L’AI Act, introdotto con il Regolamento europeo (UE) 2024/1689, definisce il quadro normativo per lo sviluppo, la commercializzazione e l’utilizzo dei sistemi di intelligenza artificiale nell’Unione Europea. L’obiettivo è garantire che le tecnologie basate sull’IA siano sicure, trasparenti e affidabili, limitando i rischi per i diritti fondamentali, la salute e la sicurezza delle persone. Per le aziende, il regolamento non rappresenta soltanto un adempimento legale, ma richiede un approccio strutturato alla governance dei dati, alla gestione del rischio, alla sicurezza informatica e al controllo dei processi automatizzati.

Come funziona la classificazione del rischio nell’AI Act

Il principio centrale dell’AI Act è la classificazione dei sistemi di intelligenza artificiale in base al rischio associato al loro utilizzo. Il regolamento individua pratiche vietate, sistemi ad alto rischio, sistemi soggetti a specifici obblighi di trasparenza e applicazioni che presentano rischi inferiori. Questa distinzione è fondamentale perché determina gli obblighi tecnici e organizzativi che un’impresa deve rispettare.

Le pratiche considerate inaccettabili, come alcune forme di manipolazione dannosa, sfruttamento delle vulnerabilità delle persone o determinati utilizzi di sistemi di identificazione biometrica, sono vietate alle condizioni previste dal regolamento. I sistemi ad alto rischio comprendono, tra gli altri, determinate applicazioni utilizzate per la selezione del personale, la valutazione dei candidati, l’accesso a servizi essenziali e la gestione di infrastrutture critiche. La classificazione deve essere effettuata considerando la finalità prevista, il contesto operativo e le caratteristiche concrete della soluzione, evitando di valutare un sistema esclusivamente sulla base della tecnologia impiegata.

Per le aziende che sviluppano software gestionali, piattaforme CRM, sistemi di analisi dei dati o strumenti di automazione, diventa quindi necessario verificare come viene utilizzata l’intelligenza artificiale e quali decisioni contribuisce a determinare. Un assistente che genera riepiloghi documentali, per esempio, può presentare un profilo di rischio differente rispetto a un sistema che contribuisce a valutare l’idoneità di una persona per un impiego o ad assumere decisioni con effetti significativi sui suoi diritti.

Requisiti tecnici e organizzativi per le imprese

Gli obblighi variano in funzione del ruolo svolto nella catena di fornitura dell’IA. Il regolamento distingue principalmente tra provider, cioè i soggetti che sviluppano o fanno sviluppare un sistema e lo immettono sul mercato o lo mettono in servizio secondo le condizioni previste, e deployer, ossia le organizzazioni che utilizzano un sistema di IA sotto la propria autorità. Un’impresa può ricoprire ruoli differenti a seconda della soluzione adottata e delle modifiche apportate.

I fornitori di sistemi ad alto rischio devono rispettare requisiti specifici in materia di gestione del rischio, qualità e rappresentatività dei dati, documentazione tecnica, registrazione degli eventi, trasparenza verso gli utilizzatori, supervisione umana, accuratezza, robustezza e cybersecurity. Sono inoltre previsti, secondo il caso applicabile, un sistema di gestione della qualità, procedure di valutazione della conformità, una dichiarazione UE di conformità, la marcatura CE e gli obblighi di registrazione. Questi requisiti richiedono processi verificabili, evidenze tecniche aggiornate e controlli lungo il ciclo di vita del sistema, dalla progettazione alla fase di esercizio.

Le aziende che utilizzano sistemi ad alto rischio devono invece assicurarsi che la soluzione venga impiegata secondo le istruzioni del fornitore, assegnare la supervisione a persone dotate di competenze e autorità adeguate e monitorare il funzionamento del sistema. Quando rientra nel loro controllo, devono inoltre verificare che i dati in ingresso siano pertinenti e sufficientemente rappresentativi rispetto alla finalità prevista. La gestione dei log, il monitoraggio degli incidenti e la comunicazione delle anomalie costituiscono elementi importanti per ricostruire il comportamento del sistema e intervenire in caso di risultati inattesi.

La documentazione assume un ruolo essenziale: non basta dichiarare che una soluzione è conforme, ma occorre poter dimostrare quali controlli siano stati eseguiti, quali dati e versioni del modello siano stati utilizzati, quali limitazioni siano state individuate e quali procedure siano previste per gestire gli errori. L’estensione e la natura della documentazione dipendono dal tipo di sistema, dal ruolo dell’organizzazione e dagli obblighi concretamente applicabili.

AI Act, GDPR e sicurezza informatica

L’adeguamento all’AI Act deve essere coordinato con il Regolamento generale sulla protezione dei dati (GDPR), con le misure di sicurezza informatica già adottate e con le altre normative pertinenti al settore aziendale. Quando un sistema di IA tratta dati personali, l’impresa deve verificare la liceità del trattamento, le finalità, la minimizzazione dei dati, i tempi di conservazione, le misure di protezione e i diritti degli interessati. L’eventuale valutazione d’impatto sulla protezione dei dati deve essere considerata quando ricorrono le condizioni previste dal GDPR; per alcuni impieghi di sistemi ad alto rischio, le informazioni fornite dal sistema possono contribuire a tale valutazione.

