L’equivoco della matrice
Chi si occupa di compliance conosce bene il foglio di calcolo con le due colonne: probabilità e gravità. Si moltiplicano, si ottiene un numero, si colora la cella. Sopra una certa soglia, il rischio è “alto”.
È uno strumento utile. Ma quando arriva l’AI Act, quel foglio produce un equivoco: la tentazione di leggere “sistema ad alto rischio” come “sistema per cui abbiamo calcolato un rischio alto”.
Nel linguaggio comune l’equazione regge. Nell’AI Act no.
Questo articolo spiega perché, e che cosa succede quando si confondono le due cose.
Due domande che non vanno confuse
L’articolo 3, punto 2, definisce il rischio come la combinazione della probabilità del verificarsi di un danno e della gravità del danno stesso. È la definizione classica, quella del foglio di calcolo.
Ma quando l’articolo 6 parla di sistemi “ad alto rischio” non usa quella definizione per misurare qualcosa.
Usa, invece, una categoria regolatoria, costruita con criteri specifici: prodotti, casi d’uso, finalità.
Per questo motivo, vanno tenute distinte due domande.
La prima: il sistema ricade nella categoria dell’articolo 6?
La seconda: quali rischi concreti presenta e come vanno gestiti lungo il suo ciclo di vita?
La prima è classificazione. La seconda è risk management.
Prima l’articolo 6, poi l’articolo 9
Il fornitore che vuole sapere se il suo sistema è ad alto rischio non deve aprire una matrice, assegnare probabilità e impatto a una serie di scenari e leggere il numero finale.
Deve aprire l’articolo 6 dell’AI Act che offre due strade.
La prima, al paragrafo 1, è quella dei prodotti: il sistema è un componente di sicurezza di un prodotto dell’Allegato I, e quel prodotto è soggetto a valutazione di conformità da parte di terzi.
La seconda, al paragrafo 2, è quella dei casi d’uso: il sistema rientra in uno dei casi dell’Allegato III.
Se ricorre una delle due, il sistema entra nel percorso dell’alto rischio.
La deroga del paragrafo 3 vale soltanto per la seconda strada.
Un componente di sicurezza dell’Allegato I non può uscire dalla categoria sostenendo di non presentare un rischio significativo: quella porta, per questa tipologia di prodotti, non esiste.
Solo a questo punto entra in gioco l’articolo 9 dell’AI Act, che impone un sistema di gestione dei rischi: un processo continuo e iterativo, pianificato e portato avanti lungo tutto il ciclo di vita del sistema.
L’ordine logico, quindi, è fisso: prima la qualificazione, poi i requisiti applicabili, poi la gestione del rischio.
Non è un ordine cronologico: nella pratica le attività procedono insieme fin dalla progettazione, e la gestione dei rischi accompagna l’intero ciclo di vita del sistema (articolo 9, paragrafo 2).
L’articolo 9 non è un’etichettatrice
Che cosa fa, allora, l’articolo 9 dell’AI Act?
Quattro cose:
- identifica e analizza i rischi noti e ragionevolmente prevedibili;
- stima e valuta quelli che possono emergere quando il sistema è usato secondo la finalità prevista, o in condizioni di uso improprio ragionevolmente prevedibile;
- impone misure adeguate e mirate;
- tiene conto di ciò che emerge dal monitoraggio successivo all’immissione sul mercato.
È un lavoro sostanziale ma non serve ad assegnare la categoria dell’alto rischio, né a toglierla.
Un sistema che rientra nell’Allegato III resta ad alto rischio anche se, dopo misure robuste, il rischio residuo di alcuni scenari diventa modesto.
La mitigazione riduce il rischio; non cancella la classificazione.
Vale in particolare per la misura più invocata di tutte: “tanto decide una persona”.
La bozza delle linee guida della Commissione europea del 19 maggio 2026 (documento 3, paragrafo 70) su questo è esplicita.
Il coinvolgimento umano non può, di per sé, impedire che un sistema sia classificato ad alto rischio. La sorveglianza umana è un requisito di conformità, previsto dall’articolo 14 dell’AI Act per i sistemi già classificati.
