C'è una convinzione diffusa e sbagliata: che la documentazione tecnica dei sistemi di IA serva a superare i controlli. Serve a quello, certo. Ma con le novità italiane di agosto 2026 è diventata soprattutto un'altra cosa: materiale probatorio.
I decreti attuativi della legge 132/2025 approvati il 4 agosto 2026 prevedono, fra le tutele civilistiche per chi subisce un danno, l'accesso alla documentazione tecnica, meccanismi di presunzione sul nesso causale, un foro alternativo vicino alla residenza della vittima e l'azione diretta verso l'assicuratore.
Tradotto senza giri: quello che scrivi oggi potrà essere letto da chi domani ti fa causa. E quello che non hai scritto, peserà comunque.
Cosa prevede l'AI Act per i sistemi ad alto rischio
Per i sistemi ad alto rischio la documentazione tecnica è un obbligo strutturato, applicabile dal 2 dicembre 2027 per l'Allegato III e dal 2 agosto 2028 per l'Allegato I. In sintesi deve permettere di dimostrare la conformità e contenere: descrizione generale del sistema e finalità prevista; elementi di progettazione e architettura; dati e dataset usati per addestramento, validazione e test, con criteri e verifiche sui bias; misure di sorveglianza umana; metriche di accuratezza e robustezza; misure di cibersicurezza; sistema di gestione dei rischi; registrazione automatica degli eventi.
A cui si aggiungono le istruzioni per l'uso destinate al deployer, che sono l'atto con cui il fornitore delimita l'impiego corretto — e quindi anche la propria responsabilità.
Perché conservare anche se non sei ad alto rischio
Perché il contenzioso non aspetta il 2027. Se un tuo sistema causa un danno a qualcuno domani, la discussione si farà con le regole civili, e la posizione di chi non ha traccia di nulla è pessima.
Il minimo sindacale per qualsiasi sistema che produce effetti su persone o su decisioni economiche: descrizione della finalità, versioni e date di rilascio, limiti noti e comunicati, istruzioni date agli utilizzatori, log delle operazioni rilevanti, tracciamento delle verifiche umane.
Sono cose che chi sviluppa in modo serio ha già. Il problema è che spesso stanno sparse fra ticket, chat e teste di persone che poi cambiano lavoro.
I log: il documento più sottovalutato
La registrazione automatica degli eventi è un requisito dell'alto rischio, ma è utile a chiunque. Un log che dice cosa ha prodotto il sistema, quando, su quale input e chi ha rivisto l'output è la prova più forte che puoi avere, in entrambe le direzioni.
Due avvertenze pratiche. Primo: i log contengono spesso dati personali, quindi vanno gestiti con base giuridica, tempi di conservazione e accessi limitati. Secondo: un log che nessuno guarda mai è un log che, il giorno del problema, rivelerà cose che avresti dovuto notare mesi prima.
La sorveglianza umana va documentata, non dichiarata
"C'è sempre una revisione umana" è una frase che in un contenzioso vale zero. Quello che vale è: chi ha rivisto, quando, con quale esito, con quale possibilità concreta di modificare l'output.
Basta poco: un campo nel sistema che registra la revisione, oppure una procedura scritta che assegna il compito a un ruolo specifico. Ma qualcosa deve esistere.
Cosa mettere via oggi, in pratica
Se sviluppi: descrizione del sistema e finalità, provenienza e criteri dei dati, versioni con date, test eseguiti e risultati, limiti noti, istruzioni per l'uso consegnate ai clienti, misure di sicurezza adottate con la data di adozione — quest'ultima diventata più rilevante da quando esiste l'articolo 437-bis del codice penale sull'omessa adozione di misure di sicurezza nei sistemi ad alto rischio.
Se usi soltanto: contratto e istruzioni ricevute dal fornitore, valutazione del ruolo e della classificazione, evidenze della trasparenza applicata, registro della formazione, log conservati per il periodo che ti sei dato.
Il criterio per capire se basta
Immagina che fra due anni una persona ti contesti una decisione presa con quel sistema, e che possa chiedere di vedere le tue carte. Quello che hai oggi racconta una storia coerente, con date, o è un insieme di pezzi che qualcuno dovrà ricostruire a memoria?
Se è la seconda, sai cosa fare questa settimana.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
La documentazione non serve a fare bella figura con l'autorità. Serve il giorno in cui qualcuno chiede conto — e quel giorno, o ce l'hai o non ce l'hai.
Domande frequenti
Devo tenere la documentazione anche se compro il sistema da altri?
Sì, quella che riguarda il tuo ruolo: contratto, istruzioni per l'uso ricevute, valutazioni fatte, evidenze di trasparenza, formazione e log delle revisioni umane.
Per quanto tempo va conservata?
Per i sistemi ad alto rischio il regolamento prevede periodi di conservazione specifici per documentazione e log. Per gli altri casi vale il criterio pratico dei termini di prescrizione delle possibili contestazioni.
I log possono essere richiesti in giudizio?
Le tutele civilistiche introdotte in Italia con i decreti attuativi prevedono l'accesso alla documentazione tecnica per il danneggiato. È un elemento in più per tenere tracce ordinate e complete.