Vendor Risk AI Act: questionari, contratti, evidenze e controlli sui fornitori AI

Risposta rapida

Il Vendor Risk AI Act è il processo con cui l’azienda valuta fornitori, SaaS, API, modelli di terzi e strumenti AI incorporati nei servizi acquistati. Non basta chiedere se un fornitore “è conforme”: servono ruolo nella catena del valore, descrizione del sistema, finalità, dati trattati, misure di sicurezza, istruzioni d’uso, log, modifiche, subfornitori, trasparenza e supporto in caso di incidenti o audit. Il controllo deve essere proporzionato al rischio del caso d’uso.

Perché questo tema è importante

La maggior parte delle imprese non sviluppa internamente modelli AI: li usa tramite piattaforme HR, CRM, assistenti, suite office, chatbot, strumenti marketing, soluzioni cybersecurity o API. Questo significa che l’AI Act entra spesso in azienda attraverso la supply chain. Il vero punto debole non è solo tecnico: è contrattuale e documentale.

Un fornitore può dichiarare l’uso di AI in modo generico, può cambiare modello senza comunicazione chiara, può trattare dati per miglioramento del servizio, può offrire funzionalità diverse a seconda del piano acquistato. Se procurement, legal, privacy e IT non lavorano insieme, l’azienda rischia di usare AI senza sapere quale obbligo si attiva.

Quadro normativo e fonti ufficiali

Il riferimento principale resta il Regolamento (UE) 2024/1689, che introduce un modello basato sul rischio e distribuisce gli obblighi in base al ruolo svolto dall'organizzazione: provider, deployer, importatore, distributore o altro operatore della catena del valore. Per una lettura operativa, il punto non è trasformare ogni uso di AI in un progetto legale, ma distinguere sistemi vietati, sistemi ad alto rischio, usi soggetti a trasparenza e usi a rischio minimo. La Commissione europea e l'AI Act Service Desk sono fonti da monitorare perché linee guida, codici di pratica, standard e strumenti di supporto possono cambiare il modo in cui le aziende documentano la conformità. Alla data di revisione di questo contenuto, l'accordo politico del 7 maggio 2026 sul pacchetto AI Omnibus richiede un trigger di aggiornamento per le date applicative dei sistemi ad alto rischio: prima della pubblicazione definitiva occorre verificare il testo formalmente adottato e la versione consolidata delle fonti ufficiali.

Cosa significa per l’azienda

Per l’azienda, il Vendor Risk AI Act significa collegare la scheda fornitore alla scheda sistema AI. Un vendor può essere sicuro dal punto di vista contrattuale ma critico per l’uso di dati personali; oppure può offrire buone misure privacy ma poca trasparenza sulle funzionalità AI. La valutazione deve quindi combinare sicurezza, privacy, AI governance e continuità operativa.

Un approccio maturo deve sempre distinguere tre livelli: la decisione di governance, l’evidenza documentale e il controllo operativo. La decisione spiega perché un sistema viene usato o limitato; l’evidenza dimostra come è stata fatta la valutazione; il controllo operativo assicura che la regola continui a funzionare dopo l’adozione iniziale. Questa distinzione è essenziale perché molti progetti AI sono dinamici: cambiano fornitori, modelli, dataset, utenti e modalità d’uso.

Nel contesto GAPOFF, questo tema va letto in modo integrato: il modulo AI Act Governance non dovrebbe restare isolato, ma dialogare con GDPR, Vendor Risk, Incident & Breach Ops, ISO 27001, Business Continuity e Trust Center quando il caso d’uso lo richiede. La conformità diventa più forte quando un’unica evidenza può sostenere più controlli senza creare copie incoerenti.

Cosa deve fare concretamente l’organizzazione

1. Identificare fornitori che offrono funzionalità AI esplicite o incorporate.
2. Distinguere ruolo del fornitore: provider del sistema, fornitore di modello GPAI, semplice SaaS con AI, integratore o subfornitore.
3. Inviare un questionario proporzionato al rischio del caso d’uso e non solo al valore del contratto.
4. Richiedere istruzioni d’uso, limiti, misure di human oversight, log disponibili e informazioni su addestramento o miglioramento del servizio.
5. Verificare clausole su modifiche sostanziali, audit, sicurezza, localizzazione dati, subfornitori, incidenti e supporto documentale.
6. Definire uno score vendor e remediation prima dell’adozione o del rinnovo.

