Il Regolamento UE 2024/1689 sull’Intelligenza Artificiale

Adempimenti organizzativi, contrattuali, tecnici e documentali per provider, deployer e professionisti

Destinatari

Il corso si rivolge a Responsabili Compliance, General Counsel, Responsabili Affari Legali, Direttori ICT, CISO, Responsabili Cybersecurity, Responsabili Procurement, Responsabili per l’approvvigionamento di beni e servizi ICT, Responsabili HR, Responsabili della Gestione e dello Sviluppo del Personale, Responsabili Privacy, DPO, Internal Auditor, Risk Manager, Innovation Manager, Data Scientist, Responsabili di prodotto, Avvocati, consulenti ICT, consulenti privacy, consulenti compliance e professionisti coinvolti nella progettazione, acquisto, integrazione, utilizzo o controllo di sistemi di Intelligenza Artificiale.

Finalità

L’obiettivo del corso è fornire ai partecipanti un quadro dettagliato, aggiornato e operativo degli adempimenti in materia di sviluppo, acquisto, utilizzo, integrazione e gestione dei sistemi di Intelligenza Artificiale, onde consentire a imprese, professionisti e funzioni aziendali di comprendere non solo “cosa prevede” l’AI Act, ma soprattutto “cosa fare” per adeguarsi in modo concreto, documentato e sostenibile.

Contenuti

Il quadro regolatorio dell’Intelligenza Artificiale nel 2026

Entrata in vigore, termini di applicabilità e principali scadenze del Regolamento UE n. 2024/1689 sull’Intelligenza Artificiale.
Oggetto, finalità, struttura e ambito di applicazione dell’AI Act.
Le regole già applicabili, gli obblighi operativi nel 2026 e le scadenze successive.
L’impatto del Regiolamento 2026/1744/UE recante il Digital Omnibus sull’AI.
Linee Guida della Commissione europea, AI Office, codici di condotta, AI Act Portal, standard tecnici e buone pratiche.
Il coordinamento con GDPR, cybersecurity, diritto d’autore, disciplina del lavoro, responsabilità civile, contratti ICT e Legge italiana n. 132/2025 sull’IA.

Sistemi di IA, modelli GPAI, AI generativa e agenti di IA
Le diverse tipologie di Intelligenza Artificiale e le modalità di addestramento, sviluppo, integrazione e utilizzo nei processi aziendali.
Differenze tra modelli di IA, sistemi di IA, modelli a scopo generale, sistemi basati su GPAI, chatbot, copiloti, strumenti di AI generativa e AI agents.
Le principali definizioni giuridiche, tecnologiche, commerciali ed etiche rilevanti per imprese e professionisti.
Shadow AI, allucinazioni, bias, inaccuratezza, leakage informativo, riutilizzo dei dati, autonomia degli agenti IA e supervisione umana.

Ruoli, responsabilità e approccio basato sul rischio
Provider, deployer, distributori, importatori, rappresentanti autorizzati, product manufacturer, system integrator e altri operatori della catena del valore.
Ambito di applicazione soggettivo e territoriale dell’AI Act, anche per operatori extra-UE.
La qualificazione del ruolo dell’impresa e il cambio di ruolo in caso di modifica sostanziale, integrazione, rebranding o personalizzazione del sistema IA.
L’approccio risk based: pratiche vietate, sistemi ad alto rischio, sistemi soggetti a obblighi di trasparenza, GPAI e sistemi a rischio limitato o minimo.
Mappatura dei casi d’uso aziendali, inventario dei sistemi IA, classificazione del rischio e registro interno.

Sistemi di IA ad alto rischio
La classificazione dei sistemi di IA ad alto rischio: articolo 6 e Allegato III del Regolamento UE n. 2024/1689.
Biometria, infrastrutture critiche, istruzione, lavoro, accesso a servizi essenziali, giustizia, processi democratici e componenti di sicurezza.
Risk management, data governance, qualità dei dati, bias, documentazione tecnica, logging, trasparenza, accuratezza, robustezza e cybersecurity.
Supervisione umana, sistema di gestione della qualità, valutazione della conformità, marcatura CE, monitoraggio post-market e gestione degli incidenti.
Standard europei, specifiche tecniche e ISO/IEC 42001 per i sistemi di gestione dell’Intelligenza Artificiale.

