Il primo passo è verificare se lo strumento che uso rientra nella definizione di sistema di AI fissata dal Regolamento. Se rientra, gli obblighi dipendono da due variabili: il ruolo della mia azienda e il livello di rischio del sistema.
L’AI Act è il regolamento europeo che disciplina lo sviluppo e l’uso dell’intelligenza artificiale nell’Unione. Non tratta tutti i sistemi allo stesso modo. Alcuni sono vietati, altri classificati ad alto rischio, altri soggetti solo a obblighi di trasparenza, altri ancora fuori campo.
Per orientarmi seguo una sequenza precisa: identifico il ruolo, controllo se il sistema è ad alto rischio, verifico se rientra nell’ambito territoriale della norma e infine analizzo funzioni particolari come i deepfake o il riconoscimento emotivo.
Cosa considera l’AI Act un sistema di intelligenza artificiale?
Un sistema di AI è un sistema basato su macchina, progettato per operare con livelli di autonomia variabili, che dalla propria input deduce come generare output quali previsioni, contenuti, raccomandazioni o decisioni capaci di influenzare ambienti fisici o virtuali. La definizione è nell’articolo 3, punto 1 del Regolamento.
La formulazione è ampia di proposito. Coprire machine learning, sistemi generativi e modelli predittivi. Se lo strumento che uso si limita a eseguire regole fisse senza inferenza, probabilmente resta fuori. La distinzione conta perché determina se devo proseguire l’analisi o fermarmi subito.
Qual è il mio ruolo secondo il Regolamento?
Il ruolo definisce gli obblighi. L’AI Act individua sei figure distinte, e posso ricoprirne più di una contemporaneamente. In quel caso devo ripetere la verifica per ogni ruolo.
Con fornitore (provider) si intende chi sviluppa un sistema di AI e lo immette sul mercato con il proprio nome o marchio. Con deployer si intende chi usa un sistema di AI sotto la propria autorità, escluso l’uso personale non professionale.
I ruoli previsti dall’articolo 3 del Regolamento
- Fornitore: sviluppa il sistema e lo immette sul mercato a proprio nome.
- Deployer: utilizza il sistema sotto la propria autorità in ambito professionale.
- Distributore: rende disponibile un sistema sul mercato UE, senza essere fornitore o importatore.
- Importatore: immette sul mercato UE un sistema che porta il marchio di un soggetto extra-UE.
- Fabbricante di prodotto: immette un sistema di AI insieme al proprio prodotto e sotto il proprio marchio.
- Rappresentante autorizzato: agisce nell’UE per conto di un fornitore tramite mandato scritto.
Attenzione a un meccanismo importante. Se un deployer, distributore o importatore modifica in modo sostanziale un sistema, cambia il nome o l’uso previsto, diventa fornitore ai sensi dell’articolo 25. A quel punto eredita tutti gli obblighi più stringenti previsti per chi immette il sistema sul mercato.
Il mio sistema è considerato ad alto rischio?
Dipende da dove ricade il sistema e da cosa fa. L’AI Act classifica come ad alto rischio i sistemi legati a prodotti già regolati da leggi UE e quelli che operano in otto ambiti sensibili elencati nell’Allegato III.
Un sistema è ad alto rischio quando riguarda aree come biometria, infrastrutture critiche, istruzione, gestione dei lavoratori, accesso a servizi essenziali, applicazione della legge, migrazione e amministrazione della giustizia. Rientra anche quando è un componente di sicurezza di prodotti come macchinari, dispositivi medici, giocattoli o ascensori.
Esiste però un’eccezione utile. Il sistema non è considerato ad alto rischio se svolge un compito procedurale ristretto, migliora un risultato umano già completato, rileva scostamenti senza sostituire il giudizio umano, o prepara una valutazione. La profilazione di persone fisiche resta però sempre classificata ad alto rischio, secondo l’articolo 6, punto 3.
Il mio sistema è soggetto a divieti o a obblighi di trasparenza?
Sì, alcune funzioni sono vietate a prescindere dal ruolo. L’articolo 5 elenca pratiche proibite come lo scoring sociale, il predictive policing, il riconoscimento emotivo in ambito lavorativo o scolastico e le tecniche manipolative subliminali.
Con deepfake si intende un contenuto immagine, audio o video generato o manipolato dall’AI in modo da apparire autentico. Se il mio sistema produce deepfake, genera contenuti sintetici o interagisce direttamente con le persone, scattano gli obblighi di trasparenza dell’articolo 50: devo dichiarare in modo chiaro che il contenuto o l’interazione derivano da un sistema di AI.
C’è poi un obbligo specifico per gli enti pubblici. Un deployer di un sistema ad alto rischio, se è un organismo di diritto pubblico o un privato che fornisce servizi pubblici, deve svolgere una valutazione d’impatto sui diritti fondamentali prima dell’uso, come previsto dall’articolo 27.
Le domande che mi fanno più spesso sull’AI Act
La mia azienda usa un chatbot commerciale: rientro negli obblighi?
Se il chatbot interagisce direttamente con le persone, sì. Scatta l’obbligo di trasparenza dell’articolo 50: devo informare chiaramente l’utente che sta parlando con un sistema di AI. Se il chatbot non ricade in un ambito ad alto rischio, questo resta l’obbligo principale. Il mio ruolo tipico in questo caso è quello di deployer.
Sono fuori dall’UE ma i miei utenti sono europei. L’AI Act si applica?
Sì, se l’output del sistema viene usato nell’Unione. L’articolo 2 estende l’ambito territoriale anche a chi è stabilito fuori dall’UE, quando i risultati del sistema hanno effetti sul mercato europeo. La sede legale non basta a escludere gli obblighi. Conta dove viene utilizzato l’output.
Il software open source è sempre escluso?
No, l’esclusione ha un limite preciso. I componenti forniti sotto licenza libera e open source restano fuori dall’AI Act finché non vengono integrati da un fornitore in un sistema ad alto rischio, vietato, di uso generale o soggetto a trasparenza. Da quel momento gli obblighi si applicano, secondo l’articolo 2, punto 12.
Quanto tempo serve per mappare i sistemi di un’azienda?
Dipende dal numero di sistemi e dal loro ruolo. La verifica va fatta per ogni singolo sistema di AI e per ogni ruolo aziendale coinvolto. In una PMI con pochi strumenti l’analisi è rapida. In realtà con molti sistemi integrati nei processi serve una mappatura strutturata, perché ogni classificazione errata espone a sanzioni previste dall’articolo 99.
Cosa rischio se classifico male un sistema?
Se un’autorità di sorveglianza rileva una classificazione errata, il sistema viene trattato come ad alto rischio con tutti gli obblighi del Capo III, Sezione 2. In più posso essere soggetto a sanzioni ai sensi dell’articolo 99. Per questo l’analisi iniziale del ruolo e del livello di rischio va documentata con cura.
Mettiamo ordine nei tuoi sistemi di AI
Capire dove ricade ciascun sistema è il punto di partenza di qualsiasi progetto di conformità. Ruolo, livello di rischio e obblighi vanno verificati caso per caso, non applicati in blocco.
Lavoro con imprenditori e responsabili che usano l’AI nei processi e vogliono capire quali obblighi li riguardano davvero, senza allarmismi e senza sottovalutazioni. Il primo confronto serve proprio a questo: guardare i tuoi sistemi concreti e stabilire se c’è un percorso di adeguamento da costruire.
Se vuoi fare chiarezza sulla tua situazione, scrivimi dalla pagina contatti e valutiamo insieme i prossimi passi.