AI Act: Scheda 4 / 5 - IA ad alto rischio, DVR e ruoli della prevenzione

Cinque schede settimanali di approfondimento normativo per DdL, RSPP e ASPP, preposti, RLS, responsabili HR, uffici tecnici e consulenti in materia di sicurezza
 

	Titolo e contenuto	A chi serve in primo luogo	Norma principale	Scadenza
1/5	Obblighi per le imprese dal 2 agosto 2026 Trasparenza, divieti assoluti e sanzioni: cosa è già in vigore e cosa scatta adesso	DdL · RSPP · Resp. comunicazione · HR	Artt. 4, 5, 50, 99 Reg. (UE) 2024/1689 + Reg. (UE) 2026/1744	2 feb. 2025 2 ago. 2026 2 dic. 2026
2/5	L’ambito applicativo dell’Allegato III Quali imprese e quali settori sono coinvolti dai sistemi di IA ad alto rischio	DdL · RSPP · Consulente HSE · Resp. acquisti	Art. 6 parr. 2–3, All. III Reg. (UE) 2024/1689 + Reg. (UE) 2026/1744	2 dic. 2027
3/5	Classificazione dei sistemi di IA Sistemi in ambienti immersivi con wearables: formazione tecnica e idoneità alla mansione	RSPP · Formatori HSE · HR · Sviluppatori sistemi formativi	Artt. 5 par. 1 lett. f, 6 par. 3 All. III punti 3–4	2 feb. 2025* 2 dic. 2027
4/5	DVR, RLS e medico competente Adempimenti D.Lgs. 81/2008 nell’introduzione di sistemi di IA ad alto rischio	DdL · RSPP · RLS · Medico competente	Artt. 17, 28, 36, 37, 41, 50 D.Lgs. 81/2008 + art. 26 Reg. (UE) 2024/1689	Subito 2 dic. 2027
5/5	Contratti e supply chain Come strutturare i rapporti con i fornitori di sistemi di IA ad alto rischio	DdL · Resp. acquisti · Legale d’impresa · Consulente HSE	Artt. 16, 24, 25, 26, 99, All. IV Reg. (UE) 2024/1689 + art. 28 GDPR	Prima della firma 2 dic. 2027

* Divieto di inferenza di stati emotivi in contesto lavorativo (art. 5 par. 1 lett. f): già operativo dal 2 febbraio 2025.

Tre domande per orientarsi nella serie.
 

• Uso già sistemi di IA in azienda — sono a rischio adesso?  → Scheda 1 (divieti già operativi) e Scheda 2 (verifica Allegato III).
• Sto valutando una piattaforma di formazione digitale o un software HR con IA — cosa devo fare?  → Schede 3, 4 e 5.
• Sono RSPP o consulente HSE e devo supportare il cliente nella compliance — da dove parto?  → Scheda 2 → Scheda 4 → Scheda 5.

DVR, RLS e medico competente
Adempimenti D.Lgs. 81/2008 nell’introduzione di sistemi di IA ad alto rischio in azienda

Provvedimenti	D.Lgs. 9 aprile 2008, n. 81 (T.U. Sicurezza sul Lavoro) — Reg. (UE) 2024/1689 (AI Act)
Norme operative	Artt. 17, 28, 29 D.Lgs. 81/2008 (DVR); art. 36 (informazione); art. 37 (formazione); art. 41 (sorveglianza sanitaria); art. 50 (RLS). Art. 14 par. 4 e art. 26 Reg. (UE) 2024/1689 (obblighi deployer e sorveglianza funzionale)
Responsabilità non delegabile	Art. 17 D.Lgs. 81/2008: valutazione dei rischi e redazione del DVR sono funzioni non delegabili del datore di lavoro
Quando agire	Prima dell’avvio del sistema: DVR, informativa ai lavoratori, consultazione RLS (almeno 30 giorni prima), protocollo raccordo con medico competente
Destinatari principali	Datore di lavoro, RSPP, RLS, medico competente, consulente HSE

Questa scheda è il punto di raccordo tra l’AI Act e il sistema di gestione della sicurezza e salute sul lavoro disciplinato dal D.Lgs. 81/2008. Dopo aver identificato nella Scheda 2 quali sistemi rientrano nell’Allegato III e nella Scheda 3 come classificarli, questa scheda risponde alla domanda operativa: cosa deve fare concretamente il datore di lavoro, con il supporto dell’RSPP, prima di introdurre in azienda un sistema di IA ad alto rischio? Il punto 2 tratta il DVR; il punto 3 la consultazione dell’RLS; il punto 4 il raccordo con il medico competente; il punto 5 la funzione di sorveglianza degli output; il punto 6 la formazione dei lavoratori.

