Le linee guida della Commissione Europea chiariscono quali sistemi di intelligenza artificiale sono classificati come ad alto rischio ai sensi dell’AI Act, l’insieme di regole europee sull’IA. Servono a fornitori e utilizzatori per capire se il proprio sistema rientra nella categoria e quali obblighi seguire.
Il documento, pubblicato in versione draft, non è giuridicamente vincolante ma riflette l’interpretazione ufficiale della Commissione e guiderà l’applicazione concreta delle regole. Include esempi pratici per orientare la classificazione, con una consultazione pubblica aperta fino al 23 giugno 2026 prima dell’adozione definitiva.
Per le aziende italiane il punto è operativo: capire se i sistemi di IA usati o sviluppati rientrano nelle categorie ad alto rischio, e organizzarsi per rispettare le scadenze di applicazione fissate a dicembre 2027 e agosto 2028.
Cosa sono i sistemi di IA ad alto rischio secondo l’AI Act
Un sistema di IA ad alto rischio è un sistema che può mettere in pericolo la salute, la sicurezza o i diritti fondamentali delle persone. L’AI Act limita questa categoria a un numero circoscritto di casi d’uso, non a tutta l’intelligenza artificiale in circolazione.
Le aree coperte includono biometria, infrastrutture critiche, istruzione, lavoro, migrazione, asilo e controllo delle frontiere. Sono ad alto rischio anche i sistemi di IA integrati in prodotti regolati come robotica e macchinari industriali. Fuori da queste aree, gli obblighi sono molto più leggeri.
Cosa devono fare fornitori e utilizzatori
I fornitori — chi sviluppa o immette sul mercato il sistema — e gli utilizzatori professionali devono rispettare requisiti tecnici e organizzativi precisi. Le linee guida servono proprio a chiarire dove finisce il rischio generico e inizia l’alto rischio regolato.
Cosa significa in pratica per chi gestisce un sistema di IA in azienda:
- Verificare se l’uso ricade in una delle aree elencate dall’Allegato III dell’AI Act
- Mappare i casi d’uso reali, non quelli teorici o di marketing
- Documentare i dati di addestramento e le logiche decisionali del sistema
- Garantire supervisione umana sulle decisioni che impattano persone
- Predisporre un sistema di gestione del rischio aggiornato nel tempo
Queste verifiche non sono un esercizio formale. Un sistema usato per screening dei CV, valutazione del credito o accesso a servizi pubblici cade quasi sempre in zona ad alto rischio, anche quando l’azienda lo percepisce come uno strumento gestionale ordinario.
Quali sono le scadenze di applicazione?
Le regole per i sistemi ad alto rischio in aree come biometria, infrastrutture critiche, istruzione, lavoro, migrazione e controllo frontiere si applicano dal 2 dicembre 2027. Per i sistemi integrati in prodotti come robotica e macchinari industriali, l’applicazione parte dal 2 agosto 2028.
Queste date derivano dall’accordo politico sull’AI Omnibus, il pacchetto che ha rivisto il calendario originario dell’AI Act. Tra le motivazioni: dare tempo a imprese e autorità di costruire le infrastrutture di conformità necessarie.
Il margine sembra ampio, ma non lo è se si considera che adeguare un sistema esistente richiede revisione tecnica, documentazione, audit e spesso ridisegno di processi interni. Iniziare la valutazione nel 2027 significa arrivare in ritardo.
Come capisco se la mia azienda è coinvolta?
Sei coinvolto se usi o sviluppi sistemi di IA in una delle aree ad alto rischio definite dall’AI Act, oppure se integri IA in prodotti regolati. Il criterio non è la dimensione aziendale ma il caso d’uso.
Esempio concreto: una PMI manifatturiera che usa un sistema di IA per selezionare candidati ricade nell’area “lavoro” ed è soggetta agli obblighi. Lo stesso vale per una società che integra algoritmi predittivi in un macchinario industriale venduto sul mercato europeo.
