Se sviluppi un SaaS con componente AI integrata, la conformità all’AI Act è un tema che ti riguarda direttamente. Questo case study mostra come si gestisce e in quanto tempo.
Lo abbiamo seguito dall’inizio alla fine, in quindici giorni di lavoro, e dimostra una cosa che molti sviluppatori scoprono troppo tardi: l’integrazione di un motore AI in un software già in produzione modifica il perimetro normativo del prodotto.
Finché il software si limita a seguire regole fisse decise da chi lo ha programmato, resta uno strumento prevedibile. Quando integri l’AI, il prodotto inizia a elaborare valutazioni in autonomia e a orientare le decisioni degli utenti. È questo salto che fa scattare obblighi nuovi sotto GDPR e AI Act.
Il nostro cliente se n’è accorto al momento giusto. Ha fermato il go-to-market, ha chiamato e abbiamo lavorato insieme per portare il prodotto sul mercato già conforme. Vediamo come.
Quando un SaaS integra l’AI, cambiano gli obblighi a cui è sottoposto
Il nostro cliente è una società di data-driven economic consulting che lavora nell’advisory per la valutazione di opportunità di investimento. Vende il proprio software a grandi corporate e Pubbliche Amministrazioni, due tipi di acquirenti che oggi, prima di firmare un contratto, chiedono sempre più spesso di vedere la documentazione di conformità GDPR e AI Act. La inseriscono nei capitolati, la verificano in due diligence, e senza quella documentazione il contratto non parte. Il cliente lo sapeva, e ha scelto di muoversi prima.
Il prodotto al centro del caso è un SaaS proprietario costruito attorno a modelli matematici sviluppati internamente. Logica deterministica, parametri ben definiti, comportamento prevedibile. A un certo punto il nostro cliente ha integrato nel software un motore di intelligenza artificiale: una componente che non si limita a elaborare numeri, ma orienta gli analisti interni nelle valutazioni e guida i clienti finali nell’uso della piattaforma.
Il SaaS trattava già dati personali, quelli dei referenti aziendali e degli utenti che vi accedevano, oltre a dati finanziari sensibili di ogni progetto analizzato. Con l’arrivo della componente AI, lo scenario di rischio è cambiato sotto due profili. Il trattamento dei dati personali è diventato un trattamento parzialmente automatizzato con effetti significativi sugli interessati. E il sistema è entrato nell’ambito di applicazione dell’AI Act.
A quel punto siamo stati contattati con una richiesta operativa, prima del rilascio commerciale: verificare la conformità del prodotto rispetto a GDPR e Regolamento (UE) 2024/1689.
Due lacune con esposizione fino al 4% del fatturato
All’avvio del lavoro ci siamo trovati davanti a due lacune di conformità, entrambe rilevanti sul piano sanzionatorio e su quello commerciale.
La prima riguardava la classificazione del rischio della componente AI. Il Regolamento (UE) 2024/1689 impone a chi sviluppa o utilizza sistemi di intelligenza artificiale di classificarli in quattro categorie di rischio: minimo, limitato, alto, inaccettabile. Dalla classificazione discendono gli obblighi successivi su trasparenza, documentazione tecnica, controllo umano, gestione continuativa del rischio. La classificazione non era stata effettuata. L’azienda stava per andare sul mercato senza sapere quali obblighi dovesse rispettare.
La seconda lacuna era l’assenza di una DPIA, la Valutazione d’Impatto sulla Protezione dei Dati prevista dall’art. 35 del GDPR. È un’analisi che il Regolamento rende obbligatoria quando un trattamento di dati personali può avere conseguenze importanti sulle persone coinvolte, ad esempio quando profila i loro comportamenti, valuta in modo automatico aspetti della loro vita o monitora le loro attività in modo sistematico. Il sistema del nostro cliente faceva esattamente questo, ed è tra i casi che il Garante, in un suo provvedimento dell’11 ottobre 2018 (doc. web 9058979), ha indicato come soggetti a Valutazione obbligatoria. La DPIA non era mai stata effettuata.