Obblighi dei deployer, FRIA e compliance documentale
Gli obblighi delle imprese che acquistano, integrano o utilizzano sistemi di IA ad alto rischio.
Uso conforme alle istruzioni, controllo degli input, supervisione umana, monitoraggio del funzionamento, conservazione dei log e segnalazione dei rischi.
Obblighi informativi verso persone fisiche, lavoratori, utenti e soggetti interessati.
Valutazione d’impatto sui diritti fondamentali, coordinamento con DPIA privacy e costruzione del fascicolo unico di compliance.

GPAI, diritto d’autore, deepfake e trasparenza
Modelli di IA a scopo generale, GPAI con rischio sistemico e sistemi di IA basati su modelli GPAI.
Obblighi dei provider GPAI: documentazione tecnica, informazioni ai soggetti a valle, policy copyright, sintesi dei contenuti di addestramento e cooperazione con l’AI Office.
Utilizzo aziendale di modelli GPAI di terzi tramite API, cloud, chatbot, copiloti, piattaforme SaaS e strumenti generativi.
Diritto d’autore, output generati, contenuti sintetici, deepfake, obblighi di trasparenza e nuovi diritti delle persone fisiche nell’interazione con sistemi di IA.

AI governance, policy interne e AI literacy
Come costruire un programma aziendale di AI governance: ruoli, responsabilità, AI policy, registro dei sistemi IA, flussi autorizzativi, audit e riesame periodico.
Governance dei casi d’uso: ideazione, approvazione, test, messa in produzione, monitoraggio e dismissione.
Policy sull’utilizzo dell’IA generativa, controllo della shadow AI, whitelist degli strumenti autorizzati, regole sui prompt, verifica degli output e supervisione umana.
Obbligo di alfabetizzazione in materia di IA e piano di formazione interna differenziato per ruoli e funzioni.

Procurement, contratti e supply chain IA
Due diligence sui fornitori di sistemi, modelli e servizi di IA.
Contratti con provider GPAI, system integrator, cloud provider, software vendor e consulenti tecnologici.
Clausole essenziali: conformità AI Act, documentazione tecnica, cooperazione, audit, logging, sicurezza, aggiornamenti, subfornitori, localizzazione dei dati, proprietà degli output, diritto d’autore, responsabilità, manleve, protezione dei dati ed exit strategy.

Cybersecurity, sandboxes, sanzioni e responsabilità
AI security, prompt injection, data poisoning, model inversion, leakage informativo, manipolazione degli output e sicurezza degli AI agents.
Gestione degli incidenti, logging, escalation, continuità operativa e coordinamento con NIS 2, Cyber Resilience Act, DORA e GDPR data breach, ove applicabili.
Regulatory sandboxes, test in condizioni reali, innovazione controllata e sperimentazione di soluzioni IA.
Governance europea e nazionale dell’IA, autorità competenti, codici di condotta, standard, certificazioni e strumenti volontari di accountability.
Sistema sanzionatorio, responsabilità contrattuale ed extracontrattuale, product liability, contenzioso e risarcimento del danno da sistema di IA.
 

Docenti

Alessandro Del Ninno
Docente a contratto per l’insegnamento ufficiale di Intelligenza Artificiale, Machine Learning e Diritto a.a 2025/2025 presso la LUISS Guido Carli di Roma. Avvocato del Foro di Roma – Partner dello Studio legale e tributario FIVERS. Appointed member del Pool of Experts europei di supporto e consulenza al Comitato europeo per la protezione dei dati personali. Presidente del Comitato Scientifico dell’Associazione Nazionale per la protezione dei dati personali. Membro e Vicepresidente del Comitato Scientifico dell’Istituto Italiano Privacy. È relatore nell’ambito dei più importanti convegni nazionali e internazionali ove viene frequentemente invitato in qualità di esperto su tematiche legate all’Information & Communication Technology, all’IP e alla Data Protection. Nelle stesse materie è autore di oltre 150 tra libri, trattati, monografie, saggi e articoli.