AI Risk Overview è il report dello Studio Legale Passaro che inquadra un sistema AI rispetto ad AI Act e GDPR, individua il possibile ruolo della tua organizzazione e segnala che cosa verificare per primo.
Stai per acquistare uno strumento di intelligenza artificiale, o nella tua organizzazione se ne usa già uno? Prima di decidere come procedere serve un primo quadro giuridico: come si inquadra il sistema, quale ruolo ha la tua organizzazione, quali approfondimenti sono davvero necessari. È un passaggio professionale: un report scritto e motivato, rivisto dall'Avv. Lorenzo Passaro.
Un primo quadro giuridico, non una certificazione di conformità. Vai ai costi →
Come si inquadra il sistema
Pratiche vietate, alto rischio, obblighi di trasparenza o altre disposizioni pertinenti: che cosa emerge dalle informazioni fornite, oppure se nulla richiede attenzione prioritaria.
Che ruolo ha la tua organizzazione
Deployer, provider o situazione ibrida: dal ruolo dipendono gli obblighi che si applicano.
Quali profili privacy guardare
Dati particolari, profilazione, decisioni automatizzate e trasferimenti extra-UE: profili che possono richiedere verifiche, comprese eventuali valutazioni d’impatto o analisi dei trasferimenti.
Da dove cominciare
Indicazione delle verifiche e delle attività successive da valutare, con riferimento normativo e informazioni mancanti.
Molte organizzazioni acquistano o sperimentano strumenti di intelligenza artificiale prima di avere un quadro chiaro delle regole che li riguardano. Il punto non è solo se lo strumento funziona: è se può essere usato in quel contesto, con quei dati, per quella finalità e con quel fornitore.
L'AI Act non tratta tutti i sistemi allo stesso modo: vieta alcune pratiche, impone requisiti ai sistemi ad alto rischio e prevede obblighi di trasparenza per alcuni usi. Comprendere quali disposizioni possono riguardare il tuo caso è il punto di partenza.
Può essere deployer, se usa il sistema sotto la propria autorità, o provider, se lo sviluppa (o lo fa sviluppare) e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. L'apposizione del marchio su un sistema ad alto rischio, una modifica sostanziale o un cambiamento di destinazione d'uso possono incidere sulla qualificazione nei casi previsti dall'AI Act.
Categorie particolari di dati, profilazione, decisioni automatizzate e trasferimenti extra-UE possono richiedere verifiche differenti, comprese eventuali valutazioni d'impatto e analisi dei trasferimenti internazionali. ARO segnala i profili da approfondire.
Per i sistemi ad alto rischio, il provider deve fornire istruzioni per l'uso e il deployer è tenuto a utilizzare il sistema in conformità a esse nei termini previsti dall'AI Act. Anche negli altri casi, documentazione e chiarimenti del fornitore possono essere importanti per valutarne l'utilizzo concreto.
Non serve partire con tutte le risposte. Serve un primo quadro ordinato, scritto e motivato.
Cerchi un quadro generale? Approfondisci AI Act & AI Governance →
Offre un primo quadro giuridico a chi deve orientarsi su un sistema AI: prima di acquistarlo o metterlo in produzione, quando è già in uso, per capire che cosa chiedere al fornitore o se serve un assessment più ampio.
Per individuare le prime verifiche normative e organizzative prima di impegnare tempo e budget.
Il sistema è in uso e non è mai stato oggetto di un primo inquadramento giuridico.
Provider, deployer o altro operatore: la qualificazione può incidere sugli obblighi applicabili.
Mancano istruzioni o documentazione e occorre capire quali chiarimenti richiedere o se avviare verifiche ulteriori.
Imprese e PMI
Che stanno adottando tool AI nei processi operativi, HR, customer service, analisi documentale o processi decisionali, e vogliono capire cosa comporta normativamente prima di procedere.
Enti pubblici
Con sistemi AI in contesti sensibili: welfare, istruzione, accesso a servizi pubblici, supporto all'istruttoria, processi decisionali che incidono su diritti e benefici di cittadini.
Professionisti e studi
Che utilizzano o intendono adottare sistemi AI nell'attività professionale — per la gestione documentale, l'analisi delle informazioni, il supporto ai clienti — e vogliono comprendere il quadro normativo applicabile.
Al termine ricevi un report in PDF, rivisto da un avvocato prima della consegna. Offre un primo quadro giuridico per valutare come procedere, quali criticità approfondire e quali attività considerare.
Inquadramento AI Act, ruolo dell'organizzazione, principali elementi emersi e priorità, in una sintesi leggibile da chi deve decidere.
