Intelligenza artificiale · Avanzato
Master AI Act e Governance dell'IA in azienda
Dalla mappatura dei sistemi alla conformità: costruisci un sistema di governance dell'intelligenza artificiale che regge a un audit
- 20 ore e 45 minutidurata
- 26lezioni
- 40domande nel test
- Gratissempre
Cosa saprai fare
- Costruire e mantenere l'inventario dei sistemi di IA dell'organizzazione, compresa l'IA non autorizzata (shadow AI)
- Classificare un sistema di IA per livello di rischio e ruolo (provider, deployer, importatore, distributore) con motivazione documentata
- Applicare gli obblighi dei sistemi ad alto rischio e quelli dei deployer, inclusi FRIA, DPIA, sorveglianza umana e registri
- Impostare contratti, due diligence e controlli sui fornitori di IA e sui modelli di uso generale
- Progettare un sistema di governance dell'IA con ruoli, policy, comitato, controlli e indicatori, allineato a ISO/IEC 42001
- Gestire formazione, alfabetizzazione all'IA, incidenti e rapporti con le autorità di vigilanza
- Pianificare e presentare al vertice una roadmap di conformità a 12 mesi con priorità, budget e KPI
Il percorso completo per chi in azienda deve rendere conforme e governabile l'intelligenza artificiale: compliance, legale, privacy, IT, HR, risk management, innovazione. Parti dall'architettura del Regolamento (UE) 2024/1689 con le date aggiornate dal Digital Omnibus (Reg. UE 2026/1744) e dal quadro italiano (L. 132/2025), impari a inventariare e classificare i sistemi, a gestire gli obblighi di provider e deployer, a integrare GDPR, ISO/IEC 42001 e gestione del rischio, e chiudi con una roadmap a 12 mesi. Ogni lezione contiene metodo, esempi e modelli applicabili subito, un caso, una checklist e i trucchi del mestiere raccolti in appendice.
Il programma
Modulo 1 · Il quadro normativo
- Architettura dell'AI Act e calendario aggiornato — Come è costruito il Regolamento (UE) 2024/1689, quali date valgono davvero dopo il Digital Omnibus e perché «rinviato» non significa «fermo».
- Che cosa è un sistema di IA: definizione, perimetro, esclusioni — Dalla definizione dell'art. 3 a un test in cinque domande per decidere se un software è davvero un sistema di IA e se il Regolamento lo riguarda.
- Ruoli nella filiera: provider, deployer, importatore, distributore — Gli obblighi dell'AI Act seguono il ruolo, e il ruolo cambia con i fatti. Impara a identificarlo e a riconoscere quando un deployer diventa provider senza accorgersene.
- Il quadro italiano ed europeo integrato — L'AI Act non vive da solo: legge 132/2025, GDPR, NIS2, DORA, responsabilità del produttore e diritto del lavoro formano un unico perimetro. Impara a leggerli insieme.
Modulo 2 · Inventario e classificazione del rischio
- Costruire l'inventario dei sistemi di IA (e scovare la shadow AI) — Non si governa ciò che non si vede: come progettare il registro dei sistemi di IA, trovare gli usi nascosti e mantenerlo vivo con regole di ingresso semplici.
- Pratiche vietate: l'art. 5 applicato ai processi aziendali — Dal 2 febbraio 2025 alcune pratiche sono vietate e la sanzione arriva a 35 milioni di euro: impara a riconoscerle nei processi di HR, vendite e customer care prima che le trovi un'autorità.
- Sistemi ad alto rischio: Allegati I e III e la deroga dell'art. 6, par. 3 — Come stabilire se un sistema è ad alto rischio, quando la deroga funziona davvero e come scrivere una motivazione di classificazione che regge a un controllo.
- Trasparenza e rischio limitato: l'art. 50 in azienda — Chatbot, voci sintetiche, immagini generate e deepfake: chi deve informare chi, che cosa va marcato, quali eccezioni valgono e come organizzare il processo editoriale.
Modulo 3 · Sistemi ad alto rischio: gli obblighi del provider
- Il sistema di gestione del rischio (art. 9) — Come costruire un processo di gestione del rischio continuo per un sistema ad alto rischio: dall'identificazione dei danni ai diritti fondamentali ai test, alla decisione sul rischio residuo.