Dal punto di vista infrastrutturale, l’introduzione dell’intelligenza artificiale amplia la superficie di attacco e può esporre l’organizzazione a rischi legati all’accesso non autorizzato ai dati, alla manipolazione degli input, alla divulgazione di informazioni riservate e all’uso improprio delle funzionalità automatizzate. È quindi opportuno integrare i sistemi di IA nell’architettura di sicurezza aziendale attraverso autenticazione forte, gestione dei privilegi, segregazione degli ambienti, cifratura dei dati, registrazione degli accessi, monitoraggio e procedure di risposta agli incidenti.

Un’attenzione specifica deve essere riservata alle soluzioni di IA generativa utilizzate per analizzare documenti, produrre codice, elaborare informazioni commerciali o interrogare archivi aziendali. Prima di adottarle, è necessario verificare quali dati vengano trasmessi al servizio, come siano conservati, quali soggetti possano accedervi e quali condizioni contrattuali regolino il loro utilizzo. L’AI Act non sostituisce le altre norme applicabili e non autorizza automaticamente il trattamento di informazioni personali o riservate.

Trasparenza, controllo umano e responsabilità

La trasparenza è uno degli elementi centrali della normativa. In determinate circostanze, le persone devono essere informate quando interagiscono direttamente con un sistema di IA o quando vengono esposti a contenuti generati o manipolati artificialmente, secondo i requisiti applicabili. Le modalità concrete dipendono dal tipo di sistema, dalla sua funzione e dalle eccezioni previste dal regolamento.

Per i sistemi ad alto rischio, la supervisione umana deve essere progettata in modo da consentire agli operatori di comprendere i limiti della tecnologia, interpretarne correttamente gli output e intervenire quando necessario. Un controllo puramente formale, nel quale il dipendente approva automaticamente ogni risultato senza verificarlo, non garantisce un’effettiva capacità di supervisione. Le procedure aziendali devono invece stabilire chi è autorizzato a validare le decisioni, quando è necessario richiedere una verifica aggiuntiva e come gestire i casi in cui il sistema produca risultati incoerenti o potenzialmente dannosi.

Anche la formazione del personale è rilevante. L’alfabetizzazione in materia di IA, prevista dal regolamento, richiede che siano considerate le conoscenze, l’esperienza, la formazione e il contesto di utilizzo delle persone coinvolte. Per le imprese, questo significa definire regole interne comprensibili, chiarire le responsabilità e formare gli utenti sui limiti dei modelli, sulla verifica delle risposte e sulla protezione dei dati aziendali.

Scadenze dell’AI Act e preparazione aziendale

L’AI Act prevede un’applicazione progressiva. I divieti relativi alle pratiche di IA considerate inaccettabili e le disposizioni sull’alfabetizzazione in materia di IA si applicano dal 2 febbraio 2025, mentre gli obblighi relativi ai modelli di IA per finalità generali e alcune disposizioni di governance decorrono dal 2 agosto 2025. Il 2 agosto 2026 rappresenta una data importante per l’applicazione di numerose disposizioni, compresi specifici obblighi di trasparenza e le norme di attuazione previste per determinate categorie di sistemi. Il calendario dei sistemi ad alto rischio deve tuttavia essere verificato con attenzione: a seguito delle modifiche normative europee intervenute nel 2026, alcune scadenze sono differenziate in base alla categoria del sistema e possono ricadere nel 2027 o nel 2028. Le imprese dovrebbero quindi fare riferimento al testo consolidato del regolamento e alle indicazioni ufficiali aggiornate, senza applicare un’unica scadenza indistintamente a tutti i sistemi.

Un percorso di adeguamento efficace dovrebbe partire dall’inventario delle applicazioni di IA già utilizzate, comprese quelle integrate nei software acquistati da fornitori esterni. Per ciascuna soluzione è opportuno documentare la finalità, il responsabile interno, i dati trattati, le decisioni supportate, il fornitore, il livello di rischio e gli obblighi potenzialmente applicabili. Questa mappatura consente di individuare le priorità, valutare i contratti con i fornitori, definire i controlli necessari e pianificare gli interventi tecnici e organizzativi.

Per le PMI, affrontare questi aspetti in anticipo permette di ridurre il rischio di introdurre strumenti non adeguatamente controllati e di evitare interventi correttivi costosi dopo la messa in esercizio. La conformità non coincide con la semplice installazione di un software o con l’adozione di una policy generica: richiede una valutazione proporzionata al rischio, procedure documentate, formazione e verifiche periodiche.

Come supportare la conformità all’AI Act in azienda

L’adozione dell’intelligenza artificiale richiede competenze che coinvolgono sviluppo software, infrastruttura IT, cybersecurity, gestione dei dati e organizzazione dei processi. Un supporto tecnico qualificato può aiutare l’impresa a censire le soluzioni utilizzate, analizzare i flussi informativi, valutare le misure di sicurezza, integrare sistemi di logging e controllo degli accessi e predisporre procedure operative coerenti con i requisiti applicabili.

ALLIT può affiancare le aziende nella valutazione delle infrastrutture e dei processi IT coinvolti nell’introduzione dell’IA, nell’integrazione con i gestionali e nell’automazione dei flussi aziendali, contribuendo a costruire soluzioni più controllabili, sicure e documentate. La verifica della conformità normativa deve comunque coinvolgere, quando necessario, le figure legali e i responsabili della protezione dei dati.

L’AI Act rende quindi indispensabile un approccio consapevole all’intelligenza artificiale: conoscere la classificazione del sistema, definire le responsabilità, proteggere i dati e verificare il funzionamento delle applicazioni permette di ridurre i rischi e di integrare l’innovazione nei processi aziendali in modo sostenibile