L’Unione Europea ha deciso di mettere un po’ d’ordine nel Far West dell’intelligenza artificiale. Con l’AI Act (Regolamento UE 2024/1689), non si tratta solo di un nuovo adempimento burocratico da incorniciare e dimenticare. È un cambio di marcia che obbliga chi sviluppa, vende o usa sistemi di IA a rivedere processi, governance e, soprattutto, il rapporto con i dati. Per le aziende italiane, la scadenza si avvicina e il margine di manovra si restringe.
Come funziona la nuova classificazione a rischio
Il cuore dell’AI Act è un approccio basato sul rischio. Non tutti i sistemi di intelligenza artificiale vengono trattati allo stesso modo: la severità delle regole cresce in base al potenziale danno che un sistema può causare a diritti, sicurezza o mercato. È una scala a quattro gradini, e ogni azienda deve sapere su quale piolo si trova.
Rischio inaccettabile: i sistemi vietati
Alcune pratiche sono state messe al bando senza appello. Rientrano qui i sistemi di social scoring generalizzato, quelli di manipolazione cognitiva e l'uso indiscriminato di dati biometrici per profilazione predittiva. Se un'azienda ha in casa un sistema che ricade in questa categoria, deve disattivarlo. Il termine per adeguarsi era il 2 febbraio 2025, e chi non lo ha fatto è già fuori legge.
Alto rischio: il perimetro più stringente
Questa è la categoria che impatta più a fondo sul tessuto produttivo italiano. Ci finiscono dentro i sistemi usati in giustizia, infrastrutture critiche, istruzione, occupazione, biometria, accesso a servizi privati e pubblici essenziali. Per essere messi in servizio, questi sistemi devono rispettare requisiti precisi: gestione documentata dei rischi, qualità e pertinenza dei dati, tracciabilità degli eventi, supervisione umana e una valutazione di conformità prima del lancio. In pratica, non si può più "sperimentare e vedere come va".
Rischio limitato e minimo: obblighi più leggeri ma non zero
I chatbot, i sistemi che generano deepfake o contenuti manipolati rientrano nel rischio limitato: qui l'obbligo principale è la trasparenza. L'utente deve sapere che sta interagendo con una macchina. Per i sistemi a rischio minimo, come i filtri antispam o l'IA nei videogiochi, non ci sono requisiti vincolanti. Ma attenzione: la classificazione non è un'autocertificazione. Se un sistema viene usato in un contesto imprevisto, il rischio può cambiare.
Obblighi concreti per chi usa modelli generativi
I modelli di IA per finalità generali (GPAI), come i grandi modelli linguistici e i generatori di immagini, hanno regole dedicate. I fornitori devono garantire trasparenza, documentazione e monitoraggio. Se il modello ha un impatto sistemico (cioè può influenzare in modo significativo il mercato o la sicurezza), scattano requisiti rafforzati: valutazione dei rischi, misure di sicurezza avanzate e audit periodici.
Chi integra questi modelli in un prodotto o servizio non è esonerato. Anche l'utilizzatore finale deve assicurare tracciabilità e conformità lungo tutta la catena del valore. Tradotto: se la tua azienda usa ChatGPT per scrivere contratti o Gemini per analizzare curriculum, devi sapere cosa fa il modello, su quali dati è stato addestrato e come gestisce le informazioni sensibili.
Supervisione umana e alfabetizzazione: due pilastri da non sottovalutare
L'AI Act non si limita a chiedere carta e timbri. Impone che dietro ogni decisione presa da un sistema di IA ci sia un essere umano capace di intervenire. La supervisione umana non è un optional: deve essere progettata nel sistema, non aggiunta dopo. Significa che un operatore deve poter fermare, correggere o ignorare l'output dell'algoritmo.
In parallelo, c'è l'obbligo di alfabetizzazione sull'IA. Chiunque in azienda lavora con questi sistemi deve capirne il funzionamento, i limiti e i rischi. Non basta un corso di due ore: serve una formazione continua, aggiornata e documentata. Per le PMI italiane, spesso a corto di personale specializzato, questa è una delle sfide più concrete.
Tempistiche: cosa scade quando
Il regolamento è entrato in vigore il 1° agosto 2024, ma le scadenze sono scaglionate. Ecco le date da segnare in agenda:
- 2 febbraio 2025: eliminazione dei sistemi a rischio inaccettabile e obbligo di alfabetizzazione sull'IA.
- 2 agosto 2026: piena applicazione delle regole per i sistemi ad alto rischio elencati nell'Allegato III.
- 2 agosto 2027: obblighi estesi a tutti i sistemi ad alto rischio, compresi quelli già in uso.
Per i modelli GPAI, le regole si applicano progressivamente a partire dal 2025. Il messaggio è chiaro: non c'è tempo per aspettare. Chi non inizia ora a mappare i propri sistemi e a predisporre la documentazione, rischia di trovarsi in panne tra un anno.
Errori frequenti e come evitarli
Il primo errore è pensare che l'AI Act riguardi solo i fornitori di tecnologia. Non è così. Anche chi utilizza un sistema di IA in un contesto ad alto rischio è responsabile della conformità. Se un'azienda di selezione del personale usa un software di screening automatico dei CV, deve verificare che il sistema sia certificato e che i dati siano trattati correttamente.
Il secondo errore è sottovalutare la governance dei dati. L'AI Act richiede che i dati usati per addestrare e far funzionare i sistemi siano pertinenti, rappresentativi e privi di bias discriminatori. Non basta avere tanti dati: devono essere dati giusti, documentati e tracciabili. Per le aziende che lavorano con dati sensibili o sanitari, questo significa rivedere l'intero flusso di raccolta e trattamento.
Il terzo errore è dimenticare la cybersicurezza. La normativa impone misure di robustezza e sicurezza informatica per tutti i sistemi ad alto rischio. Se un algoritmo viene violato e produce decisioni alterate, la responsabilità ricade sull'azienda che lo ha messo in servizio, non sull'hacker.
Un consiglio concreto per iniziare
Non serve partire in quarta con consulenze milionarie. Il primo passo è un censimento interno: quali sistemi di IA usi in azienda? Chi li ha sviluppati? Su quali dati lavorano? Che impatto hanno su clienti, dipendenti o processi critici? Una volta mappato il perimetro, si può classificare ogni sistema per livello di rischio e iniziare a colmare le lacune. Le sandbox normative previste dall'UE possono aiutare a testare soluzioni in un ambiente protetto, ma il lavoro sporco lo deve fare l'azienda.
La posta in gioco è doppia: da un lato, evitare sanzioni che possono arrivare fino al 7% del fatturato globale; dall'altro, trasformare la conformità in un vantaggio competitivo. Un'azienda che dimostra di usare l'IA in modo trasparente e sicuro non solo evita multe, ma costruisce fiducia con clienti e partner. In un mercato dove la diffidenza verso l'algoritmo è ancora alta, essere tra i primi a mettere ordine può fare la differenza.