- Dati, documentazione tecnica e registri (artt. 10-12) — Governance dei dati di addestramento, struttura del fascicolo tecnico dell'Allegato IV e progettazione dei log: i tre pilastri probatori di un sistema ad alto rischio.
- Istruzioni d'uso, sorveglianza umana, accuratezza e cybersicurezza (artt. 13-15) — Come rendere un sistema comprensibile a chi lo usa, progettare una supervisione umana che non sia un timbro, e dichiarare e difendere accuratezza, robustezza e sicurezza.
- Valutazione di conformità, QMS, marcatura CE, monitoraggio e incidenti — Il percorso completo del provider verso l'immissione sul mercato: sistema di gestione della qualità, valutazione di conformità, dichiarazione e registrazione, e poi monitoraggio e segnalazione degli incidenti.
Modulo 4 · Il deployer: usare l'IA di terzi
- Gli obblighi del deployer (art. 26) e i contratti con i fornitori — Che cosa deve fare un'azienda che usa un sistema ad alto rischio acquistato da terzi, come fare la due diligence sul fornitore e quali clausole trasformano gli obblighi in controlli verificabili.
- La valutazione d'impatto sui diritti fondamentali (FRIA) e la DPIA — Chi deve fare la FRIA (art. 27), che cosa deve contenere, come integrarla con la DPIA del GDPR in un'unica valutazione e come presentarla all'autorità.
- L'IA nel rapporto di lavoro: selezione, gestione, monitoraggio — Il terreno in cui AI Act, GDPR, Statuto dei lavoratori e legge 132/2025 si incontrano: come usare l'IA in HR senza decisioni solo automatizzate, controlli illeciti o violazioni dell'informativa.
- IA generativa e modelli per finalità generali (GPAI) in azienda — Che cosa devono fare i fornitori di modelli, che cosa devi chiedere loro e come scrivere una policy d'uso dell'IA generativa che le persone seguano davvero: dati, verifica, proprietà intellettuale, agenti.
Modulo 5 · Governance e sistema di gestione
- Il modello di governance: ruoli, comitato, policy e diritti di decisione — Chi decide che cosa sull'IA in azienda: tre linee di difesa, comitato, responsabile della governance, matrice RACI, livelli di approvazione per fascia di rischio e una gerarchia di documenti che si possa applicare.
- ISO/IEC 42001, NIST AI RMF e mappatura con l'AI Act — Gli standard che danno struttura alla governance: che cosa richiede ISO/IEC 42001, come si usa il NIST AI RMF, che cosa coprono (e che cosa no) rispetto all'AI Act e come si arriva alla certificazione.
- Implementare e certificare la ISO/IEC 42001: dalla gap analysis all'audit — Il laboratorio operativo dello standard: perimetro, dichiarazione di applicabilità, valutazione del rischio e dell'impatto, audit interno, riesame di direzione, integrazione con ISO 27001 e preparazione all'audit di certificazione.
- Gestione operativa del rischio: test, bias, monitoraggio e red teaming — Dal documento alla pratica: quali test fare prima del rilascio, come monitorare deriva ed equità in produzione, come si conduce un red teaming e come si gestiscono modifiche e dismissione.
- AI literacy e cultura: formare per ruolo e dimostrarlo — L'art. 4 oggi chiede di adottare misure per favorire l'alfabetizzazione all'IA: come progettare un programma per ruolo, che evidenze conservare e come far diventare le regole un comportamento.
Modulo 6 · Responsabilità, vigilanza e implementazione
- Sanzioni e responsabilità: AI Act, civile, penale, 231 e amministratori — Quanto costa sbagliare: le tre fasce di sanzioni dell'art. 99, la nuova responsabilità del produttore per software e IA, i profili penali e il modello 231, e come costruire una posizione difendibile.
- Vigilanza, ispezioni, incidenti e spazi di sperimentazione normativa — Come si presenta un'azienda a un'autorità di vigilanza: poteri, diritti delle persone, kit di preparazione alle ispezioni, coordinamento delle segnalazioni di incidente e uso dei sandbox.
