando di valutazione dei vendor. Verifica 9, i dati. Gli usi AI dei dati personali hanno base giuridica documentata e, dove serve, DPIA? Evidenza: il registro trattamenti aggiornato con gli usi AI, perché il GDPR non ha aspettato l'AI Act e la multa da 15 milioni al provider di ChatGPT (Garante, dicembre 2024) lo ha ricordato a tutti. Verifica 10, i log e il piano. I sistemi rilevanti conservano tracce delle proprie operazioni, e per quelli da Allegato III esiste la roadmap scritta verso dicembre 2027? Evidenza: la policy di logging e il piano con date e owner.

Come leggere il punteggio

Dieci verifiche, dieci evidenze: il conteggio di quelle che avete è la vostra fotografia, e la scala di lettura che usiamo è schietta. Sotto quattro, il problema precede l'AI Act: l'organizzazione non sa cosa possiede, e si riparte dall'inventario. Tra quattro e sette, la governance esiste a chiazze, e le settimane fino al 2 agosto bastano per chiudere le verifiche 4, 5 e 6, quelle esposte al pubblico. Da otto in su, siete nella minoranza attrezzata, e il lavoro vero è il piano della verifica 10, perché il rischio, per voi, si chiama coda del 2027 più che scadenza di agosto.

L'onestà impone di dire cosa questa checklist non è: una certificazione di conformità, che nessuna lista da dieci punti può dare, e che noi per primi non promettiamo mai. È lo strumento per sapere dove siete, che è la condizione per decidere dove investire, ed è la stessa logica con cui il nostro AI Rating estende queste dieci verifiche a una gap analysis completa sulla dimensione Risk, con roadmap e priorità: calendly.com/fabiolalli/zerofive, oppure hello@zerofive.ai.

La settimana per eseguirla, da qui al 2 agosto, c'è ancora. Quante delle dieci evidenze potreste mettere sul tavolo stamattina?