Consulenza ISO 27001 in Toscana: Firenze, Prato, Pistoia, Lucca e Pisa

Consulenza AI Act per aziende e startup in Toscana

Parliamo la lingua del CdA e quella del sistemista.

L’AI Act non riguarda solo chi sviluppa intelligenza artificiale: riguarda anche chi la usa. Un’azienda che utilizza un assistente conversazionale, un software di selezione del personale o un gestionale con funzioni predittive ha già degli obblighi, spesso senza saperlo. Noi veniamo dall’informatica e sappiamo cosa fanno davvero questi strumenti: per questo possiamo spiegare ai vertici cosa significa la norma e dire ai tecnici cosa cambia nei sistemi.

Chi è coinvolto

L’AI Act distingue chi sviluppa o mette sul mercato sistemi di IA da chi li utilizza nella propria attività. Aiutiamo entrambi:

startup e aziende software che integrano o sviluppano IA nei propri prodotti e devono dimostrare ai clienti come la governano;
PMI che usano strumenti di IA nei processi (marketing, assistenza clienti, selezione, analisi) e vogliono sapere cosa devono fare e cosa evitare;
aziende che trattano molti dati personali con sistemi di IA, dove AI Act e GDPR si intrecciano;
realtà che lavorano con grandi clienti o enti pubblici, che sempre più spesso chiedono evidenze sulla governance dell’IA.

Il punto di partenza: cosa ha davvero l’azienda

Molte aziende scoprono di usare più IA di quanta credano, spesso «nascosta» dentro strumenti acquistati o scelti dai singoli reparti. Il primo passo è sempre lo stesso: sapere cosa c’è.

Censimento dei sistemi di IA usati o sviluppati: cosa fanno, chi li usa, con quali dati e quali fornitori.
Classificazione del rischio secondo l’AI Act, con il ruolo dell’azienda (fornitore, utilizzatore) e gli obblighi che ne derivano.
Governance dell’IA: regole d’uso, ruoli, responsabilità e controlli, costruiti sul modo in cui lavori e non su un modello standard.
Trasparenza e competenze: cosa comunicare a clienti e utenti e come formare le persone che usano questi strumenti.
Raccordo con il GDPR: valutazioni d’impatto, basi giuridiche e fornitori che trattano dati.
Preparazione a uno standard di gestione: dove ha senso, portiamo il sistema verso la ISO 42001, che dà una struttura verificabile alla governance dell’IA.

Non esiste un documento «magico»

Non esiste un documento «magico» che renda un’azienda conforme all’AI Act. Serve un flusso di lavoro che interpreti le richieste del regolamento in rapporto a come l’azienda usa o sviluppa davvero l’IA: noi lo progettiamo, lo seguiamo con te e arriviamo alla documentazione adeguata come risultato di quel lavoro, non come punto di partenza. Una policy scritta in un pomeriggio non protegge nessuno se in azienda nessuno la applica: la conformità è soprattutto governance, cioè chi decide, chi controlla e cosa viene registrato.

Cosa è già in vigore e cosa no

Questo è il calendario dei passaggi principali. Il rinvio di alcune scadenze non significa che si possa aspettare: ciò che è già in vigore riguarda molte aziende, e costruire la governance richiede mesi.

Data	Cosa scatta
2 agosto 2026 (già applicabile)	Obblighi di trasparenza (art. 50) per chatbot, deepfake e contenuti sintetici; piena operatività dei poteri sanzionatori delle autorità nazionali e dell’AI Office sui modelli per finalità generali (GPAI).
2 dicembre 2026	Due nuovi divieti (art. 5): materiale pedopornografico generato con IA e deepfake sessuali non consensuali. Scade il periodo transitorio per la marcatura tecnica leggibile dalle macchine (art. 50.2) sui sistemi generativi già sul mercato prima del 2 agosto 2026.
2 agosto 2027	Termine per l’adeguamento dei modelli GPAI immessi sul mercato prima del 2 agosto 2025. Gli Stati membri devono garantire l’operatività delle regulatory sandbox.
2 dicembre 2027	Applicazione piena degli obblighi per i sistemi ad alto rischio autonomi (Allegato III): selezione del personale, accesso al credito, istruzione, servizi pubblici essenziali, giustizia, biometria.

Per capire se la tua azienda è coinvolta da AI Act, NIS2 e Cyber Resilience Act puoi leggere questo approfondimento.

Dove operiamo

La sede legale è a Firenze e seguiamo aziende in tutta la Toscana, di persona e a distanza.

Pisa: startup, aziende software e realtà vicine all’università e alla ricerca, spesso tra le prime a sviluppare o integrare IA.
Lucca: manifattura e industria che inseriscono IA nei processi o nei prodotti e devono rispondere ai requisiti dei clienti.
Firenze: servizi, tecnologia e imprese strutturate, dove la richiesta nasce spesso da clienti e filiere.
Prato e Pistoia: imprese produttive e di filiera, con molti dati scambiati con clienti e fornitori.

Domande frequenti

Se usiamo solo ChatGPT o strumenti simili, ci riguarda?

Sì, in parte. Chi usa strumenti di IA nella propria attività è considerato utilizzatore e ha degli obblighi, che variano in base a cosa si fa con lo strumento. Il primo passo è capire cosa viene usato e come.

Il rinvio dell’alto rischio vuol dire che possiamo aspettare?

No. Quel rinvio riguarda una parte degli obblighi. Altre regole sono già in vigore, e il lavoro di governance richiede mesi. Chi parte ora arriva alle prossime scadenze con un sistema già funzionante.

L’AI Act sostituisce il GDPR?

No, si aggiunge. Se l’IA tratta dati personali, entrambe le normative si applicano e vanno gestite insieme.

Serve la ISO 42001?

Non è obbligatoria e non equivale alla conformità all’AI Act, ma aiuta a costruire la governance che il regolamento si aspetta. Valutiamo con te se per la tua azienda ha senso: trovi i dettagli nella pagina Consulenza ISO 42001.

Seguite anche startup e aziende software?

Sì, è una parte importante del nostro lavoro, in particolare a Pisa e Lucca.

Parliamone

Raccontaci quali strumenti di IA usi o sviluppi e capiremo insieme da dove conviene partire.

Parla con il consulente dedicato

Ti risponde chi si occuperà del tuo progetto, con una risposta ponderata e non automatica.