- La roadmap di implementazione: 30, 90, 180 e 365 giorni — Dal programma teorico al piano eseguibile: priorità, tappe, risorse, budget, indicatori e gestione del cambiamento per portare un'azienda in conformità senza paralizzarla.
- Project work finale: dal quadro normativo al programma dell'azienda — Un caso integrato che mette insieme l'intero percorso: ruoli, classificazione, obblighi, contratti, governance, incidenti e roadmap. Con griglia di autovalutazione e uno sguardo all'evoluzione della materia.
In appendice: Trucchi del mestiere, 50 accorgimenti operativi dal lavoro sul campo.
Il docente
Eugenio Damaso, fondatore di eugeniodamaso.it Academy. Slide e dispensa in PDF incluse; test finale con attestato e Open Badge.
Programma
-
1
Architettura dell'AI Act e calendario aggiornato
Come è costruito il Regolamento (UE) 2024/1689, quali date valgono davvero dopo il Digital Omnibus e perché «rinviato» non significa «fermo».
-
2
Che cosa è un sistema di IA: definizione, perimetro, esclusioni
Dalla definizione dell'art. 3 a un test in cinque domande per decidere se un software è davvero un sistema di IA e se il Regolamento lo riguarda.
-
3
Ruoli nella filiera: provider, deployer, importatore, distributore
Gli obblighi dell'AI Act seguono il ruolo, e il ruolo cambia con i fatti. Impara a identificarlo e a riconoscere quando un deployer diventa provider senza accorgersene.
-
4
Il quadro italiano ed europeo integrato
L'AI Act non vive da solo: legge 132/2025, GDPR, NIS2, DORA, responsabilità del produttore e diritto del lavoro formano un unico perimetro. Impara a leggerli insieme.
-
5
Costruire l'inventario dei sistemi di IA (e scovare la shadow AI)
Non si governa ciò che non si vede: come progettare il registro dei sistemi di IA, trovare gli usi nascosti e mantenerlo vivo con regole di ingresso semplici.
-
6
Pratiche vietate: l'art. 5 applicato ai processi aziendali
Dal 2 febbraio 2025 alcune pratiche sono vietate e la sanzione arriva a 35 milioni di euro: impara a riconoscerle nei processi di HR, vendite e customer care prima che le trovi un'autorità.
-
7
Sistemi ad alto rischio: Allegati I e III e la deroga dell'art. 6, par. 3
Come stabilire se un sistema è ad alto rischio, quando la deroga funziona davvero e come scrivere una motivazione di classificazione che regge a un controllo.
-
8
Trasparenza e rischio limitato: l'art. 50 in azienda
Chatbot, voci sintetiche, immagini generate e deepfake: chi deve informare chi, che cosa va marcato, quali eccezioni valgono e come organizzare il processo editoriale.
-
9
Il sistema di gestione del rischio (art. 9)
Come costruire un processo di gestione del rischio continuo per un sistema ad alto rischio: dall'identificazione dei danni ai diritti fondamentali ai test, alla decisione sul rischio residuo.
-
10
Dati, documentazione tecnica e registri (artt. 10-12)
Governance dei dati di addestramento, struttura del fascicolo tecnico dell'Allegato IV e progettazione dei log: i tre pilastri probatori di un sistema ad alto rischio.
-
11
Istruzioni d'uso, sorveglianza umana, accuratezza e cybersicurezza (artt. 13-15)
Come rendere un sistema comprensibile a chi lo usa, progettare una supervisione umana che non sia un timbro, e dichiarare e difendere accuratezza, robustezza e sicurezza.
-
12
Valutazione di conformità, QMS, marcatura CE, monitoraggio e incidenti
Il percorso completo del provider verso l'immissione sul mercato: sistema di gestione della qualità, valutazione di conformità, dichiarazione e registrazione, e poi monitoraggio e segnalazione degli incidenti.
-
13
Gli obblighi del deployer (art. 26) e i contratti con i fornitori
Che cosa deve fare un'azienda che usa un sistema ad alto rischio acquistato da terzi, come fare la due diligence sul fornitore e quali clausole trasformano gli obblighi in controlli verificabili.