Abstract
L’introduzione di un sistema di IA ad alto rischio in azienda non è un acquisto tecnologico ordinario: è un evento che modifica il sistema di gestione della sicurezza e salute sul lavoro e genera adempimenti specifici ai sensi del D.Lgs. 81/2008 che si cumulano con quelli dell’AI Act. Il DVR deve essere aggiornato con una sezione dedicata al sistema di IA, comprensiva dei tre profili di rischio specifici (output non supervisionato, bias algoritmico, raccolta dati comportamentali e fisiologici) e delle misure di prevenzione e controllo adottate. La consultazione dell’RLS deve avvenire preventivamente, con almeno trenta giorni di anticipo, in forza dell’art. 50 D.Lgs. 81/2008 (nuove tecnologie), cui dal 2 dicembre 2027 si affiancherà l’art. 26 Reg. (UE) 2024/1689 (informativa a lavoratori e rappresentanti). Il medico competente deve essere coinvolto nella definizione di un protocollo di raccordo che separi nettamente la valutazione tecnico-operativa prodotta dal sistema di IA — valutazione di performance — dal giudizio di idoneità alla mansione, che rimane atto medico-legale di sua esclusiva competenza ai sensi dell’art. 41 D.Lgs. 81/2008.
 

L’AI Act e il D.Lgs. 81/2008 operano su piani normativi distinti ma convergenti. L’AI Act regola la progettazione e l’utilizzo dei sistemi di IA in funzione del rischio per la salute, la sicurezza e i diritti fondamentali delle persone. Il D.Lgs. 81/2008 regola la gestione della sicurezza e salute nei luoghi di lavoro, imponendo al datore di lavoro di valutare tutti i rischi cui sono esposti i lavoratori e di adottare le misure di prevenzione e protezione conseguenti.

Un sistema di IA ad alto rischio che valuta la formazione o l’idoneità tecnica dei lavoratori, che monitora le loro prestazioni o che acquisisce dati biometrici e fisiologici durante l’attività lavorativa incide direttamente su entrambi i piani: è un sistema soggetto all’AI Act in quanto fornitore e deployer, ed è un fattore di rischio rilevante ai sensi del D.Lgs. 81/2008 in quanto strumento che incide sulle condizioni di lavoro, sulla valutazione dei lavoratori e sulla loro salute psicofisica. I due quadri normativi non si escludono: si applicano cumulativamente e i relativi adempimenti devono essere assolti entrambi.

Le due discipline hanno però tempi diversi. Gli adempimenti del D.Lgs. 81/2008 — aggiornamento del DVR, informazione dei lavoratori, consultazione dell’RLS, raccordo con il medico competente — valgono già oggi, dal momento in cui il sistema viene introdotto in azienda. Gli obblighi che l’AI Act pone in capo al deployer, raccolti nell’art. 26, diventano invece esigibili dal 2 dicembre 2027 per i sistemi dell’Allegato III. Nella pratica questo non cambia la sequenza operativa descritta in questa scheda: chi introduce oggi un sistema di IA deve comunque assolvere gli obblighi nazionali, e conviene impostare fin da subito la documentazione in modo da coprire anche quelli europei.

L’art. 28 D.Lgs. 81/2008 impone che il DVR valuti tutti i rischi per la sicurezza e la salute dei lavoratori, comprese le differenze di genere, l’età e la provenienza da altri paesi. L’art. 17 qualifica questa funzione come non delegabile del datore di lavoro. Un sistema di IA ad alto rischio che produce valutazioni sui lavoratori introduce almeno tre profili di rischio specifici che devono essere identificati, valutati e documentati nel DVR.