Il primo passo è una mappatura sistematica dei sistemi di IA presenti in azienda, inclusi quelli acquistati da fornitori esterni. Senza questa mappa è impossibile valutare il rischio normativo e pianificare gli interventi correttivi.
Perché conviene muoversi adesso e non nel 2027
L’errore più comune è considerare l’AI Act un problema dei reparti legali. È un problema operativo: tocca processi HR, produzione, IT, fornitori esterni, contratti commerciali. Toccare questi ambiti in sei mesi non è realistico.
Un percorso ordinato parte da un AI Assessment, ovvero una valutazione strutturata dei sistemi di IA in uso e dei rischi associati. Da lì si costruisce un piano di adeguamento con priorità chiare e responsabilità definite. È il lavoro che faccio quotidianamente come AI Manager Esterno per aziende che vogliono evitare improvvisazione.
Muoversi ora significa anche scegliere fornitori di IA che già si stanno adeguando, evitando di ritrovarsi con sistemi acquistati oggi e fuori norma domani.
Domande ricorrenti sull’AI Act e sui sistemi ad alto rischio
L’AI Act si applica anche alle piccole e medie imprese?
Sì. L’AI Act si applica in base al caso d’uso, non in base al fatturato o al numero di dipendenti. Una PMI che usa IA per screening dei CV, valutazione dei dipendenti o gestione di infrastrutture critiche ha gli stessi obblighi di una grande azienda. Sono previste alcune semplificazioni per le PMI, ma la classificazione del sistema come ad alto rischio resta invariata.
Cosa succede se non rispetto gli obblighi entro le scadenze?
L’AI Act prevede sanzioni amministrative significative per chi immette sul mercato o utilizza sistemi ad alto rischio non conformi. Oltre alle sanzioni pecuniarie, c’è il rischio operativo: un sistema bloccato dall’autorità o un fornitore inadempiente può fermare processi critici. Per questo l’adeguamento va pianificato come progetto, non gestito come emergenza.
Devo conformarmi anche se uso solo IA acquistata da fornitori esterni?
Sì, ma in modo diverso. Come utilizzatore professionale (deployer) hai obblighi propri: uso conforme alle istruzioni, supervisione umana, monitoraggio del funzionamento, segnalazione di incidenti. Il fornitore ha obblighi più estesi sul sistema in sé. Nella pratica, devi verificare contrattualmente che il fornitore stia adeguando il proprio prodotto.
Le linee guida pubblicate dalla Commissione sono obbligatorie?
No, le linee guida non sono giuridicamente vincolanti. Sono però l’interpretazione ufficiale della Commissione e guideranno l’azione delle autorità di vigilanza nazionali. In pratica, ignorarle espone a contestazioni difficili da gestire. Conviene trattarle come riferimento operativo, soprattutto per gli esempi pratici di classificazione dei sistemi.
Quanto tempo serve per adeguare un sistema di IA ad alto rischio?
Dipende dalla complessità, ma raramente meno di sei-dodici mesi per un sistema già in produzione. Servono valutazione tecnica, revisione dei dati di addestramento, documentazione, processi di supervisione umana, sistema di gestione del rischio. Per sistemi sviluppati internamente i tempi si allungano. Per questo iniziare il percorso ora, con quasi due anni di margine, è ragionevole e non eccessivo.
Parliamo del tuo contesto specifico
Se la tua azienda usa o sta valutando sistemi di intelligenza artificiale, la domanda non è se l’AI Act ti riguarda, ma in quale misura e con quali tempi di intervento.
Ogni contesto è diverso: una società manifatturiera con IA nei macchinari ha priorità diverse da una società di servizi che usa IA per il personale. Un primo confronto serve proprio a capire dove ti trovi e se ha senso strutturare un percorso di adeguamento.
Se vuoi un’analisi del tuo caso specifico, scrivimi dalla pagina contatti e ne parliamo.