-
14
La valutazione d'impatto sui diritti fondamentali (FRIA) e la DPIA
Chi deve fare la FRIA (art. 27), che cosa deve contenere, come integrarla con la DPIA del GDPR in un'unica valutazione e come presentarla all'autorità.
-
15
L'IA nel rapporto di lavoro: selezione, gestione, monitoraggio
Il terreno in cui AI Act, GDPR, Statuto dei lavoratori e legge 132/2025 si incontrano: come usare l'IA in HR senza decisioni solo automatizzate, controlli illeciti o violazioni dell'informativa.
-
16
IA generativa e modelli per finalità generali (GPAI) in azienda
Che cosa devono fare i fornitori di modelli, che cosa devi chiedere loro e come scrivere una policy d'uso dell'IA generativa che le persone seguano davvero: dati, verifica, proprietà intellettuale, agenti.
-
17
Il modello di governance: ruoli, comitato, policy e diritti di decisione
Chi decide che cosa sull'IA in azienda: tre linee di difesa, comitato, responsabile della governance, matrice RACI, livelli di approvazione per fascia di rischio e una gerarchia di documenti che si possa applicare.
-
18
ISO/IEC 42001, NIST AI RMF e mappatura con l'AI Act
Gli standard che danno struttura alla governance: che cosa richiede ISO/IEC 42001, come si usa il NIST AI RMF, che cosa coprono (e che cosa no) rispetto all'AI Act e come si arriva alla certificazione.
-
19
Implementare e certificare la ISO/IEC 42001: dalla gap analysis all'audit
Il laboratorio operativo dello standard: perimetro, dichiarazione di applicabilità, valutazione del rischio e dell'impatto, audit interno, riesame di direzione, integrazione con ISO 27001 e preparazione all'audit di cer…
-
20
Gestione operativa del rischio: test, bias, monitoraggio e red teaming
Dal documento alla pratica: quali test fare prima del rilascio, come monitorare deriva ed equità in produzione, come si conduce un red teaming e come si gestiscono modifiche e dismissione.
-
21
AI literacy e cultura: formare per ruolo e dimostrarlo
L'art. 4 oggi chiede di adottare misure per favorire l'alfabetizzazione all'IA: come progettare un programma per ruolo, che evidenze conservare e come far diventare le regole un comportamento.
-
22
Sanzioni e responsabilità: AI Act, civile, penale, 231 e amministratori
Quanto costa sbagliare: le tre fasce di sanzioni dell'art. 99, la nuova responsabilità del produttore per software e IA, i profili penali e il modello 231, e come costruire una posizione difendibile.
-
23
Vigilanza, ispezioni, incidenti e spazi di sperimentazione normativa
Come si presenta un'azienda a un'autorità di vigilanza: poteri, diritti delle persone, kit di preparazione alle ispezioni, coordinamento delle segnalazioni di incidente e uso dei sandbox.
-
24
La roadmap di implementazione: 30, 90, 180 e 365 giorni
Dal programma teorico al piano eseguibile: priorità, tappe, risorse, budget, indicatori e gestione del cambiamento per portare un'azienda in conformità senza paralizzarla.
-
25
Project work finale: dal quadro normativo al programma dell'azienda
Un caso integrato che mette insieme l'intero percorso: ruoli, classificazione, obblighi, contratti, governance, incidenti e roadmap. Con griglia di autovalutazione e uno sguardo all'evoluzione della materia.
-
26
Appendice · Trucchi del mestiere
Gli accorgimenti che non trovi nei manuali: come far emergere l'IA nascosta, come scrivere una classificazione che regge a un'ispezione, come negoziare con i fornitori e come far approvare il budget. Ciascuno spiega anc…
-
Test finale
40 domande, si supera con il 85%, 48 minuti, fino a 3 tentativi.
A chi è rivolto
Responsabili compliance, legali d'impresa, DPO, risk manager, CISO e responsabili IT, HR manager, innovation e product manager, consulenti e professionisti che devono guidare o supportare l'adeguamento all'AI Act e costruire la governance dell'IA nella propria organizzazione.