conformitàai act.

1. cos'è l'ai act e perché ci riguarda

Il Regolamento (UE) 2024/1689 · comunemente noto come AI Act · è la prima cornice normativa al mondo che disciplina in modo organico lo sviluppo, l'immissione sul mercato e l'uso dei sistemi di intelligenza artificiale nell'Unione Europea. È entrato in vigore il 1 agosto 2024 con applicazione progressiva: divieti dal 2 febbraio 2025, obblighi di trasparenza e modelli GPAI dal 2 agosto 2025, regime generale dal 2 agosto 2026. BE LEAD progetta, integra e fornisce soluzioni basate su AI per aziende italiane ed europee: di conseguenza opera nel perimetro del Regolamento sia come deployer (utilizzatore professionale di sistemi AI di terzi) sia come provider downstream (integratore che combina modelli generativi in flussi propri).

2. ruolo di be lead ai sensi del regolamento

• →Deployer (art. 3, par. 4): utilizziamo sotto la nostra autorità sistemi di AI di terzi (ChatGPT, Claude, Gemini, Midjourney, RunwayML, ElevenLabs, n8n e simili) per produrre deliverable per i clienti.
• →Provider downstream / integratore: integriamo modelli General Purpose AI (GPAI) in agenti, chatbot e workflow personalizzati offerti ai clienti come servizio o consegnati come asset.
• →Non sviluppiamo modelli di base proprietari e non immettiamo sul mercato sistemi AI ad alto rischio ai sensi dell'Allegato III: i nostri casi d'uso ricadono nelle categorie rischio limitato e rischio minimo.

3. classificazione del rischio dei nostri sistemi

• →Pratiche vietate (art. 5): nessun nostro servizio rientra nei sistemi proibiti · non eseguiamo social scoring, manipolazione subliminale, riconoscimento delle emozioni in contesti lavorativi/scolastici, scraping non mirato di volti, identificazione biometrica remota in tempo reale.
• →Alto rischio (Allegato III): non forniamo sistemi destinati a infrastrutture critiche, istruzione, occupazione, accesso a servizi essenziali, attività di law enforcement, giustizia o processi democratici.
• →Rischio limitato (art. 50): chatbot, generazione di testi/immagini/video sintetici, voice cloning. Sono i casi d'uso più frequenti del nostro lavoro e sono coperti dagli obblighi di trasparenza descritti al punto 4.
• →Rischio minimo: produttività interna, ricerca, sintesi documentale, assistenza al coding. Nessun obbligo specifico oltre alle buone pratiche.

4. obblighi di trasparenza (art. 50) · come li rispettiamo

• →Interazione con un sistema AI: il chatbot presente sul sito è etichettato in modo chiaro come «sistema AI generativo» nell'intestazione e nel messaggio di benvenuto. L'utente è informato in modo non ambiguo che non sta dialogando con una persona fisica.
• →Contenuti sintetici (testo, immagine, audio, video): i deliverable consegnati ai clienti che contengono output generato in tutto o in parte da AI sono accompagnati da una nota di trasparenza nel documento di consegna e, dove tecnicamente possibile, da metadati machine-readable (C2PA / Content Credentials) o watermark.
• →Deepfake: non produciamo materiale che ritragga persone reali, eventi reali o luoghi reali in modo realisticamente alterato senza esplicita autorizzazione scritta del soggetto e disclaimer visibile.
• →Contenuti informativi di pubblico interesse: testi pubblicati su questo sito (blog, risorse) che siano stati redatti o assistiti in modo sostanziale da AI riportano una nota in calce.
• →Voice cloning: utilizzato esclusivamente con consenso espresso del titolare della voce e con disclosure nei materiali finali.

5. ai literacy del personale (art. 4)

Dal 2 febbraio 2025 chiunque utilizzi sistemi di AI nell'esercizio della propria attività professionale deve garantire un livello adeguato di alfabetizzazione AI delle persone coinvolte. BE LEAD mantiene un piano interno di formazione continua su: funzionamento dei modelli generativi, limiti e bias, prompt engineering responsabile, riconoscimento delle allucinazioni, protezione dei dati personali nei prompt, normativa GDPR + AI Act. La formazione è erogata al titolare e a ogni collaboratore esterno coinvolto in progetti che utilizzano AI, con verifica annuale.

