Come viene condotto un Gap Assessment.

Tracciabilità. Ogni giudizio di conformità è ancorato a un articolo puntuale del Regolamento (UE) 2024/1689 e, dove applicabile, ai relativi considerando. Il report rende esplicita la catena tra evidenza raccolta, articolo di riferimento e conclusione.

Prudenza tecnica. In presenza di ambiguità interpretativa o assenza di guidance ufficiale, si adotta la lettura più cautelativa per l'organizzazione valutata, segnalando esplicitamente l'incertezza e le fonti aperte.

Azionabilità. Le raccomandazioni sono ordinate per impatto regolatorio e stima di effort. L'obiettivo non è un documento conforme, ma un'organizzazione meno esposta.

Ogni sistema AI viene prima classificato nella categoria di rischio appropriata. Da questa classificazione discendono gli obblighi applicabili: pratiche vietate, requisiti pieni per sistemi ad alto rischio, obblighi di trasparenza per rischi limitati, o semplice rispetto dei principi generali.

Per ciascun articolo applicabile, il report assegna uno dei quattro stati sottostanti. La scala è volutamente essenziale: granularità maggiore introdurrebbe falsa precisione su materia ancora priva di enforcement consolidato.

La tabella sottostante elenca gli articoli del Regolamento che costituiscono il cuore dell'assessment per sistemi classificati ad alto rischio. Per altri profili (rischio limitato, GPAI, pratiche proibite) il perimetro viene adeguato in fase di kick-off.

1. Scoping. Definizione del perimetro: sistemi AI in scope, ruolo dell'organizzazione (provider, deployer, importatore, distributore), giurisdizioni di immissione sul mercato, finalità d'uso dichiarate.
2. Classificazione. Applicazione dei criteri di Art. 5, 6 e Allegato III per determinare la categoria di rischio. Motivazione documentata e, dove rilevante, richiamo ai considerando.
3. Mappatura obblighi. A partire dalla categoria di rischio e dal ruolo, si estraggono gli articoli applicabili. Gli articoli non applicabili vengono elencati con la motivazione di esclusione.
4. Valutazione evidenze. Per ciascun articolo applicabile si esamina la documentazione fornita (policy, specifiche tecniche, contratti, log) e si assegna un livello nella scala di conformità.
5. Prioritizzazione. I gap vengono ordinati combinando livello di non conformità, impatto regolatorio e stima di effort. Il risultato è un piano di azioni sequenziabili prima del 2 agosto 2026.

Il metodo si basa esclusivamente su fonti primarie e su guidance ufficiale pubblicata dalla Commissione europea o dall'AI Office. In assenza di guidance consolidata, vengono richiamate fonti secondarie autorevoli (es. ENISA, CEN-CENELEC) segnalandone la natura non vincolante.