In caso di contestazione, l’esposizione sanzionatoria sarebbe stata pesante. L’art. 99 del Regolamento UE 2024/1689 prevede sanzioni fino al 3% del fatturato mondiale annuo per le violazioni dell’AI Act sugli obblighi documentali, e l’art. 83 GDPR arriva fino al 4% del fatturato mondiale per le violazioni più gravi. A questa esposizione si aggiungeva, per il cliente, un rischio commerciale concreto: gare e contratti persi per impossibilità di produrre la documentazione richiesta in fase di acquisto.
Il punto, su cui torniamo più avanti, è che intervenire prima costa una frazione rispetto a intervenire dopo.
Quindici giorni, quattro documenti chiave
L’intervento si è chiuso in quindici giorni lavorativi, dalla gap analysis alla consegna della documentazione completa. La tempistica è stata possibile grazie all’accesso diretto al team tecnico e al management, e al fatto che il prodotto non era ancora in produzione: nessuna pressione di clienti già attivi, nessuna emergenza di rimedio retroattivo.
Gap analysis integrata GDPR e AI Act
Abbiamo mappato l’intero flusso di trattamento dei dati e tutte le funzionalità del motore AI. Sul perimetro GDPR sono state verificate basi giuridiche, informative agli interessati, processi di esercizio dei diritti previsti dagli artt. 15-22 GDPR, misure tecniche e organizzative. Sul perimetro AI Act sono stati definiti la classificazione del rischio, gli obblighi di trasparenza ex art. 50, la documentazione tecnica richiesta, le procedure di controllo umano.
L’analisi ha qualificato la componente AI come sistema a rischio limitato ai sensi dell’art. 50 del Regolamento UE 2024/1689. La categoria si applica ai sistemi che interagiscono con persone fisiche e producono output capaci di orientarne le decisioni. Implica obblighi di trasparenza precisi: l’utente deve essere informato che sta interagendo con un sistema di intelligenza artificiale e che i risultati che riceve derivano da elaborazione automatizzata.
DPIA
Abbiamo condotto la Valutazione d’Impatto completa ai sensi dell’art. 35 GDPR, con analisi dei rischi specifici del trattamento automatizzato in un contesto di supporto decisionale finanziario. La DPIA ha documentato i rischi residui e le misure di mitigazione adottate. È entrata a far parte del set documentale del prodotto e ha funzionato da base operativa per il DPO.
AI Management Policy
Abbiamo redatto una policy interna di governance dei sistemi AI, calibrata sul contesto operativo della società. Il documento definisce ruoli e responsabilità, criteri di monitoraggio continuo delle prestazioni del sistema, procedure di aggiornamento della valutazione del rischio quando il sistema viene modificato o esteso a nuove funzionalità.
Supporto alla costituzione del Comitato AI interno
Per i sistemi a rischio limitato il Comitato AI non è un obbligo previsto dall’AI Act, ma diventa un elemento differenziante quando si lavora con corporate e PA che richiedono responsabilità documentata. Abbiamo affiancato il management nella definizione di struttura, composizione e mandato del Comitato, l’organo che presidia in modo continuativo l’evoluzione dei sistemi AI adottati o sviluppati dall’azienda.
Conformità raggiunta prima del lancio sul mercato
Il primo risultato è l’aver evitato l’esposizione sanzionatoria. La società ha raggiunto la conformità GDPR e AI Act prima di portare il prodotto in produzione commerciale. Nessuna istruttoria, nessuna sanzione, nessuna richiesta di chiarimenti dal Garante. L’intervento in fase preventiva, secondo il principio di Privacy by Design dell’art. 25 GDPR, ha chiuso il rischio alla fonte.
C’è poi un secondo risultato, di natura commerciale, che per il cliente ha avuto un impatto pari a quello del rischio sanzionatorio evitato. Oggi la società si presenta ai propri acquirenti con un quadro di conformità completo: DPIA, gap analysis GDPR e AI Act, AI Management Policy, struttura di governance dei sistemi AI
In un mercato dove la maggior parte dei fornitori tecnologici non ha ancora costruito una propria posizione su questi obblighi, questa documentazione funziona come strumento di vendita. Quando l’ufficio acquisti di un grande cliente chiede di vedere la conformità prima di firmare, averla pronta accorcia il ciclo di vendita di settimane e, in alcuni casi, evita l’esclusione dal processo di gara.
