Gap analysis AI Act: metodo, evidenze e priorità per capire cosa manca davvero

Risposta rapida

La gap analysis AI Act serve a confrontare la situazione reale dell’organizzazione con gli obblighi applicabili: inventario, classificazione rischio, ruoli, documentazione, dati, fornitori, trasparenza, human oversight, log, sicurezza, formazione e monitoraggio. Non deve produrre solo un punteggio, ma una lista di carenze prioritarizzate, con evidenze mancanti, owner, impatto e piano di remediation. È lo strumento più utile per passare da “non sappiamo se siamo esposti” a “sappiamo cosa manca e in che ordine intervenire”.

Perché questo tema è importante

Una gap analysis debole si limita a domande sì/no. Una gap analysis utile ricostruisce il contesto: quali sistemi AI esistono, come sono usati, chi li ha approvati, quali persone subiscono effetti, quali dati vengono trattati, quali fornitori sono coinvolti e quali decisioni vengono influenzate dagli output. L’AI Act non è uniforme: un chatbot informativo, un sistema di scoring clienti, un generatore di testi marketing e un algoritmo di selezione del personale non richiedono lo stesso livello di profondità. Il metodo deve quindi evitare sia sottovalutazioni sia sovraccarico burocratico.

Per GAPOFF il punto editoriale resta operativo: normativa → problema aziendale → rischio concreto → azione operativa → evidenza richiesta → modulo utile → CTA. L’AI Act deve diventare un sistema di gestione verificabile, non una pagina informativa scollegata dai processi reali.

Quadro normativo e fonti ufficiali

Il riferimento principale è il Regolamento (UE) 2024/1689. Vanno monitorate anche la pagina della Commissione Europea sull’AI Act, l’AI Act Service Desk, le pagine su AI literacy, risk management, documentazione tecnica, human oversight, obblighi dei deployer e monitoraggio post-market.

La gap analysis deve incrociare gli obblighi generali, gli obblighi per deployer, gli obblighi per provider high-risk e le discipline collegate. Per i sistemi ad alto rischio vanno considerati requisiti su risk management, data governance, documentazione tecnica, log, trasparenza, controllo umano, accuratezza, robustezza e cybersecurity. Per i sistemi non high-risk restano comunque rilevanti AI literacy, trasparenza e policy interne.

Alla data di revisione, l’accordo politico del 7 maggio 2026 sul pacchetto di semplificazione AI introduce una timeline aggiornata per alcuni sistemi ad alto rischio. Prima della pubblicazione definitiva, il revisore dovrà verificare l’adozione formale e aggiornare frontmatter, contenuto e note di manutenzione.

Cosa significa per l’azienda

In termini aziendali, l’AI Act richiede di trasformare l’uso dell’intelligenza artificiale in un processo governato. Questo significa sapere quali sistemi esistono, quali dati trattano, quali decisioni supportano, chi li controlla, quali fornitori sono coinvolti, quali rischi restano aperti e quali prove possono essere mostrate in caso di audit, richiesta cliente o controllo.

La valutazione dipende dal caso concreto e deve essere verificata con professionisti qualificati e fonti ufficiali aggiornate. Non è prudente copiare un modello standard senza verificare ruolo dell’organizzazione, rischio del sistema, impatto sulle persone e interazioni con GDPR, cybersecurity, contratti e settore di appartenenza.

Metodo di gap analysis AI Act

1. Separare sistemi in produzione, sperimentazioni e usi informali, perché i rischi e le prove disponibili sono diversi.
2. Attribuire un ruolo all’organizzazione: provider, deployer, importatore, distributore, product manufacturer o utilizzatore interno.
3. Valutare rischio e ambito: usi vietati, alto rischio, rischio limitato, rischio minimo, GPAI o componente integrato.
4. Analizzare documentazione disponibile: istruzioni d’uso, valutazioni interne, contratti, DPIA, policy, log, incidenti e registri formazione.
5. Verificare controllo umano e competenze: chi interpreta output, con quale autorità e con quale formazione.
6. Valutare fornitori: informazioni ricevute, change management, subfornitori, supporto documentale e clausole contrattuali.
7. Attribuire punteggio e priorità: criticità alta se riguarda persone, decisioni, dati sensibili, HR, credito, sicurezza o assenza totale di evidenze.
8. Trasformare i gap in remediation: ogni carenza deve generare un’azione, non solo una nota descrittiva.

Ogni passaggio dovrebbe avere un owner, una data, una prova collegata e un criterio di chiusura. La compliance AI diventa sostenibile quando il processo è ripetibile: nuovo sistema, nuova classificazione, nuove evidenze, eventuale remediation e riesame.