Profilo 1 — Rischio da output non supervisionato
Se l’output del sistema di IA non è adeguatamente supervisionato da un responsabile competente prima che produca effetti su decisioni relative alla formazione, alla mansione o alle condizioni di lavoro, esiste il rischio che una valutazione errata causi danni alla salute o alla sicurezza: assegnazione di un compito pericoloso a un lavoratore che il sistema ha erroneamente valutato come idoneo, o limitazione ingiustificata di un lavoratore competente con conseguenze sulla sua condizione professionale e psicologica. Questo rischio deve essere identificato, valutato con la metodologia adottata dall’impresa e governato con misure specifiche di prevenzione e controllo.

Profilo 2 — Rischio da bias algoritmico
I modelli di IA sono addestrati su dataset che possono non rappresentare adeguatamente la composizione della forza lavoro dell’impresa per genere, età, provenienza geografica, livello di esperienza o disabilità. Un sistema addestrato prevalentemente su operatori giovani e di sesso maschile produce valutazioni sistematicamente sfavorevoli per lavoratrici, lavoratori anziani o lavoratori con background diverso. L’art. 28 D.Lgs. 81/2008 richiede esplicitamente che la valutazione dei rischi tenga conto delle differenze di genere, dell’età e della provenienza: il rischio da bias algoritmico rientra in questo perimetro e deve essere valutato e documentato. Il deployer deve richiedere al fornitore i dati sulla composizione del dataset di addestramento e le misure adottate per la gestione dei bias. Il nuovo art. 4 bis Reg. (UE) 2024/1689 consente inoltre al deployer di un sistema ad alto rischio di trattare in via eccezionale categorie particolari di dati personali quando ciò sia strettamente necessario per rilevare e correggere distorsioni, alle condizioni ivi previste: è una base giuridica, non un obbligo di verifica.

Profilo 3 — Rischio da raccolta di dati comportamentali e fisiologici
L’uso di dispositivi indossabili o di sistemi di rilevamento comportamentale durante l’attività lavorativa introduce un rischio di intrusione nella sfera personale del lavoratore che, se non governato con misure organizzative e tecniche adeguate, può generare stress lavoro-correlato, percezione di sorveglianza invasiva e deterioramento del clima organizzativo. Questi effetti sono rischi per la salute dei lavoratori ai sensi dell’art. 28 D.Lgs. 81/2008 e devono essere valutati anche quando i dati raccolti non configurano inferenza emotiva vietata.

Contenuti minimi della sezione DVR
La sezione del DVR dedicata al sistema di IA deve contenere i seguenti elementi. Se l’impresa non dispone di un modello strutturato, può utilizzare la checklist operativa riportata di seguito come guida alla redazione.
 

Identificazione del sistema	Denominazione, versione, fornitore, funzioni svolte, tipologia di output prodotto, dati acquisiti, reparti e lavoratori coinvolti.
Classificazione AI Act	Punto Allegato III applicabile; scadenza obblighi di conformità; assenza di pratiche vietate ex art. 5 verificata.
Valutazione dei 3 profili di rischio	Output non supervisionato, bias algoritmico, raccolta dati comportamentali/fisiologici: probabilità e gravità del danno.
Misure di prevenzione e controllo	Procedura di sorveglianza funzionale; responsabile designato; limiti d’uso dichiarati dal fornitore; misure di sicurezza dei dati.
Documentazione tecnica del fornitore	Riferimento alla documentazione ex Allegato IV AI Act ricevuta; stato della valutazione di conformità; istruzioni d’uso.
Sorveglianza funzionale degli output	Identificazione del soggetto che esercita la sorveglianza (ruolo, formazione ricevuta, procedura di segnalazione); modalità di conservazione dei log.
Informativa ai lavoratori	Data, modalità e contenuto dell’informativa erogata (art. 36 D.Lgs. 81/2008; dal 2 dicembre 2027 anche art. 26 AI Act). Firma di ricezione o equivalente.
Consultazione RLS	Data della consultazione; contenuto della comunicazione all’RLS; osservazioni RLS e risposta del datore di lavoro.
Raccordo con il medico competente	Protocollo di raccordo definito e documentato; perimetro concordato tra output IA e giudizio di idoneità; eventuali aggiornamenti del protocollo di sorveglianza sanitaria.
Aggiornamento programmato	Periodicità di revisione (almeno annuale o a seguito di: aggiornamenti del sistema, incidenti, modifiche della forza lavoro).

