L’EU AI Act è il regolamento europeo che disciplina lo sviluppo e l’uso dei sistemi di intelligenza artificiale nell’Unione Europea. Si applica anche alle aziende fuori dalla UE, se i loro sistemi AI vengono usati sul mercato europeo.
La prima cosa da capire è il tuo ruolo. Il regolamento assegna obblighi diversi a seconda che tu sia provider (chi sviluppa il sistema) o deployer (chi lo utilizza). La seconda è la classe di rischio del sistema che usi o produci.
Il regolamento è entrato in vigore il 1° agosto 2024, secondo il testo ufficiale pubblicato nella Official Journal del 13 giugno 2024. Da quella data parte un periodo di implementazione di due-tre anni, con scadenze diverse per le varie parti. Chi inizia ora a classificare i propri sistemi arriva preparato alle prime sanzioni.
Cosa stabilisce concretamente l’EU AI Act
L’EU AI Act classifica i sistemi di intelligenza artificiale in quattro livelli di rischio: inaccettabile, alto, limitato e minimo. Ogni livello porta con sé obblighi differenti, dalla proibizione totale fino alla libera circolazione.
I sistemi a rischio inaccettabile sono vietati. Rientrano qui il social scoring da parte di enti pubblici e alcune forme di riconoscimento emotivo. I sistemi ad alto rischio restano leciti, ma devono rispettare requisiti severi su gestione del rischio, qualità dei dati, documentazione, trasparenza e supervisione umana.
I sistemi a rischio limitato, come i chatbot, hanno obblighi di trasparenza: l’utente deve sapere che sta parlando con una macchina. I sistemi a rischio minimo, come filtri antispam e videogiochi, restano liberi.
Come capisco se il mio sistema AI è ad alto rischio?
Devi verificare in quale settore opera il sistema e che funzione svolge. I sistemi ad alto rischio sono quelli usati in ambiti sensibili: infrastrutture critiche, selezione del personale, law enforcement, sicurezza dei prodotti.
La classificazione non è sempre netta. Secondo uno studio di appliedAI su 106 sistemi AI aziendali, il 18% risultava ad alto rischio, il 42% a basso rischio e il 40% in una zona di incertezza. La Commissione Europea, in una sua impact study, aveva stimato che solo il 5-15% delle applicazioni sarebbe ricaduto nelle regole più stringenti.
Gli ambiti che generano più dubbi di classificazione:
- Infrastrutture critiche, dove un malfunzionamento ha impatti diretti sulla sicurezza
- Gestione del personale, in particolare strumenti di selezione e valutazione automatica
- Law enforcement e sorveglianza, soggetti a vincoli più severi
- Sicurezza dei prodotti, quando l’AI è componente di un bene immesso sul mercato
- Servizi essenziali ad accesso regolato, come credito e welfare
Per togliere l’incertezza serve un’analisi puntuale del singolo sistema. Un AI Assessment strutturato è il modo più diretto per stabilire dove ti collochi e quali obblighi ti riguardano davvero. È il primo passo prima di qualsiasi adeguamento tecnico o documentale.
Quanto rischio se non sono conforme?
Le sanzioni sono pesanti e proporzionate alla gravità della violazione. L’uso di pratiche AI proibite, vietate dall’Articolo 5, può costare fino a 40 milioni di euro o il 7% del fatturato annuo mondiale, secondo il testo adottato dal Parlamento Europeo.
Le violazioni meno gravi hanno tetti più bassi. Il mancato rispetto dei requisiti su governance dei dati (Articolo 10) e trasparenza (Articolo 13) arriva a 20 milioni o al 4% del fatturato. Per le altre inadempienze il massimo scende a 10 milioni o al 2%.
Le sanzioni si applicano sul valore più alto tra cifra fissa e percentuale di fatturato. Per un’azienda strutturata, anche la fascia più bassa può tradursi in cifre rilevanti. È la ragione per cui conviene mappare i sistemi prima che le scadenze diventino vincolanti.
Cosa cambia per una PMI italiana
L’EU AI Act prevede misure specifiche per le piccole e medie imprese, definite nell’Articolo 55. Tra queste, l’accesso prioritario ai regulatory sandbox, ambienti controllati dove testare i sistemi AI sotto supervisione delle autorità.
Sono previste anche tariffe ridotte per le valutazioni di conformità, calibrate su dimensione, stadio di sviluppo e domanda di mercato. La Commissione si è impegnata a rivedere periodicamente i costi di certificazione per le PMI e a lavorare con gli Stati membri per contenerli.
Resta il fatto che adeguarsi richiede tempo e competenze interne che spesso mancano. Per questo lavoro con le aziende per tradurre il regolamento in azioni concrete: capire i sistemi in uso, classificarli e costruire la documentazione necessaria con un percorso di Consulenza AI sostenibile.
Le domande che mi fanno più spesso sull’EU AI Act
Il regolamento si applica anche se la mia azienda è fuori dalla UE?
Sì. L’EU AI Act ha portata extraterritoriale. Si applica a qualsiasi soggetto i cui sistemi AI vengono immessi sul mercato europeo o i cui output sono usati nell’Unione, indipendentemente da dove ha sede l’azienda. Anche un fornitore extra-UE che vende un sistema AI a un cliente europeo rientra negli obblighi.
Qual è la differenza tra provider e deployer?
Il provider è chi sviluppa un sistema AI o lo fa sviluppare per immetterlo sul mercato a proprio nome. Il deployer è chi utilizza un sistema AI sotto la propria autorità, nell’ambito di un’attività professionale. Gli obblighi sono diversi: il provider ha responsabilità più ampie su progettazione e documentazione, il deployer su uso corretto e supervisione.
Devo adeguarmi subito o ho tempo?
Il regolamento è in vigore dal 1° agosto 2024, ma le scadenze sono scaglionate su due-tre anni. Alcune parti, come i divieti sulle pratiche proibite, si applicano prima. Altre, legate ai sistemi ad alto rischio, hanno tempi più lunghi. Conviene partire ora dalla classificazione, perché l’adeguamento richiede mesi di lavoro.
Posso adeguarmi anche se il mio sistema non è ad alto rischio?
Sì, ed è previsto esplicitamente. L’Articolo 69 incoraggia codici di condotta volontari per i sistemi non ad alto rischio. Adottare standard su gestione del rischio, governance dei dati e supervisione umana anche quando non è obbligatorio rafforza l’affidabilità del sistema e anticipa eventuali estensioni future delle regole.
Esiste uno strumento per verificare i miei obblighi?
Il Future of Life Institute ha pubblicato un Compliance Checker interattivo, uno strumento che guida nella determinazione del ruolo e degli obblighi in base alle risposte fornite. È un punto di partenza utile, ma non sostituisce una valutazione professionale del singolo caso aziendale, soprattutto nelle zone di classificazione incerta.
Parliamo dei sistemi AI che già usi in azienda
Se in azienda usi o sviluppi sistemi di intelligenza artificiale, il primo passo è sapere con esattezza dove ti collochi rispetto al regolamento. La classificazione del rischio non è un esercizio formale: determina obblighi concreti e potenziali sanzioni.
Lavoro con imprenditori e responsabili per mappare i sistemi in uso, stabilire la classe di rischio e definire un percorso di adeguamento realistico. Niente allarmismi, niente complicazioni inutili: solo le azioni che servono davvero al tuo caso.
Un primo confronto serve proprio a capire se hai un problema reale e quanto è urgente. Scrivimi dalla pagina contatti per un primo confronto sulla tua situazione.