L'AI Act classifica i sistemi di IA in 4 livelli di rischio. Recruiting, credito, sanità: scopri se i tuoi strumenti di IA sono considerati ad alto rischio.
Il Regolamento Europeo sull’Intelligenza Artificiale (Regolamento 2024/1689) si fonda su un principio fondamentale: gli obblighi sono proporzionali al livello di rischio. Più un sistema di IA può incidere sulla vita, la salute, i diritti fondamentali o la sicurezza delle persone, più i requisiti sono stringenti.
Questo approccio graduale distingue l’AI Act dalle regolamentazioni più binarie. Permette di non frenare l’innovazione negli usi a basso rischio, regolando in modo deciso le applicazioni più sensibili.
Considerando 26 — Règlement (UE) 2024/1689
I sistemi di IA che presentano un livello di rischio elevato per la salute, la sicurezza o i diritti fondamentali delle persone fisiche dovrebbero essere soggetti a requisiti rigorosi prima di poter essere immessi sul mercato dell’Unione.
Alcuni usi dell’IA sono semplicemente vietati (Articolo 5). Il social scoring, la manipolazione subliminale, lo sfruttamento delle vulnerabilità delle persone e l’identificazione biometrica in tempo reale negli spazi pubblici (salvo eccezioni) sono proibiti dal 1° febbraio 2025.
È la categoria che riguarda il maggior numero di aziende. I sistemi di IA ad alto rischio sono definiti negli Articoli 6 e 7 e elencati in dettaglio nell’Allegato III del regolamento. Gli obblighi associati sono sostanziali: valutazione di conformità, documentazione tecnica, supervisione umana, gestione dei rischi, governance dei dati.
Sistemi come chatbot, generatori di contenuti (deepfake, testi) o sistemi di riconoscimento delle emozioni non coperti dal divieto sono soggetti a obblighi di trasparenza. L’utente deve sapere che sta interagendo con un’IA o che il contenuto è stato generato da un’IA.
La grande maggioranza dei sistemi di IA: filtri antispam, raccomandazioni di prodotti, correttori ortografici. L’AI Act non impone vincoli specifici, sebbene il rispetto dell’Articolo 4 sulla competenza in IA si applichi comunque a tutti i deployer.
L’Allegato III del regolamento elenca i settori in cui un sistema di IA è considerato ad alto rischio. Ecco i casi concreti che riguardano la maggior parte delle aziende.
È l’ambito che sorprende di più le aziende. L’Allegato III, punto 4 riguarda i sistemi di IA utilizzati per:
Allegato III, punto 4 — Règlement (UE) 2024/1689
L’occupazione, la gestione dei lavoratori e l’accesso al lavoro autonomo, in particolare per l’assunzione e la selezione delle persone, per le decisioni riguardanti le condizioni del rapporto di lavoro, la promozione e la risoluzione, e per l’assegnazione dei compiti, il monitoraggio o la valutazione delle prestazioni e del comportamento delle persone.
In concreto, sono considerati ad alto rischio:
Se il tuo ufficio HR utilizza uno strumento di selezione automatica dei CV o un chatbot di recruiting, si tratta probabilmente di un sistema ad alto rischio ai sensi dell’AI Act.
📄IA per le HR: guida completa alla trasformazione delle funzioni HR→L’Allegato III, punto 5(b) copre i sistemi di IA utilizzati per:
In Italia, questo riguarda direttamente istituti come Intesa Sanpaolo, UniCredit e Banco BPM, così come le compagnie assicurative che utilizzano modelli di IA per decidere se concedere o rifiutare un credito, o per fissare un premio assicurativo. Il rilevamento delle frodi è esplicitamente escluso dall’alto rischio — ma attenzione: i sistemi di scoring che vanno oltre la semplice individuazione delle frodi possono rientrarvi. La Banca d’Italia avrà un ruolo di vigilanza fondamentale in questo ambito.
L’Allegato III, punto 1 comprende i sistemi di IA che sono dispositivi medici o accessori di dispositivi medici ai sensi dei regolamenti europei sui dispositivi medici. Questo include:
In Italia, il Servizio Sanitario Nazionale (SSN) è particolarmente esposto: dalle ASL che adottano strumenti di triage automatizzato agli ospedali che implementano sistemi di supporto diagnostico basati sull’IA, la classificazione ad alto rischio è pressoché inevitabile.
L’Allegato III, punto 3 riguarda i sistemi di IA utilizzati per:
L’Allegato III, punti 6, 7 e 8 coprono:
L’Allegato III, punto 2 copre i componenti di sicurezza nella gestione e nel funzionamento delle infrastrutture digitali critiche, del traffico stradale e della fornitura di acqua, gas, riscaldamento ed energia elettrica.
L’Allegato III, punto 7 include i sistemi utilizzati per la valutazione del rischio di migrazione irregolare, l’esame delle domande di visto e di permesso di soggiorno e l’identificazione delle persone nel contesto della migrazione.
Se uno o più dei tuoi sistemi di IA sono classificati ad alto rischio, ecco cosa richiede il regolamento:
Prima dell’immissione sul mercato o della messa in servizio, il sistema deve essere sottoposto a una valutazione di conformità che copra:
Le aziende che utilizzano sistemi di IA ad alto rischio (deployer) hanno obblighi propri:
Il primo passo verso la conformità è sapere esattamente quali sistemi di IA utilizzi e in quale categoria rientrano.
Elenca tutti gli strumenti che integrano l’IA nella tua organizzazione. Non dimenticare:
Per ogni strumento identificato, determina:
Per ogni sistema ad alto rischio, confronta la tua situazione attuale con i requisiti degli Articoli da 9 a 15 e dell’Articolo 26. Identifica i gap e stabilisci le priorità delle azioni correttive.
Costruisci un fascicolo di conformità per ogni sistema, includendo la classificazione, la documentazione tecnica, le valutazioni effettuate e le misure di controllo implementate. Questa documentazione strutturata sarà il tuo riferimento in caso di audit.
Per ogni sistema ad alto rischio, le persone incaricate della supervisione umana devono possedere le competenze necessarie (Articolo 14). Questo si ricollega all’obbligo dell’Articolo 4 sulla competenza in IA, ma con un livello di esigenza superiore: queste persone devono comprendere le capacità e i limiti specifici del sistema che supervisionano.
I modelli di IA per finalità generali (come GPT-4, Claude, Gemini) sono soggetti a disposizioni specifiche (Articoli da 51 a 56). Quando un modello per finalità generali viene integrato in un sistema di IA classificato ad alto rischio, gli obblighi di alto rischio si applicano all’intero sistema — anche se il modello sottostante è, di per sé, uno strumento generalista.
Questo significa che utilizzare ChatGPT per rispondere ai candidati in un processo di selezione può trasformare uno strumento “generalista” in un componente di un sistema ad alto rischio.
Ce que ça implique pour vous
La classificazione dei tuoi sistemi di IA non è un esercizio teorico — è la pietra angolare della conformità all’AI Act. Se utilizzi l’IA nel recruiting, nella valutazione delle prestazioni, nel credit scoring o nel supporto diagnostico, stai probabilmente operando sistemi ad alto rischio. Ogni sistema coinvolto richiede una valutazione di conformità, una documentazione tecnica, una supervisione umana effettiva e personale formato per garantirla. Inizia dall’inventario. Oggi.