Non è, quindi, una via d’uscita; può al più aiutare a dimostrare, ai fini dell’articolo 6, paragrafo 3, che il sistema svolge una funzione soltanto limitata o preparatoria.
Peraltro, vale anche il contrario.
Un sistema non diventa ad alto rischio perché un’analisi interna ha trovato uno scenario con un danno potenzialmente grave. Anche in questo caso, la risposta sta nelle regole di classificazione e non nel numero della matrice.
L’eccezione dell’articolo 6, paragrafo 3 e le sue regole
L’articolo 6, paragrafo 3, rende la distinzione più sofisticata ma non la cancella.
La norma prevede che un sistema dell’Allegato III non sia considerato ad alto rischio se non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche, “anche nel senso di non influenzare materialmente il risultato del processo decisionale”, e se ricorre almeno una delle seguenti quattro condizioni:
- compito procedurale limitato;
- miglioramento del risultato di un’attività umana precedentemente completata;
- rilevamento di schemi decisionali o di deviazioni da schemi decisionali precedenti, senza finalità di sostituire o influenzare la valutazione umana precedentemente completata senza un’adeguata revisione umana;
- compito preparatorio per una valutazione pertinente ai casi d’uso dell’Allegato III.
Un sistema che effettua profilazione di persone fisiche è sempre ad alto rischio, qualunque condizione ricorra.
Come va letto l’inciso sull’influenza materiale? Le linee guida in bozza della Commissione europea del 19 maggio 2026 (documento 3, paragrafo 86) lo trattano come condizione autonoma di accesso alla deroga e non come semplice esempio: il fornitore deve poter sostenere sia che il sistema non influenza materialmente il risultato decisionale in modo pregiudizievole per le persone, sia che ricorre una delle quattro condizioni.
È la lettura che adotto in questa esalogia, e nella scheda dell’ultimo articolo, perché è la più prudente: una motivazione che regge su entrambi i piani regge anche sulla lettura meno esigente.
Qui, dunque, una valutazione del rischio entra nella classificazione ma non è una matrice libera; è un’eccezione con presupposti determinati, che le citate linee guida leggono in modo restrittivo: chi ordina, punteggia o etichetta gli input come “utili” o “meno utili” non svolge un compito procedurale limitato; chi produce una raccomandazione o una valutazione specifica non svolge un compito soltanto preparatorio.
Chi applica l’esclusione deve fare tre cose:
- documentare la valutazione prima dell’immissione sul mercato o della messa in servizio;
- registrare il sistema nella banca dati dell’Unione (articolo 49, paragrafo 2);
- tenersi pronto a esibire la documentazione alle autorità.
Con una consapevolezza in più: l’articolo 80 dell’AI Act attribuisce all’autorità di vigilanza del mercato il potere di riesaminare la classificazione adottata dall’operatore.
Se ritiene che il sistema sia stato classificato in modo non corretto, può imporre l’adeguamento ai requisiti applicabili entro un termine stabilito.
E se la classificazione è stata utilizzata per aggirare gli obblighi previsti dal Capo III, possono essere applicate anche le sanzioni dell’articolo 99.
Per questo motivo, la valutazione non è una libera autodichiarazione di “basso rischio” ma è una qualificazione giuridica che deve rispettare criteri precisi e verificabili ed è soggetta al controllo dell’autorità competente.
Un esempio: il ranking dei candidati
Prendiamo, ad esempio, un sistema destinato ad analizzare le candidature per un posto di lavoro e a proporre al recruiter una classifica dei candidati (il cosiddetto ranking).
Il fornitore non parte da una matrice per decidere se l’impatto sia 3, 4 o 5.
Parte dalla finalità prevista e si pone una domanda precisa: questa finalità corrisponde a uno dei casi d’uso dell’Allegato III?
Il punto 4, lettera a), dell’Allegato III elenca i sistemi destinati all’assunzione o alla selezione di persone fisiche, in particolare per analizzare e filtrare le candidature e per valutare i candidati.
Un sistema che legge i curriculum, li confronta con la posizione e ordina i candidati fa esattamente questo.
La risposta, quindi, è sì: il sistema rientra nell’Allegato III.
Poi si chiede se la deroga del paragrafo 3 sia invocabile.