Evidenze da conservare

• Questionario gap analysis completato
• Matrice gap/obblighi
• Elenco evidenze mancanti
• Punteggio per sistema e per processo
• Risk acceptance firmate quando applicabile
• Piano remediation collegato
• Report esportabile per direzione o cliente

Tabella operativa

| Area gap | Domanda chiave | Evidenza minima | | --- | --- | --- | | Inventario | Sappiamo quali sistemi AI usiamo? | Registro aggiornato | | Ruolo | Siamo provider o deployer? | Razionale ruolo | | Rischio | Il sistema rientra in Annex III? | Matrice rischio | | Fornitore | Abbiamo istruzioni e clausole? | Questionario vendor | | Persone | Chi esercita controllo umano? | Nomina/istruzioni/formazione | | Monitoraggio | Cosa succede dopo il go-live? | Piano riesame e incident log |

Esempio pratico

Un consulente analizza tre clienti. Il primo usa solo strumenti generativi per testi interni: gap principale su policy, formazione e dati riservati. Il secondo usa un software HR con ranking automatico: gap su classificazione alto rischio, istruzioni d’uso, controllo umano, DPIA e vendor risk. Il terzo sviluppa una soluzione AI per terzi: gap su documentazione tecnica, QMS, test e monitoraggio. Un’unica checklist identica per tutti produrrebbe un risultato poco credibile.

Errori comuni da evitare

• Usare checklist generiche senza distinguere ruolo e rischio.
• Non chiedere evidenze, ma solo dichiarazioni verbali.
• Non collegare il gap al piano di remediation.
• Attribuire punteggi numerici senza spiegare il razionale.
• Dimenticare i sistemi AI nascosti dentro software già acquistati.

Come GAPOFF aiuta

GAPOFF consente di eseguire gap analysis per sistema AI e per organizzazione, mantenendo collegati controlli, evidenze, owner, scadenze e remediation. Il modulo AI Act Governance diventa il centro dell’assessment, mentre GDPR e Vendor Risk entrano quando il gap riguarda dati personali o fornitori esterni. Per consulenti e studi, la gestione multi-tenant permette di applicare lo stesso metodo a più clienti senza duplicare file scollegati.

Checklist operativa

• Questionario distinto per ruolo e rischio.
• Evidenze richieste per ogni risposta critica.
• Sistemi AI embedded nei SaaS verificati.
• Gap classificati per priorità.
• Azioni di remediation generate.
• Report direzionale o cliente creato.
• Riesame programmato dopo modifiche rilevanti.

FAQ

La gap analysis AI Act è obbligatoria?

Il regolamento non usa sempre questa etichetta, ma nella pratica l’analisi dei gap è il modo più ordinato per dimostrare scoping, rischio, carenze e piano di adeguamento.

Chi dovrebbe svolgerla?

Compliance, legal, IT, privacy, procurement e owner di processo. Per sistemi critici può essere opportuno coinvolgere consulenti legali e tecnici.

Una gap analysis può essere solo documentale?

No. Deve verificare anche uso reale, dati, fornitori, log, formazione e comportamento operativo.

Che output deve produrre?

Un report con perimetro, sistemi analizzati, rischio, gap, evidenze mancanti, priorità e remediation.

Fonti ufficiali e riferimenti

• EUR-Lex - Regulation (EU) 2024/1689 Artificial Intelligence Act
• European Commission - AI Act overview and implementation timeline
• AI Act Service Desk - Implementation timeline
• AI Act Service Desk - Article 4 AI literacy
• AI Act Service Desk - Article 8 compliance requirements
• AI Act Service Desk - Article 9 risk management system
• AI Act Service Desk - Article 11 technical documentation
• AI Act Service Desk - Article 13 transparency and information to deployers
• AI Act Service Desk - Article 14 human oversight
• AI Act Service Desk - Article 15 accuracy, robustness and cybersecurity
• AI Act Service Desk - Article 17 quality management system
• AI Act Service Desk - Article 18 documentation keeping
• AI Act Service Desk - Article 26 obligations of deployers
• AI Act Service Desk - Article 72 post-market monitoring
• Council of the EU - Provisional agreement on AI simplification, 7 May 2026

Disclaimer legale

Questo contenuto ha finalità informative e di orientamento generale. Non costituisce consulenza legale, tecnica, fiscale o organizzativa personalizzata. Per determinare obblighi, responsabilità e misure applicabili al caso concreto, è necessario svolgere una valutazione specifica con professionisti qualificati e fonti ufficiali aggiornate.

FAQ

La gap analysis AI Act è obbligatoria?

Il regolamento non usa sempre questa etichetta, ma nella pratica l’analisi dei gap è il modo più ordinato per dimostrare scoping, rischio, carenze e piano di adeguamento.

Chi dovrebbe svolgerla?

Compliance, legal, IT, privacy, procurement e owner di processo. Per sistemi critici può essere opportuno coinvolgere consulenti legali e tecnici.

Una gap analysis può essere solo documentale?

No. Deve verificare anche uso reale, dati, fornitori, log, formazione e comportamento operativo.

Che output deve produrre?

Un report con perimetro, sistemi analizzati, rischio, gap, evidenze mancanti, priorità e remediation.