 

Doppio fondamento normativo
L’obbligo di consultare l’RLS prima dell’introduzione di un sistema di IA ad alto rischio in azienda trova fondamento in due distinte fonti normative destinate a cumularsi: la prima è già operativa, la seconda lo diventa dal 2 dicembre 2027.
 

• Art. 50 par. 1 lett. b D.Lgs. 81/2008: l’RLS ha il diritto di essere consultato preventivamente e tempestivamente «sull’introduzione di nuove tecnologie, in relazione alle conseguenze che queste hanno sulla sicurezza e salute dei lavoratori». Un sistema di IA ad alto rischio per la valutazione della formazione o dell’idoneità tecnica è una nuova tecnologia in questo senso.
• Art. 26 Reg. (UE) 2024/1689, applicabile dal 2 dicembre 2027: il deployer di un sistema di IA ad alto rischio deve informare i lavoratori e i loro rappresentanti prima che il sistema sia introdotto nel luogo di lavoro. Il termine «rappresentanti dei lavoratori» include l’RLS. Il termine «informare» in questo contesto comprende la consultazione preventiva ai sensi del D.Lgs. 81/2008: un’informativa unilaterale non adempie all’obbligo di consultazione del D.Lgs. 81/2008.

Tempistica: almeno trenta giorni prima dell’avvio
L’art. 50 D.Lgs. 81/2008 richiede che la consultazione avvenga «preventivamente»; l’art. 26 AI Act richiederà, dal 2 dicembre 2027, che l’informativa sia fornita «prima» dell’introduzione del sistema. È raccomandata una tempistica di almeno trenta giorni prima dell’avvio, per consentire all’RLS di acquisire la documentazione necessaria, formarsi un’opinione, esprimere osservazioni e, se necessario, richiedere approfondimenti. Una consultazione effettuata il giorno prima dell’avvio non soddisfa il requisito di preventività.

Contenuto della comunicazione all’RLS
La comunicazione deve contenere, in forma comprensibile e non solo tecnica: descrizione del sistema (cosa fa, quali dati acquisisce, come vengono elaborati); classificazione AI Act (punto Allegato III, stato della conformità del fornitore); finalità dell’utilizzo in azienda con indicazione esplicita di cosa il sistema non può fare (produrre giudizi di idoneità, inferire emozioni, produrre decisioni automatiche vincolanti); misure di tutela adottate (sorveglianza funzionale, diritto del lavoratore a richiedere la revisione degli output, conservazione e accesso ai log, tempi di conservazione); impatti sul DVR (tre profili di rischio e misure di controllo adottate); modalità di aggiornamento futuro.

Diritti dell’RLS nel processo di consultazione
L’RLS ha il diritto di ricevere le informazioni e la documentazione aziendale inerente la valutazione dei rischi (art. 50 par. 1 lett. e D.Lgs. 81/2008). In relazione al sistema di IA, questo include la documentazione tecnica ricevuta dal fornitore (istruzioni d’uso, parametri di accuratezza, limiti dichiarati) e la sezione del DVR dedicata al sistema. L’RLS può formulare osservazioni e proposte; il datore di lavoro deve motivare la risposta. Le osservazioni dell’RLS e la risposta del datore di lavoro devono essere documentate a verbale e richiamate nel DVR.

Due piani distinti e non sovrapponibili
L’output del sistema di IA è una valutazione tecnico-operativa della performance: misura cosa il lavoratore sa fare e come lo fa in un determinato contesto operativo. È una valutazione di competenza tecnica in condizioni controllate.

