Dal 2 agosto 2026 in Italia la vigilanza di mercato sull'AI Act è operativa, e ha un titolare preciso: l'Agenzia per la Cybersicurezza Nazionale, con poteri ispettivi e sanzionatori confermati dai decreti attuativi approvati il 4 agosto 2026. AgID resta autorità di notifica; Banca d'Italia, CONSOB e IVASS mantengono le competenze sui settori vigilati.
La domanda pratica, quindi, non è più "ci controllerà qualcuno". È: cosa mi chiedono, e cosa ho da mostrare?
Come funziona la vigilanza di mercato
Non è un'ispezione fiscale e non somiglia a un accertamento del Garante. La vigilanza di mercato nasce nel mondo della sicurezza dei prodotti: verifica che ciò che sta sul mercato rispetti i requisiti, partendo dalla documentazione.
Il che significa che la partita si gioca quasi tutta su carta. Chi ha un fascicolo ordinato risponde in un'ora; chi non ha niente passa settimane a ricostruire, e la ricostruzione tardiva è sempre meno credibile di un documento con la data giusta.
Le domande prevedibili
Quali sistemi di IA utilizzate e per quali finalità? Serve un elenco, non un discorso. Nome del sistema, fornitore, finalità concreta, chi lo usa, dal quando.
Che ruolo avete rispetto a ciascun sistema? Fornitore, deployer, importatore, distributore. La risposta deve essere motivata, perché da lì discendono tutti gli obblighi.
Come li avete classificati rispetto al rischio? Vietato, alto rischio, trasparenza, minimo. Se ti sei autoclassificato fuori dall'alto rischio, la motivazione va scritta — il Digital Omnibus ha ripristinato la registrazione in banca dati UE anche in quel caso.
Che informazioni date alle persone? Dichiarazione sui chatbot, etichettatura dei contenuti sintetici, informazione delle persone esposte a sistemi biometrici o di riconoscimento delle emozioni.
Che formazione avete erogato? L'articolo 4, nella versione applicabile dal 27 luglio 2026, chiede misure effettive e proporzionate. Servono materiali e registro dei partecipanti.
Quali istruzioni vi ha dato il fornitore, e le rispettate? Per il deployer è un obbligo cardine: uso conforme alle istruzioni.
Il fascicolo da avere pronto
Un raccoglitore, digitale, con sei sezioni. Inventario dei sistemi. Valutazione dei ruoli e classificazione, con date e firma di chi l'ha fatta. Policy interna d'uso dell'IA. Registro formazione. Contratti e istruzioni dei fornitori. Evidenze di trasparenza: screenshot della dichiarazione del chatbot, esempi di contenuti etichettati, informative aggiornate.
Se sei ad alto rischio, la lista si allunga parecchio — documentazione tecnica, gestione dei rischi, governance dei dati, log — ma quella scadenza è il 2 dicembre 2027, e hai tempo per costruirla.
L'errore che costa più di tutti
Rispondere a braccio, o male. Fornire alle autorità informazioni inesatte, incomplete o fuorvianti è una violazione autonoma, sanzionata fino a 7,5 milioni di euro o all'1% del fatturato mondiale.
Quindi la regola è banale: una persona designata risponde, per iscritto, dopo aver verificato. Mai improvvisare, mai minimizzare, mai dire "credo di sì".
Se scopri un problema prima di loro
Rimedia e documenta. Le misure adottate per attenuare il danno e la cooperazione con l'autorità sono criteri espressamente previsti nella determinazione delle sanzioni, e in Italia i decreti attuativi prevedono livelli calibrati e misure alternative non pecuniarie per le violazioni minori.
Un sistema vietato spento a settembre con una nota interna datata vale infinitamente più di un sistema vietato spento a dicembre durante un controllo.
La cosa che vale sempre
Nomina un responsabile interno per l'IA. Non serve una figura nuova a tempo pieno: serve che ci sia un nome accanto alla domanda "chi se ne occupa". Nelle aziende dove quel nome non esiste, il fascicolo non esiste — ed è sempre la stessa storia.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Il controllo non lo passi con l'eloquenza. Lo passi con un raccoglitore ordinato e con le date giuste sopra i documenti.
Domande frequenti
ACN può accedere ai nostri sistemi?
Quale autorità di vigilanza di mercato esercita poteri ispettivi secondo il quadro definito dalla normativa nazionale. In concreto la verifica parte dalla documentazione e dalle informazioni richieste all'operatore.
Devo nominare una figura responsabile?
La normativa non impone una figura specifica per l'impresa utilizzatrice, ma individuare un responsabile interno è la misura organizzativa più efficace per garantire risposte rapide e coerenti.
Quanto tempo ho per rispondere a una richiesta?
I termini sono indicati nella richiesta stessa. La cosa importante è rispondere in modo completo e accurato: informazioni inesatte o fuorvianti costituiscono violazione autonoma.