Inquadramento del sistema e delle possibili ipotesi dell'Allegato III, con motivazione, assunzioni e limiti. Gli elementi emersi sono distinti da quelli ancora da verificare.
Categorie di dati, base giuridica preliminare, profilazione, decisioni automatizzate e trasferimenti extra-UE. Indica quali verifiche valutare, incluse l'eventuale valutazione d'impatto sulla protezione dei dati (DPIA), la valutazione del legittimo interesse (LIA) o quella sui trasferimenti internazionali (TIA).
Le azioni da valutare per prime, ciascuna con riferimento normativo, motivazione e indicazione delle informazioni mancanti.
Dal questionario guidato al report: raccolta delle informazioni, analisi AI Act e GDPR, struttura del report e priorità operative.
Nel video: questionario guidato · raccolta delle informazioni · analisi AI Act e GDPR · struttura del report · priorità operative.
Il report è destinato all'uso interno della tua organizzazione. Non è una certificazione né un'attestazione verso terzi.
Informazioni diverse possono portare a esiti diversi. Questi scenari mostrano che cosa potrebbe emergere dal report.
Sistema
Scenario in cui potrebbe emergere una pratica vietata dall’AI Act: l’inferenza di emozioni in ambito lavorativo, salve le eccezioni previste per motivi medici o di sicurezza. Il report indicherebbe una verifica prioritaria e la valutazione di una sospensione della funzionalità.
Roadmap: 9 azioni — Verifica pratica vietata · Art. 9 GDPR · DPIA
Sistema
Scenario in cui il sistema potrebbe rientrare nell'Allegato III (selezione del personale), ma le informazioni disponibili non bastano per formulare una conclusione.
Roadmap: 5 azioni — Allegato III · DPIA · Profilazione
Sistema
Scenario in cui, sulla base delle informazioni ipotizzate, il sistema potrebbe rientrare tra quelli ad alto rischio dell'Allegato III (accesso a prestazioni pubbliche essenziali), con profilazione dei cittadini richiedenti.
Roadmap: 3 azioni — Qualificazione Allegato III · Art. 22 GDPR · Peso output AI
Sistema
Scenario senza profili dell'Allegato III, ma con un possibile obbligo di trasparenza (art. 50 AI Act). Occorre verificare, in particolare, se il provider abbia predisposto le misure affinché chi interagisce con il sistema sia informato, salvo che la natura dell'interazione sia evidente dal contesto.
Roadmap: Verificare obbligo e responsabilità di trasparenza (art. 50 AI Act)
Sistema
Scenario di uso interno su documenti non personali e non pubblici. Nessun elemento critico emerso nel perimetro preliminare, sulla base delle informazioni ipotizzate.
Roadmap: Nessuna azione prioritaria emersa nel perimetro preliminare
I casi riportati sono scenari fittizi elaborati a scopo illustrativo. Non anticipano l’esito di casi reali né sostituiscono una valutazione del sistema concreto.
AI Risk Overview è un metodo di analisi sviluppato internamente dallo Studio Legale Passaro per l'erogazione del servizio. Nasce dall'interpretazione delle disposizioni dell'AI Act e del GDPR, tradotte in criteri giuridici espliciti, applicati attraverso un sistema di regole strutturate.
Analisi automatizzata, revisione professionale
Le informazioni raccolte sono elaborate da un motore deterministico che applica regole logico-giuridiche e produce il report. Non utilizza un modello generativo per formulare il ragionamento: l'elaborazione automatizzata supporta uniformità e tracciabilità, e ogni risultato viene sottoposto alla revisione professionale prima della consegna.
Un questionario strutturato raccoglie informazioni su finalità, ruolo dell'organizzazione, dati trattati, supervisione umana, fornitori, trasferimenti e contesto d'uso. Se una risposta non è nota, puoi indicarla come «da verificare».
Il motore applica regole logico-giuridiche alle informazioni fornite: esamina la possibile qualificazione AI Act, il ruolo dell'organizzazione e i profili GDPR da approfondire.
Il risultato è un report PDF con sintesi, analisi AI Act, screening GDPR e indicazioni operative. Prima della consegna viene verificato dall'Avv. Lorenzo Passaro.
Il report è rivisto dall'Avv. Lorenzo Passaro, dello Studio Legale Passaro, prima di essere consegnato.
Conosci il team →Il questionario serve a descrivere il sistema AI e il suo contesto d'uso; il report viene elaborato localmente dallo Studio.
Entrambe le opzioni comprendono il report scritto, rivisto dallo Studio. La seconda aggiunge un incontro da remoto di 30 minuti con il professionista per discutere il report e orientarsi sui passi successivi.