Il giudizio di idoneità alla mansione ai sensi dell’art. 41 D.Lgs. 81/2008 è un atto medico-legale che esprime la compatibilità tra lo stato di salute del lavoratore — fisico e psichico — e i requisiti sanitari della mansione specifica. È emesso esclusivamente dal medico competente all’esito della sorveglianza sanitaria, che comprende visita medica, anamnesi, eventuali accertamenti diagnostici e conoscenza approfondita della mansione e dei suoi rischi. Ha effetti giuridici diretti sul rapporto di lavoro: un giudizio di inidoneità o di idoneità con prescrizioni vincola il datore di lavoro.

Limite invalicabile — art. 41 D.Lgs. 81/2008: il sistema di IA non può produrre, sostituire, anticipare o condizionare il giudizio di idoneità alla mansione del medico competente. L’output del sistema è una valutazione tecnico-operativa; il giudizio di idoneità è un atto medico-legale. La loro sovrapposizione, anche parziale, configura un’interferenza con le prerogative esclusive del medico competente. Il datore di lavoro non può utilizzare l’output del sistema per modificare la mansione, limitare i compiti o adottare provvedimenti che incidano sul rapporto di lavoro senza il coinvolgimento del medico competente nei casi previsti dalla legge.

Come il sistema di IA può utilmente interagire con la sorveglianza sanitaria
Nel rispetto del limite invalicabile, il sistema di IA può fornire al medico competente informazioni utili nell’ambito della sorveglianza sanitaria, a condizione che ciò avvenga in modo formalmente corretto.
 

• Dati oggettivi sull’esecuzione del compito: la reportistica prodotta dal sistema (tempi di reazione, sequenze operative, errori commessi) può essere utilizzata dal medico competente come elemento informativo — al pari di altri dati oggettivi sull’attività lavorativa — nell’ambito della visita medica periodica o su richiesta del lavoratore.
• Segnalazione di anomalie rilevanti: se il sistema rileva pattern di esecuzione significativamente difformi dalla norma per un determinato lavoratore, il responsabile della sorveglianza funzionale valuta la segnalazione e, se del caso, la trasmette al medico competente per una visita medica mirata. La segnalazione attiva la procedura di sorveglianza sanitaria; non è un giudizio di inidoneità.
• Aggiornamento del profilo di rischio della mansione: i dati aggregati prodotti dal sistema per una tipologia di compito possono contribuire all’aggiornamento del profilo di rischio della mansione, di cui il medico competente è chiamato a tenere conto nella collaborazione alla valutazione dei rischi e nella programmazione della sorveglianza sanitaria (art. 25, comma 1, lett. a, D.Lgs. 81/2008).

Il protocollo di raccordo: cosa definire prima dell’avvio
Datore di lavoro, RSPP e medico competente devono definire e documentare prima dell’avvio del sistema un protocollo di raccordo che stabilisca: quali output possono essere trasmessi al medico competente, in quale forma e con quali garanzie di riservatezza; in quali circostanze un output del sistema attiva una procedura di visita medica mirata e chi è responsabile di avviarla; che nessun output del sistema può essere utilizzato per modificare la mansione o adottare provvedimenti disciplinari senza il giudizio del medico competente nei casi previsti dalla legge; le modalità di aggiornamento del protocollo in caso di modifiche sostanziali al sistema. Il protocollo deve essere allegato al DVR.

L’AI Act non istituisce una figura formalmente nominata come «responsabile della sorveglianza umana». Il Regolamento è preciso sul punto: l’art. 14 par. 4 parla di «persone fisiche cui è assegnata la sorveglianza» e l’art. 26 par. 1 richiede che abbiano competenza, formazione e autorità adeguate a comprendere i limiti del sistema, riconoscere output anomali e segnalarli. Si tratta di requisiti funzionali, non di qualifiche formali. Non è necessario creare un ruolo aziendale aggiuntivo né gravare le figure già esistenti — DdL, RSPP, HR — di ulteriori responsabilità operative sui singoli output.

Nella pratica delle PMI e delle imprese di medie dimensioni, la sorveglianza funzionale è tipicamente esercitata dall’utilizzatore diretto del sistema: il lavoratore formato all’uso del sistema che, nel corso dell’utilizzo quotidiano, riconosce output anomali o inattesi e li segnala secondo una procedura documentata nel DVR. Le decisioni sulle conseguenze dell’output — modifiche al percorso formativo, segnalazione al medico competente, comunicazione al responsabile HR — restano in capo alle figure già titolari di quelle funzioni: RSPP, medico competente, responsabile HR, secondo le rispettive competenze.