Evidenze e documenti da conservare

| Evidenza | Perché serve | Quando aggiornarla | | --- | --- | --- | | Questionario AI vendor | Informazioni su sistema, ruolo, dati, sicurezza | Onboarding e rinnovo | | Clausole contrattuali | Audit, modifiche, incidenti, subfornitori | Prima della firma | | Istruzioni d’uso | Limiti, human oversight, output, logging | Prima dell’utilizzo | | DPA/DPIA input | Impatto privacy e dati personali | Se tratta dati personali | | Vendor score | Priorità e remediation | Monitoraggio continuo |

Esempio pratico

Una PMI acquista un software HR che promette di ordinare candidati in base alla compatibilità con il ruolo. Il fornitore lo presenta come semplice supporto organizzativo, ma il caso d’uso può incidere su accesso al lavoro. Procurement deve quindi bloccare l’acquisto automatico, legal e HR devono valutare classificazione, istruzioni, supervisione umana, dati, trasparenza verso candidati e clausole contrattuali. Il vendor file diventa parte integrante della scheda AI Act.

Errori comuni da evitare

• Usare lo stesso questionario per tutti i fornitori senza differenziare il rischio.
• Accettare dichiarazioni marketing al posto di documentazione tecnica o istruzioni d’uso.
• Non prevedere comunicazione di modifiche del modello o delle funzionalità AI.
• Separare valutazione contrattuale, privacy e AI Act.
• Non collegare subfornitori e data processing alla scheda del sistema AI.

Come GAPOFF aiuta

GAPOFF consente di usare il modulo Vendor Risk Management per censire fornitori, inviare assessment, assegnare score e tracciare remediation. Collegando il fornitore al sistema censito in AI Act Governance, l’azienda evita duplicazioni: la stessa evidenza può supportare valutazione AI, GDPR, ISO 27001 e, quando pertinente, NIS2 o DORA.

Checklist operativa

• Lista fornitori AI aggiornata.
• Questionario AI specifico per rischio.
• Ruolo del fornitore classificato.
• Contratti e DPA collegati.
• Istruzioni d’uso archiviate.
• Subfornitori e localizzazione dati verificati.
• Clausole modifiche e incidenti presenti.
• Score e remediation monitorati.

FAQ

Basta una clausola contrattuale AI Act?

No. Le clausole sono utili ma devono essere collegate a informazioni tecniche, istruzioni d’uso, controlli e processo di monitoraggio.

Ogni fornitore AI è automaticamente alto rischio?

No. Dipende dal sistema e dal caso d’uso. Un generatore di immagini marketing non equivale a un sistema HR di selezione candidati.

Chi deve gestire il Vendor Risk AI?

Procurement, legal, IT, privacy e business owner devono collaborare. Il responsabile finale dipende dalla struttura aziendale.

Come trattare fornitori extra UE?

Serve verificare ruolo, rappresentanza, dati, contratti, trasferimenti, sicurezza e supporto alla conformità, con analisi specifica.

Fonti ufficiali e riferimenti

• EUR-Lex - Regulation (EU) 2024/1689 Artificial Intelligence Act
• European Commission - AI Act overview and implementation timeline
• AI Act Service Desk - Article 16 provider obligations
• AI Act Service Desk - Article 26 deployer obligations
• AI Act Service Desk - Article 50 transparency obligations
• European Commission - GDPR rules
• EUR-Lex - Regulation (EU) 2022/2554 DORA
• ISO - ISO/IEC 27001 information security management

Disclaimer legale

Questo contenuto ha finalità informative e di orientamento generale. Non costituisce consulenza legale, tecnica, fiscale o organizzativa personalizzata. Per determinare obblighi, responsabilità e misure applicabili al caso concreto, è necessario svolgere una valutazione specifica con professionisti qualificati e fonti ufficiali aggiornate.

FAQ

Basta una clausola contrattuale AI Act?

No. Le clausole sono utili ma devono essere collegate a informazioni tecniche, istruzioni d’uso, controlli e processo di monitoraggio.

Ogni fornitore AI è automaticamente alto rischio?

No. Dipende dal sistema e dal caso d’uso. Un generatore di immagini marketing non equivale a un sistema HR di selezione candidati.

Chi deve gestire il Vendor Risk AI?

Procurement, legal, IT, privacy e business owner devono collaborare. Il responsabile finale dipende dalla struttura aziendale.

Come trattare fornitori extra UE?

Serve verificare ruolo, rappresentanza, dati, contratti, trasferimenti, sicurezza e supporto alla conformità, con analisi specifica.