Valutazione preliminare
Per un sistema AI
Valutazione + approfondimento
Per un sistema AI
Alcuni chiarimenti sul perimetro del servizio, sulle informazioni richieste e sulle modalità di svolgimento della valutazione.
È la valutazione giuridica preliminare dello Studio Legale Passaro per un sistema di intelligenza artificiale rispetto ad AI Act, GDPR e principali rischi organizzativi. Offre un primo inquadramento del possibile ruolo dell'organizzazione (ad esempio provider o deployer), della posizione del sistema rispetto a pratiche vietate, alto rischio e obblighi di trasparenza, e delle verifiche da approfondire. Si rivolge a imprese, enti pubblici e professionisti che usano o intendono adottare un sistema AI.
No. È una valutazione preliminare, pensata per orientare le decisioni successive: non certifica la conformità e non sostituisce un audit completo, una DPIA (valutazione d'impatto sulla protezione dei dati), una FRIA (valutazione d'impatto sui diritti fondamentali) o un parere legale esteso. L'eventuale necessità di questi approfondimenti dipende dal caso concreto e dagli obblighi applicabili: il report serve a capire se e dove approfondire.
L'elaborazione è automatizzata, la revisione è professionale. Le informazioni del questionario sono elaborate da un motore di analisi deterministico, basato su regole giuridiche esplicite, che non è un sistema di intelligenza artificiale generativa e viene usato localmente dallo Studio. Il report è poi rivisto dall'Avv. Lorenzo Passaro prima della consegna.
No. Il perimetro ordinario è un singolo sistema AI, nel suo specifico contesto d'uso: la valutazione di altri sistemi non è compresa nel prezzo. Attività ulteriori richiedono un incarico separato.
No. Quando un elemento non è noto, il questionario consente di indicarlo come «da verificare». Il report segnalerà le informazioni mancanti.
No, nella fase iniziale. Il questionario raccoglie solo informazioni strutturate e campi descrittivi limitati: non servono documenti, dataset, immagini, codice sorgente o credenziali.
Lo Studio verifica la richiesta, concorda le modalità di raccolta delle informazioni e, una volta ricevuti gli elementi necessari, avvia la valutazione.
Occorre verificare l'articolo 6 dell'AI Act, la destinazione d'uso e, secondo il caso, le condizioni relative ai prodotti dell'Allegato I o alle ipotesi dell'Allegato III. La qualificazione richiede l'esame delle condizioni, delle eccezioni e dei criteri applicabili al caso concreto. AI Risk Overview offre un primo inquadramento sulla base delle informazioni disponibili.
Il provider sviluppa, o fa sviluppare, un sistema AI e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio; il deployer lo utilizza sotto la propria autorità, nei termini dell'AI Act. L'apposizione del proprio marchio, le modifiche sostanziali o i cambiamenti della destinazione d'uso possono incidere sul ruolo e sugli obblighi: la qualificazione richiede una verifica del caso concreto.
AI Risk Overview non è un adempimento di legge, e non esiste un obbligo generalizzato di svolgere una valutazione preliminare come questa per ogni utilizzo. Vanno però considerate finalità, dati trattati, contesto operativo ed eventuali effetti sulle persone, per individuare gli obblighi realmente applicabili. Se questi elementi non sono chiari, un primo inquadramento può aiutare a metterli in ordine.
Sono rilevanti la destinazione d'uso, la documentazione del fornitore, il possibile ruolo dell'organizzazione, i dati personali coinvolti e le misure di sicurezza. Un primo screening aiuta a individuare le informazioni ancora da acquisire prima dell'adozione.
Report: €290. Report + Restituzione: €390, con un incontro da remoto di 30 minuti. Importi indicati oltre IVA, CPA e accessori. Ogni opzione riguarda un singolo sistema AI; attività ulteriori richiedono un incarico separato.
Riferimenti normativi: Regolamento (UE) 2024/1689 (AI Act) e Regolamento (UE) 2016/679 (GDPR). Informazioni di carattere preliminare aggiornate a ottobre 2026; l'applicabilità degli obblighi richiede una verifica del caso concreto.
Contatta lo Studio e descrivi il sistema AI che stai valutando o già usando. Lo Studio verifica con te se AI Risk Overview è il punto di partenza adatto al tuo caso. Risponderemo alla tua richiesta entro 24 ore.
Indirizzo
Corso Ventidue Marzo, 5
20129 Milano (MI)
Telefono
+39 02 3668 6521Orari
Lunedì – Venerdì, 9:00 – 19:00