Lo schema operativo della sorveglianza funzionale
L’utilizzatore del sistema (lavoratore formato) → osserva il funzionamento, riconosce output anomali, segnala secondo la procedura DVR.
Il destinatario della segnalazione (RSPP, HR, IT o medico competente a seconda della natura dell’anomalia) → valuta la segnalazione e decide l’azione conseguente.
Il DVR → documenta la catena di segnalazione, le soglie di anomalia che attivano la segnalazione, i tempi di risposta e le modalità di conservazione dei log.

Questo schema è applicabile a imprese di qualsiasi dimensione, incluse le microimprese, senza necessità di creare ruoli aggiuntivi.

Informativa obbligatoria prima dell’avvio
L’art. 36 D.Lgs. 81/2008 impone al datore di lavoro di fornire a ciascun lavoratore un’adeguata informazione sui rischi specifici cui è esposto. L’art. 26 par. 1 AI Act aggiungerà, dal 2 dicembre 2027, l’obbligo di informativa prima dell’introduzione del sistema nel luogo di lavoro. Il contenuto minimo dell’informativa deve includere: finalità del sistema e sua classificazione AI Act; tipologia di dati acquisiti e modalità di elaborazione; utilizzo degli output e chi li riceve; diritto del lavoratore a richiedere la revisione umana di una valutazione che lo riguarda; modalità di conservazione e accesso ai dati; canale di segnalazione di anomalie o malfunzionamenti. L’informativa deve essere erogata in forma comprensibile, tenendo conto delle differenze linguistiche, e documentata con firma di ricezione o equivalente.

Formazione all’uso del sistema e alfabetizzazione IA
L’art. 37 D.Lgs. 81/2008 impone la formazione specifica sui rischi propri della mansione. L’art. 4 Reg. (UE) 2024/1689 come modificato dall’Omnibus impone misure volte a sostenere l’alfabetizzazione in materia di IA del personale che utilizza o gestisce sistemi di IA, senza imporre di garantire un livello specifico di alfabetizzazione per alcuna persona: è un requisito funzionale calibrato al contesto d’uso. Questo obbligo, a differenza di quelli dell’art. 26, è operativo dal 2 febbraio 2025. I lavoratori che utilizzano il sistema devono ricevere una formazione specifica che comprenda: funzionamento del sistema e limiti di accuratezza dichiarati; procedure di utilizzo corretto; criteri per il riconoscimento di output anomali; procedura di segnalazione; diritti dei lavoratori valutati dal sistema. Questa formazione è tipicamente erogata dal fornitore nell’ambito dell’onboarding contrattuale e deve essere documentata.

• Non delegabilità del DVR: l’aggiornamento del DVR per l’introduzione del sistema di IA è responsabilità personale e non delegabile del datore di lavoro ai sensi dell’art. 17 D.Lgs. 81/2008. Il consulente esterno può predisporre tecnicamente la sezione, ma la firma e la responsabilità giuridica rimangono in capo al datore di lavoro.
• Sequenza temporale: tutti gli adempimenti pre-avvio (DVR aggiornato, informativa ai lavoratori, consultazione RLS, protocollo con medico competente) devono essere completati prima dell’avvio del sistema. Un DVR aggiornato dopo l’avvio non sana il vizio procedurale.
• Documentazione della consultazione RLS: la consultazione deve essere formalizzata in un verbale che contenga data, contenuto, osservazioni dell’RLS e risposta del datore di lavoro. In assenza di verbale, la consultazione non è dimostrabile in caso di procedimento ispettivo.
• Aggiornamento del DVR a ogni modifica sostanziale del sistema: un aggiornamento del sistema di IA che ne modifichi le funzionalità, i dati acquisiti o il contesto d’uso configura un nuovo evento che richiede aggiornamento del DVR, nuova consultazione dell’RLS e verifica del protocollo con il medico competente.
• Conservazione dei log: l’art. 26 par. 6 Reg. (UE) 2024/1689 imporrà al deployer, dal 2 dicembre 2027, la conservazione dei log generati dal sistema per un periodo adeguato alla finalità del sistema e comunque di almeno sei mesi. È opportuno attivare il logging fin dall’avvio del sistema: i log sono anche l’unico modo per dimostrare come è stata esercitata la sorveglianza sugli output. Il DVR deve indicare le modalità, i tempi di conservazione e le procedure di accesso ai log da parte delle autorità di vigilanza. Il termine minimo può essere superato da normativa settoriale o da esigenze di prova in caso di controversia.
• Stress lavoro-correlato e sorveglianza algoritmica: la percezione di essere continuamente monitorati e valutati da un sistema automatico può generare stress lavoro-correlato. Il DVR deve valutare questo profilo di rischio e prevedere misure di mitigazione, incluse la comunicazione trasparente ai lavoratori sulle modalità di utilizzo degli output e la garanzia che nessuna decisione rilevante sia adottata sul solo output del sistema senza revisione umana.