6. modelli gpai utilizzati e fornitori

• →OpenAI (GPT-4o, GPT-5, modelli o-series) · fornitore soggetto agli obblighi GPAI dal 2 agosto 2025.
• →Anthropic (Claude 3.5 / 4 Sonnet, Opus) · fornitore GPAI.
• →Google DeepMind (Gemini 1.5 / 2.x / 3 Flash e Pro) · fornitore GPAI, anche tramite Lovable AI Gateway.
• →Meta (Llama 3.x / 4) · fornitore GPAI.
• →Black Forest Labs (FLUX), Midjourney, Stability AI, RunwayML, ElevenLabs · fornitori per generazione di immagini, video e voce.
• →Verifichiamo che ciascun fornitore renda disponibile la propria policy di copyright, il sommario dei dati di addestramento e · per i modelli a rischio sistemico · la documentazione tecnica richiesta dall'art. 53. Selezioniamo esclusivamente fornitori che dichiarino conformità o impegno alla conformità all'AI Act.

7. protezione dei dati personali nei prompt (gdpr + ai act)

Non inseriamo dati personali identificabili dei clienti o di terzi nei prompt dei modelli generativi senza una base giuridica adeguata e · quando richiesto · senza un Data Processing Agreement firmato con il provider del modello. Utilizziamo versioni enterprise dei tool (OpenAI Enterprise, Anthropic for Work, Google Workspace AI) che escludono i dati dai dataset di training. Per i progetti che richiedono trattamento di dati sensibili applichiamo pseudonimizzazione preventiva o eseguiamo l'elaborazione su modelli ospitati in UE.

8. diritto di reclamo e contatto del referente ai

Ogni utente, cliente o interessato può chiedere chiarimenti sull'uso dell'AI nei propri progetti, richiedere l'esclusione dei propri dati da elaborazioni assistite da AI o segnalare un possibile non-conformità. Il referente interno è il titolare Gianluca Benvegnù, contattabile a beleadcreativestudio@proton.me. I reclami sono valutati entro 30 giorni. Resta impregiudicato il diritto di rivolgersi all'AI Office europeo (digit-ai-office@ec.europa.eu) o al Garante per la protezione dei dati personali per profili di liceità del trattamento.

9. aggiornamento e monitoraggio normativo

Questa informativa è rivista almeno semestralmente e ogniqualvolta entri in applicazione una nuova scadenza dell'AI Act, vengano pubblicati atti delegati, codici di condotta GPAI o linee guida della Commissione e dell'AI Office. Le modifiche significative sono indicate in cima alla pagina insieme alla data di ultimo aggiornamento.

11. piano di alfabetizzazione ai (art. 4)

12. governance interna

• →Referente AI: Gianluca Benvegnù (titolare) · unico punto di contatto per reclami e audit.
• →Registro dei sistemi AI: questa pagina è la versione pubblica; la versione interna include prompt template, DPA e date di revisione.
• →Policy d'uso AI: divieto di dati personali non pseudonimizzati nei prompt, obbligo di revisione umana, divieto di uso in ambiti ad alto rischio.
• →Incident management: ogni malfunzionamento o output dannoso viene registrato entro 48h con causa, impatto e azione correttiva.
• →Revisione: audit interno semestrale (giugno/dicembre) e straordinario a ogni nuova scadenza del Regolamento.

13. checklist di qualifica dei fornitori ai

1. 01Il fornitore dichiara conformità (o piano di conformità) all'AI Act e pubblica la policy di copyright?
2. 02È disponibile il sommario dei dati di addestramento richiesto dall'art. 53?
3. 03Esiste un DPA GDPR firmabile e i dati sono esclusi dal training di default?
4. 04Dove risiedono i dati (UE / extra-UE) e con quali garanzie di trasferimento?
5. 05Il modello è classificato a rischio sistemico? In tal caso è disponibile la documentazione tecnica?
6. 06Il fornitore supporta marcatura machine-readable degli output (C2PA, watermark, metadati)?
7. 07Sono documentati limiti d'uso, bias noti e casi d'uso vietati?
8. 08Esistono SLA, canale di segnalazione incidenti e cronologia delle modifiche al modello?

14. piano d'azione e scadenze

15. domande frequenti