Investor Readiness AI Act: Roadmap 12 Mesi

Fonti: Reg. UE 2024/1689 (AI Act) Artt. 4, 26 e 27 · Reg. UE 2026/1744 · EDPB — AI models and personal data

Il cambiamento più significativo nel fundraising tech europeo degli ultimi due anni non riguarda le valutazioni o le metriche di crescita: riguarda la compliance. I general partner dei principali fondi VC che investono in Europa hanno internalizzato il fatto che una startup con sistemi AI non conformi è un asset che può essere bloccato dall'autorità di controllo o soggetto a sanzioni capaci di azzerare la liquidità. La due diligence si è adeguata. Per il quadro generale sulla compliance GDPR e AI Act, si veda la guida alle architetture di compliance per SaaS e startup. Per capire la FRIA che gli investitori verificheranno, si veda l'articolo dedicato alla FRIA nell'AI Act.

Perché i fondi verificano la compliance AI Act prima di investire

I fondi di investimento hanno tre ragioni concrete per includere la governance AI nella due diligence:

Il rischio sanzionatorio si trasferisce al fondo. Le sanzioni AI Act (fino a 35 milioni di euro o il 7% del fatturato globale per le violazioni più gravi) colpiscono la società partecipata e, attraverso essa, il valore della quota detenuta dal fondo. Un fondo che ha investito in una startup con sistemi AI vietati (dall'Art. 5 AI Act, in vigore dal febbraio 2025) si trova con un asset la cui attività principale è illegale in Europa.

La compliance è un proxy della qualità del team. Un team che ha già strutturato la governance algoritmica dimostra capacità di risk management, comprensione del contesto regolatorio europeo e maturità operativa. Sono le stesse qualità che predicono la capacità di scalare in mercati enterprise B2B regolamentati.

I clienti enterprise la richiedono. Le grandi aziende che acquistano soluzioni SaaS basate su AI hanno iniziato a includere nei questionari di vendor assessment specifiche domande sulla conformità AI Act. Una startup che non può rispondere diventa non qualificata per il procurement enterprise, riducendo drasticamente il TAM investibile.

La roadmap mese per mese

12 mesi prima del round: inventario e classificazione

Il punto di partenza obbligatorio è la mappatura completa di ogni componente software basato su AI presente nel prodotto o nelle operazioni interne: sviluppato internamente, integrato tramite API, acquistato come SaaS e riconfigurato.

Per ciascun componente identificato, va effettuata la classificazione del rischio secondo le categorie dell'AI Act: Rischio Inaccettabile (pratiche vietate dal febbraio 2025), Alto Rischio (Allegato III), GPAI, Rischio Limitato, Rischio Minimo. Qualsiasi funzionalità classificabile come pratica vietata deve essere sospesa immediatamente, indipendentemente dal round.

Questo inventario architetturale AI diventa il documento di apertura della data room.

9 mesi prima: DPIA e FRIA

Una volta completata la classificazione, si verificano separatamente i presupposti delle valutazioni. La DPIA è richiesta quando il trattamento può presentare un rischio elevato ai sensi dell'art. 35 GDPR; la FRIA è richiesta soltanto nel perimetro dell'art. 27 AI Act e, per le categorie interessate dell'Allegato III, si applicherà dal 2 dicembre 2027.

Queste valutazioni richiedono tempo: raccolta di informazioni tecniche dal fornitore del modello (per la DPIA integrata Art. 26 par. 9), analisi dei dati di addestramento, mappatura degli impatti, identificazione delle misure di attenuazione. Sei mesi non sono sufficienti se partito da zero.

6 mesi prima: DPA con i fornitori AI e governance interna

Verifica che tutti i contratti con i fornitori di modelli AI (OpenAI, Anthropic, Google, Azure AI) contengano DPA adeguati: clausole anti-addestramento, SCC, TIA, elenco sub-responsabili. Contratti generici o accettazioni online senza revisione specifica sono un red flag immediato nella due diligence. Per le clausole specifiche, si veda la guida al DPA con i fornitori di AI.

Parallelamente, istituisci formalmente la governance interna: designa il responsabile della supervisione umana (Art. 26 AI Act), avvia il piano di AI Literacy per il personale tecnico e manageriale (Art. 4 AI Act), predisponi la procedura di incident reporting.

3 mesi prima: verifica e documentazione finale

A tre mesi dall'apertura del round, avvia un audit interno di pre-due diligence: verifica che tutti i documenti siano completi, aggiornati e coerenti tra loro. Un inconsistenza tra la classificazione del rischio e la DPIA, o tra la DPIA e i DPA con i fornitori, è il tipo di gap che un legale esperto di un fondo VC individua in meno di un'ora.

Aggiorna la privacy policy pubblica con sezioni dedicate alle elaborazioni AI (Art. 13 e 14 GDPR) e alla spiegabilità delle decisioni automatizzate (Art. 22 GDPR).

Al momento dell'apertura del round: la data room AI-ready

La sezione AI/compliance della data room deve contenere:

I segnali d'allarme che bloccano un round

I fondi più sofisticati hanno sviluppato una lista di red flag specifici per la compliance AI Act. I più frequenti che portano a condizioni sospensive o all'abbandono dell'operazione:

• Sistemi AI classificabili come "pratiche vietate" ancora attivi (riconoscimento emotivo, social scoring, web scraping di volti)
• Dati di addestramento senza documentazione della base giuridica e delle licenze copyright
• Assenza di DPA con i principali fornitori LLM, o DPA generici senza clausole AI
• DPIA assente o non aggiornata per sistemi AI che trattano dati personali
• Incapacità del team di rispondere alle domande tecniche sulla classificazione del rischio
• Nessuna documentazione di test anti-bias per sistemi che influenzano decisioni sulle persone

Per le domande specifiche che i VC pongono in due diligence, si veda l'articolo dedicato alle 10 domande dei VC sulla compliance AI Act.

Articolo aggiornato al 26 maggio 2026. Il dato IBA sul 55% delle transazioni M&A in EMEA bloccate per ragioni di data protection fa riferimento a operazioni M&A in senso lato e non esclusivamente a round VC. Per supporto specifico, contatta lo studio.