Prima dell’avvio del sistema, in questa sequenza:
(1) RSPP predispone la sezione DVR dedicata al sistema di IA con i tre profili di rischio e le misure di controllo.
(2) Datore di lavoro aggiorna il DVR (atto non delegabile) e designa il soggetto che eserciterà la sorveglianza funzionale sugli output.
(3) Datore di lavoro e RSPP definiscono con il medico competente il protocollo di raccordo che separa output del sistema IA e giudizio di idoneità.
(4) Datore di lavoro avvia la consultazione dell’RLS almeno trenta giorni prima dell’avvio, con documentazione a verbale.

All’avvio:
(5) Informativa ai lavoratori erogata e documentata.
(6) Formazione all’uso del sistema completata per tutti gli utilizzatori.
(7) Sistema di logging verificato attivo.

Nel corso dell’utilizzo:
(8) Segnalazioni di anomalie gestite secondo il protocollo DVR.
(9) DVR aggiornato almeno annualmente e a ogni modifica sostanziale.
(10) Con il 2 dicembre 2027, conformità AI Act piena del fornitore verificata e documentata nel DVR.

L’adempimento più frequentemente omesso è la consultazione preventiva dell’RLS: avviene spesso dopo l’avvio o non avviene. È il primo profilo che sarà verificato in caso di ispezione.

D.Lgs. 9 aprile 2008, n. 81 (T.U. Sicurezza sul Lavoro): art. 17 (non delegabilità DVR); art. 25, comma 1, lett. a (medico competente: collaborazione alla valutazione dei rischi, anche ai fini della programmazione della sorveglianza sanitaria); art. 28 (valutazione rischi, genere, età, provenienza); art. 29 (modalità di effettuazione della VdR); art. 36 (informazione lavoratori); art. 37 (formazione); art. 41 (sorveglianza sanitaria e giudizio di idoneità); art. 50 par. 1 lett. b e lett. e (attribuzioni RLS: consultazione su nuove tecnologie e accesso documentazione).
Regolamento (UE) 2024/1689, 13 giugno 2024 (AI Act): art. 4 come modificato (alfabetizzazione IA: requisito funzionale, operativo dal 2 febbraio 2025); art. 4 bis (trattamento di categorie particolari di dati personali per il rilevamento e la correzione delle distorsioni); art. 14 par. 4 (persone fisiche cui è assegnata la sorveglianza: competenza, formazione, autorità); art. 26 parr. 1 e 6 (obblighi deployer: sorveglianza funzionale, conservazione log almeno sei mesi, informativa a lavoratori e rappresentanti — applicabili dal 2 dicembre 2027); Allegato III punti 3 e 4.
Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio, 8 luglio 2026 (Omnibus digitale sull’IA) — GUUE L, 2026/1744, 24 luglio 2026; in vigore dal 27 luglio 2026. Per quanto qui rileva riscrive l’art. 4, introduce l’art. 4 bis e fissa all’art. 113 la decorrenza degli obblighi del Capo III per i sistemi dell’Allegato III al 2 dicembre 2027. Non sono invece modificati gli artt. 14, 25 par. 1, 26 e 41 del quadro qui descritto, né i punti 3 e 4 dell’Allegato III.