Quando si parla di AI Act, il riflesso condizionato di molte organizzazioni è quello di delegare la questione al team di data science o all’ufficio legale. È un errore che rischia di costare caro, come succede per altri normative europee ben note, sia in termini di sanzioni, sia in termini di esposizione operativa, di immagine e di business.
La realtà è che l’AI Act è entrato in vigore il 1° agosto 2024 ed è pienamente applicabile dal 2 agosto 2026, con alcuni riflessi fino al 2027 (per i sistemi ad alto rischio), con un’applicazione progressiva che ha già attivato obblighi concreti, la Commissione Europea sul punto è granitica: i divieti per i sistemi a rischio inaccettabile sono scattati il 2 febbraio 2025, gli obblighi per i modelli GPAI (come ChatGPT, Claude o Gemini usati in produzione) dal 2 agosto 2025.
C’è però qualcosa di più importante da capire riguardo l’AI Act, ovvero che non è una normativa importante solo per chi costruisce intelligenza artificiale, ma riguarda in modo molto diretto chi la usa in azienda per prendere decisioni che impattano anche sulle persone.
Chi è davvero in perimetro "alto rischio"
Rientrano nel perimetro a rischio maggiore tutte le società che utilizzano sistemi AI all’interno del processo di selezione del personale, valutazione dei dipendenti, accesso al credito, scoring assicurativo, sistemi usati nella sanità, nell’istruzione, nelle infrastrutture critiche. È molto commune che le aziende rientrano in questa categoria senza saperlo, non si tratta di casi di nicchia.
Se la vostra organizzazione utilizza strumenti automatizzati per uno o più di questi processi, allora siete quasi certamente in perimetro ad alto rischio ai sensi del Regolamento (UE) 2024/1689:
- Selezione e gestione HR (screening dei CV, valutazione delle performance, analisi del turnover)
- Scoring creditizio o valutazione del rischio (accesso al credito, assicurazioni, rating fornitori)
- Autenticazione biometrica (accessi aziendali tramite riconoscimento facciale o comportamentale)
- Supporto decisionale in ambito medico o legale (diagnostica AI, analisi predittiva clinica, assistenti per la ricerca giuridica)
Per questi sistemi, entro il 2 agosto 2026 (e al 2027 per alcuni aspetti), sono richiesti: documentazione tecnica completa, supervisione umana, sistema di gestione del rischio e qualità dei dati dimostrata. Non sono adempimenti burocratici marginali quanto requisiti strutturali che richiedono processi, ruoli definiti ed evidenze verificabili.
Vale la pena ricordare anche l’obbligo di AI literacy: tutti i dipendenti che usano sistemi AI devono avere una competenza di base proporzionata al loro ruolo. Questo é un obbligo già in essere.
I primi passi concreti
Indipendentemente dal punto di partenza, il percorso di compliance ha alcuni passaggi obbligati che vale la pena avviare subito:
Inventario dei sistemi AI in uso
Prima di qualsiasi valutazione, serve sapere cosa gira in azienda, compresa l’AI sanctioned e la shadow.
Classificazione del rischio
Una volta ottenuto l’inventario, ogni sistema va classificato secondo la tassonomia usata dall’AI Act. La classificazione determina quali obblighi si attivano e con quale urgenza
Verifica dei contratti con i vendor
La distinzione tra provider (chi sviluppa) e deployer (chi usa) è centrale nell’AI Act. Le responsabilità sono diverse, ma il punto dei ruoli è decisamente centrale. L’allineamento normativo è imprescindibile.
Integrazione con i framework esistenti
Se esiste già un processo di risk management (NIS2, ISO 27001, GDPR), il passo successivo è capire cosa si possa integrare, cosa vada esteso e cosa vada implementato, un’attività non facile
Formazione e AI literacy
L’obbligo è già attivo. Non richiede corsi tecnici avanzati per tutti, ma una consapevolezza di base proporzionata al ruolo di ciascuno, sulla base dell’esposizione nei confronti dei sistemi di IA.
Stai usando anche tu l’AI in produzione e vuoi capire come posizionarti rispetto all’AI Act?
Contattaci per chiarire subito come adeguarti all’AI Act!