La risposta è no, per due ragioni indipendenti.
La prima: il sistema valuta aspetti personali dei candidati per prevederne l’idoneità, cioè effettua profilazione, e la profilazione chiude la deroga.
La seconda: anche senza profilazione, un ranking per singolo candidato influenza materialmente il risultato della selezione.
Che “alla fine decida il recruiter” non cambia nulla: la revisione umana è un requisito di conformità, non un’esimente dalla classificazione.
Il fornitore verifica anche di non sfiorare l’articolo 5: se il sistema inferisse le emozioni dei candidati durante i colloqui, saremmo davanti a una pratica vietata (paragrafo 1, lettera f), non a un sistema ad alto rischio.
Solo a questo punto, il fornitore sviluppa il sistema di gestione dei rischi dell’articolo 9, considerando discriminazione, errori, distorsioni dei dati, uso improprio ragionevolmente prevedibile e gli altri rischi per salute, sicurezza e diritti fondamentali.
In altre parole: l’Allegato III è la porta d’ingresso mentre l’articolo 9 governa ciò che accade una volta entrati.
L’alto rischio è un regime, non un articolo
Sarebbe riduttivo pensare che, superata la porta, il fornitore trovi soltanto l’articolo 9 perché, in realtà, trova un intero regime di prodotto.
Infatti ci sono i requisiti della sezione 2 del Capo III:
- gestione dei rischi (articolo 9);
- dati e governance dei dati (articolo 10);
- documentazione tecnica (articolo 11);
- conservazione delle registrazioni (articolo 12);
- trasparenza e informazioni ai deployer (articolo 13);
- sorveglianza umana (articolo 14);
- accuratezza, robustezza e cibersicurezza (articolo 15).
Ci sono, poi, gli obblighi del fornitore elencati dall’articolo 16; tra gli altri:
- il sistema di gestione della qualità (articolo 17);
- la conservazione dei documenti (articolo 18);
- la valutazione della conformità (articolo 43);
- la dichiarazione UE di conformità (articolo 47);
- la marcatura CE (articolo 48);
- la registrazione nella banca dati dell’Unione (articolo 49);
- il monitoraggio successivo all’immissione sul mercato (articolo 72);
- la segnalazione degli incidenti gravi (articolo 73).
E ci sono, a valle, gli obblighi dei deployer dell’articolo 26, di cui parleremo nel prossimo articolo.
Tutto questo si applica dal 2 dicembre 2027 per i sistemi dell’Allegato III e dal 2 agosto 2028 per quelli dell’Allegato I.
La classificazione fatta oggi serve a sapere che cosa costruire da qui ad allora.
Due documenti, non uno
Una governance matura tiene separati almeno due documenti, o due sezioni logicamente distinte.
La prima è la scheda di classificazione normativa che spiega perché il sistema ricade o non ricade negli articoli 5, 6, 50 e nelle altre discipline applicabili, e da quando.
La seconda, quando richiesta, contiene il processo di gestione dei rischi, con metodi, criteri, scenari, misure, rischio residuo e monitoraggio.
Fondere tutto in una sola tabella fa perdere il senso delle due operazioni.
La classificazione deve essere leggibile anche da chi non conosce i dettagli quantitativi della matrice.
Il risk management deve essere abbastanza profondo da governare davvero il sistema nel tempo.
Conclusioni
“Ad alto rischio” non significa “abbiamo calcolato un rischio alto” ma significa che il sistema ricade nella categoria giuridica costruita dall’AI Act secondo le regole dell’articolo 6.
Poi, proprio perché è ad alto rischio, il fornitore affronta l’intero regime del Capo III, di cui la gestione dei rischi dell’articolo 9 è il cuore ma non il perimetro.
La formula operativa è: prima classificare, poi applicare i requisiti, valutare, trattare, certificare e monitorare.
Nel prossimo articolo cambieremo punto di osservazione, dal fornitore al deployer.
Vedremo che cosa accade quando il sistema entra in un’organizzazione che deve rispettare i propri obblighi ai sensi dell’AI Act, tratta dati personali e deve effettuare una DPIA ai sensi del GDPR e, in certi casi, una valutazione d’impatto sui diritti fondamentali.