Il valore della conformità, in questo caso, si è misurato su due piani: rischio sanzionatorio evitato e accelerazione del processo commerciale.
Implicazioni operative per chi sviluppa SaaS con componente AI
Se sviluppi un SaaS e hai integrato (o stai integrando) una componente AI, ci sono tre punti che vale la pena fissare a partire da questo caso.
Il tuo prodotto è nel perimetro di GDPR e AI Act anche se la componente AI è piccola.
La classificazione del rischio e la DPIA si valutano sulla funzione del sistema rispetto agli effetti prodotti sugli interessati, non sulla percentuale di codice AI rispetto al resto del software. Il Garante e le autorità di vigilanza che applicano l’AI Act valutano gli effetti sui diritti delle persone. Una funzionalità ridotta che produce decisioni o orientamenti automatizzati ti porta dentro il perimetro tanto quanto un prodotto AI-nativo.
Intervenire prima costa una frazione di intervenire dopo.
Quindici giorni di lavoro in fase preventiva hanno chiuso una posizione che, lasciata aperta, sarebbe potuta diventare un blocco contrattuale o un’esposizione sanzionatoria. Rimediare sotto pressione, durante un’istruttoria del Garante o in piena due diligence di un cliente che ti sta valutando, comporta tempi più lunghi, costi più alti, margini di manovra ridotti.
La documentazione di conformità non è solo un adempimento, è uno strumento di vendita a tutti gli effetti.
Se vendi a Pubbliche Amministrazioni e a grandi corporate, sai che disporre di DPIA, classificazione AI, policy di governance e Comitato AI può essere decisivo nella selezione del fornitore. Arrivare in trattativa con la documentazione pronta ti differenzia da chi se la sta ancora preparando.
Quando scattano davvero gli obblighi dell’AI Act: le nuove scadenze
L’AI Act è in vigore dal 1° agosto 2024, ma le sue norme si applicano in modo scaglionato. Con l’accordo sul pacchetto Digital Omnibus della Commissione Europea, le date di applicazione per i sistemi ad alto rischio sono state aggiornate. Sono le scadenze che ogni software house deve avere in agenda.
2 dicembre 2027: entrano in applicazione gli obblighi per i sistemi di intelligenza artificiale ad alto rischio autonomi, ad esempio quelli usati nella selezione del personale, nel credit scoring o nell’identificazione biometrica.
2 agosto 2028: entrano in applicazione gli obblighi per i sistemi di intelligenza artificiale ad alto rischio integrati in prodotti già regolamentati da normative europee, ad esempio dispositivi medici, macchinari, automobili.
Restano, invece, a conformità immediata gli obblighi sulle pratiche di intelligenza artificiale vietate dall’art. 5 (in vigore dal 2 febbraio 2025) e gli obblighi di trasparenza per i sistemi a rischio limitato, come quello descritto in questo case study.
Avere tempo non significa avere meno urgenza: l’adeguamento di un sistema ad alto rischio richiede mesi di lavoro, e i clienti corporate e le Pubbliche Amministrazioni stanno già chiedendo documentazione di conformità prima delle scadenze ufficiali.
Domande frequenti
Cosa si intende per sistema AI a ‘rischio limitato’ secondo l’AI Act?
L’AI Act, Regolamento (UE) 2024/1689, classifica le applicazioni di intelligenza artificiale in quattro categorie di rischio: minimo, limitato, alto e inaccettabile. Il rischio limitato si applica a chi interagisce con persone fisiche o genera contenuti, e comporta principalmente gli obblighi di trasparenza previsti dall’art. 50: l’utente deve sapere che sta interagendo con un sistema AI o che il contenuto ricevuto è stato generato o elaborato da una macchina. È una categoria gestibile, ma richiede comunque documentazione strutturata e procedure interne.
