--- title: "Checklist AI Act: l'audit interno in 10 verifiche" url: https://zerofive.ai/blog/compliance/checklist-ai-act-audit-interno canonical: https://zerofive.ai/blog/compliance/checklist-ai-act-audit-interno language: it published: 2026-07-09 updated: 2026-09-18 author: "ZeroFive.AI" tags: audit interno AI Act, verifica conformità AI Act, AI Act checklist aziende, gap analysis AI Act, compliance AI Act 2026 abstract: "Dieci verifiche con evidenze per l'audit interno AI Act prima del 2 agosto 2026: registro, classificazione, trasparenza, literacy, fornitori, log. Una settimana di lavoro." --- # Checklist AI Act: l'audit interno in 10 verifiche Martedì abbiamo messo in fila cosa scatta il 2 agosto e cosa slitta; oggi manteniamo la promessa del pezzo operativo. Quella che segue è la checklist che usiamo per l'audit interno rapido, dieci verifiche eseguibili in una settimana da un piccolo gruppo, compliance, IT e un process owner, con una regola che vale per tutte: la risposta non è mai "sì", è un documento. Ogni verifica indica l'evidenza che la chiude, perché un audit senza evidenze è un sondaggio, e i sondaggi il 2 agosto non difendono nessuno. ## Le fondamenta: sapere cosa avete **Verifica 1, l'inventario.** Esiste un registro dei sistemi AI, completo di quelli incorporati nei prodotti dei fornitori e di quelli entrati dal basso senza approvazione? Evidenza: il registro con data di ultimo aggiornamento e owner. Il test di completezza più rapido resta il confronto con la realtà: un giro con IT sui log di rete e sulle spese in nota trova quasi sempre sistemi che il registro ignora. **Verifica 2, la classificazione.** Ogni sistema del registro ha una classificazione di rischio con motivazione scritta, non solo un'etichetta? Evidenza: la scheda di classificazione per sistema. La motivazione è ciò che trasforma un'opinione in una posizione difendibile, ed è anche ciò che vi dice a quali sistemi si applica il rinvio al 2027. **Verifica 3, le pratiche vietate.** Qualcuno ha verificato formalmente che nessun sistema ricada nelle pratiche proibite, dal social scoring al riconoscimento delle emozioni sul lavoro? Evidenza: il verbale della verifica, con perimetro e data. È l'unico punto della lista dove il massimale sanzionatorio è il più alto e la tolleranza è zero. ## Gli obblighi che scattano adesso **Verifica 4, la trasparenza verso le persone.** I sistemi che interagiscono con clienti o dipendenti si dichiarano come AI? Evidenza: gli screenshot delle interfacce, raccolti sistema per sistema. **Verifica 5, i contenuti generati.** I contenuti prodotti o manipolati dall'AI che pubblicate sono riconoscibili come tali, con un piano per la marcatura machine-readable esigibile da dicembre? Evidenza: la policy sui contenuti e gli esempi marcati. **Verifica 6, l'alfabetizzazione.** L'obbligo dell'articolo 4 ha evidenze: chi è stato formato, su cosa, quando, con quale copertura rispetto a chi opera i sistemi? Evidenza: il piano formativo e i registri di partecipazione. Sono le tre verifiche più visibili dall'esterno, e per questo le prime che un'autorità o un segnalante possono testare senza nemmeno entrare in azienda. ## La filiera e la tenuta nel tempo **Verifica 7, i ruoli.** Per ogni sistema è scritto chi ne risponde, e la catena arriva a un punto unico che risponde al vertice? Evidenza: la matrice delle responsabilità. **Verifica 8, i fornitori.** Per i sistemi acquistati, avete la documentazione del provider, la sua classificazione, le clausole che vi servono per i vostri adempimenti di deployer? Evidenza: il fascicolo fornitore per i sistemi principali; le domande da cui partire le abbiamo pubblicate parlando di valutazione dei vendor. **Verifica 9, i dati.** Gli usi AI dei dati personali hanno base giuridica documentata e, dove serve, DPIA? Evidenza: il registro trattamenti aggiornato con gli usi AI, perché il GDPR non ha aspettato l'AI Act e la multa da 15 milioni al provider di ChatGPT (Garante, dicembre 2024) lo ha ricordato a tutti. **Verifica 10, i log e il piano.** I sistemi rilevanti conservano tracce delle proprie operazioni, e per quelli da Allegato III esiste la roadmap scritta verso dicembre 2027? Evidenza: la policy di logging e il piano con date e owner. ## Come leggere il punteggio Dieci verifiche, dieci evidenze: il conteggio di quelle che avete è la vostra fotografia, e la scala di lettura che usiamo è schietta. Sotto quattro, il problema precede l'AI Act: l'organizzazione non sa cosa possiede, e si riparte dall'inventario. Tra quattro e sette, la governance esiste a chiazze, e le settimane fino al 2 agosto bastano per chiudere le verifiche 4, 5 e 6, quelle esposte al pubblico. Da otto in su, siete nella minoranza attrezzata, e il lavoro vero è il piano della verifica 10, perché il rischio, per voi, si chiama coda del 2027 più che scadenza di agosto. L'onestà impone di dire cosa questa checklist non è: una certificazione di conformità, che nessuna lista da dieci punti può dare, e che noi per primi non promettiamo mai. È lo strumento per sapere dove siete, che è la condizione per decidere dove investire, ed è la stessa logica con cui il nostro AI Rating estende queste dieci verifiche a una gap analysis completa sulla dimensione Risk, con roadmap e priorità: calendly.com/fabiolalli/zerofive, oppure hello@zerofive.ai. La settimana per eseguirla, da qui al 2 agosto, c'è ancora. Quante delle dieci evidenze potreste mettere sul tavolo stamattina?