Cosa cambia per un’azienda se il sistema AI è classificato ad alto rischio?
Gli obblighi crescono molto, e con loro i tempi e i costi di adeguamento. Un sistema a rischio alto, previsto dall’allegato III del Regolamento (UE) 2024/1689, ricade in un regime stringente: documentazione tecnica completa, sistema di gestione del rischio formalizzato, sorveglianza umana strutturata, valutazione di conformità prima dell’immissione sul mercato, registrazione in una banca dati europea. Per fare un confronto, un sistema a rischio limitato si esaurisce essenzialmente in obblighi di trasparenza verso gli utenti e in una documentazione gestibile. I tempi di adeguamento per un sistema ad alto rischio si misurano in mesi, non in settimane. Per questo la classificazione del rischio, in fase di gap analysis, è il passaggio che determina tutto il resto del lavoro: la stessa componente AI può comportare obblighi molto diversi a seconda di come viene utilizzata e in quale contesto.
Devo fare la DPIA anche se il mio SaaS ha solo una piccola componente AI?
Sì, se quella componente effettua trattamenti che presentano un rischio elevato per i diritti e le libertà degli interessati, ad esempio profilazione, valutazioni automatizzate con effetti significativi, monitoraggio sistematico. L’art. 35 del GDPR e il provvedimento del Garante dell’11 ottobre 2018 (doc. web 9058979) chiariscono che il criterio è la natura del trattamento, non la dimensione tecnica del componente. Una funzionalità AI ridotta ma che produce decisioni o orientamenti automatizzati su persone fisiche richiede DPIA.
Quanto tempo serve per mettere a norma un SaaS con componente AI integrata?
Dipende dalla complessità del prodotto e dal punto di partenza, ma in casi strutturati come quello descritto in questo articolo l’intervento si può chiudere in circa 15 giorni lavorativi, dalla gap analysis alla consegna del set documentale completo. Tempi più lunghi sono fisiologici per prodotti con più moduli AI, integrazioni complesse o trattamenti su categorie particolari di dati.
Cosa rischio se non classifico il rischio AI del mio prodotto?
L’art. 99 del Regolamento UE 2024/1689 prevede sanzioni fino al 3% del fatturato mondiale annuo per le violazioni degli obblighi sui sistemi AI e sulla documentazione, e fino al 7% per le pratiche vietate dall’art. 5. A questo si aggiunge l’art. 83 GDPR, che arriva fino al 4% del fatturato mondiale per le infrazioni più gravi. Oltre al piano sanzionatorio, conta l’esposizione commerciale: i clienti corporate e le PA chiedono la documentazione di conformità in fase di gara, e senza non firmano.
A cosa serve un Comitato AI interno se la mia azienda non sviluppa AI ad alto rischio?
Per i sistemi a rischio limitato il Comitato AI non è un obbligo formale ai sensi dell’AI Act, ma è una buona pratica di governance che permette di presidiare in modo continuativo l’evoluzione del prodotto, monitorare le prestazioni del sistema, aggiornare la classificazione del rischio quando vengono aggiunte funzionalità. Dal punto di vista commerciale, è un elemento che rassicura clienti corporate e PA in fase di acquisto.
Cos’è la Privacy by Design e perché si applica al SaaS con AI?
La Privacy by Design è il principio sancito dall’art. 25 GDPR secondo cui la protezione dei dati va integrata nella progettazione di prodotti, servizi e processi fin dall’inizio, prima del rilascio. Per un SaaS con componente AI significa classificare il rischio, condurre la DPIA, definire policy e procedure di governance prima del go-to-market, e non dopo una contestazione o una richiesta del cliente.
Scopri se possiamo fare lo stesso anche per la tua organizzazione
Se sviluppi un SaaS e stai valutando o hai già integrato una componente AI, se gestisci dati personali dei tuoi utenti finali o dei tuoi clienti business, o vuoi verificare la tua posizione rispetto agli obblighi GDPR e AI Act, possiamo aiutarti.
Contattaci su serviziodpo.it per un primo confronto senza impegno.