La domanda sbagliata
Immaginiamo una riunione per la realizzazione di un prodotto.
Il team ha sviluppato un assistente AI che legge documenti, estrae informazioni e propone una decisione a chi lo usa.
A un certo punto qualcuno chiede: “Per l’AI Act siamo a basso rischio, giusto?”.
È la domanda più naturale del mondo ed è la domanda sbagliata.
L’AI Act non chiede al fornitore quanto sia rischioso il suo sistema; gli chiede in quale disciplina ricada.
La differenza sembra sottile e invece cambia completamente il contesto: alla prima domanda si risponde con un’opinione, alla seconda con un ragionamento giuridico che deve reggere davanti a chi lo verificherà.
Questo articolo racconta quel ragionamento, una domanda alla volta.
Nessuno classifica al posto del fornitore (ma qualcuno controlla)
Nel modello dell’AI Act non esiste, come regola generale, un’autorità che esamina in anticipo ogni sistema e gli assegna una categoria.
La qualificazione iniziale spetta a chi sviluppa o fa sviluppare il sistema e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio: il fornitore, secondo la definizione dell’articolo 3, punto 3 dell’AI Act.
Questo non significa che il fornitore sia lasciato solo con la propria opinione.
I controlli esistono, ma arrivano dopo, e ciascuno a suo modo.
Il primo è la valutazione della conformità
Per i sistemi dell’Allegato I, e a certe condizioni per i sistemi biometrici dell’Allegato III, passa da un organismo notificato (articolo 43 AI Act); per gli altri sistemi dell’Allegato III avviene con il controllo interno.
In ogni caso si conclude con la dichiarazione UE di conformità e con la marcatura CE, che il fornitore appone (articoli 47 e 48 AI Act).
La marcatura esiste, ma è il punto d’arrivo di un percorso, non il suo inizio, e presuppone una classificazione già fatta.
Il secondo controllo è la trasparenza
I sistemi ad alto rischio dell’Allegato III, con l’eccezione delle infrastrutture critiche registrate a livello nazionale, e i sistemi che il fornitore ha ritenuto esenti finiscono nella banca dati dell’Unione (articolo 49 AI Act).
La qualificazione, in altre parole, lascia una traccia conoscibile, in larga parte accessibile al pubblico; fanno eccezione i sistemi per le attività di contrasto, la migrazione, l’asilo e il controllo delle frontiere, registrati in una sezione sicura non pubblica (articolo 49, paragrafo 4).
Il terzo è quello che pesa di più
L’autorità di vigilanza del mercato conserva i poteri generali previsti dall’articolo 74 AI Act e dal Regolamento (UE) 2019/1020 e, per i sistemi che il fornitore ha ritenuto esenti ai sensi dell’articolo 6, paragrafo 3, dispone di una procedura dedicata: può valutarli, imporne la messa in conformità e, se la classificazione è servita a eludere i requisiti, applicare le sanzioni dell’articolo 99 (articolo 80 AI Act).
Il punto, quindi, è l’ordine secondo il quale:
- prima il fornitore qualifica;
- poi organismi notificati, banca dati e autorità verificano.
La marcatura CE arriva dopo la qualificazione, non al posto di essa, e il fornitore non è libero di decidere come preferisce.
Deve applicare un insieme di norme che delimitano la sua valutazione e deve saper dimostrare perché ha concluso che il sistema ricade, oppure non ricade, in uno specifico regime.
L’operazione assomiglia alla qualificazione giuridica di un fatto, non alla compilazione di una matrice; quindi:
- prima si ricostruisce il fatto;
- poi si individua la norma;
- infine si verifica se gli elementi del fatto corrispondono alla fattispecie.
Domanda zero: l’AI Act si applica?
C’è una domanda che viene quasi sempre saltata, perché sembra ovvia: l’AI Act si applica a questo sistema, a questo soggetto, a questo uso?
La risposta sta nell’articolo 2, e non è sempre sì.
L’ambito territoriale (paragrafo 1) è ampio: copre i fornitori che immettono sul mercato o mettono in servizio sistemi nell’Unione, ovunque siano stabiliti; i deployer stabiliti nell’Unione; e, in determinati casi, i fornitori e i deployer di paesi terzi il cui output è utilizzato nell’Unione.
Le esclusioni contano altrettanto. Il Regolamento non si applica:
- ai sistemi immessi sul mercato, messi in servizio o utilizzati esclusivamente per scopi militari, di difesa o di sicurezza nazionale (paragrafo 3);
- alle autorità pubbliche di paesi terzi e alle organizzazioni internazionali, nell’ambito della cooperazione internazionale di polizia e giudiziaria, purché vi siano garanzie adeguate (paragrafo 4);
- ai sistemi sviluppati e messi in servizio al solo scopo di ricerca e sviluppo scientifici (paragrafo 6);
- alle attività di ricerca, prova e sviluppo che precedono l’immissione sul mercato, salvo le prove in condizioni reali (paragrafo 8);
- ai deployer persone fisiche che usano i sistemi per attività personali non professionali (paragrafo 10);
- ai sistemi rilasciati con licenza libera e open source, a meno che non siano immessi sul mercato come sistemi ad alto rischio, vietati o soggetti all’articolo 50 (paragrafo 12).
C’è infine un regime speciale, previsto dal paragrafo 2, che riguarda i prodotti della sezione B dell’Allegato I.
Lo spiegheremo tra poco, quando arriveremo all’articolo 6: qui basti dire che un fornitore che classifica un sistema destinato a un veicolo o a un aeromobile deve saperlo prima di compilare qualsiasi scheda.
Prima domanda: è davvero un sistema di AI?
Il percorso entra nel vivo con l’articolo 3, punto 1 dell’AI Act.
Il Regolamento definisce il sistema di AI attraverso una serie di elementi: un sistema automatizzato, con livelli di autonomia variabili, che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dagli input come generare output quali previsioni, contenuti, raccomandazioni o decisioni capaci di influenzare ambienti fisici o virtuali.
La verifica non è una formalità.
Le linee guida della Commissione sulla definizione di sistema di AI, pubblicate il 6 febbraio 2025, indicano nella capacità di inferenza l’elemento che distingue un sistema di AI dal software tradizionale, quello che segue regole scritte interamente da persone.
Se una soluzione non rientra nella definizione, il percorso di classificazione si ferma qui.
Se invece vi rientra, chiamarla “software tradizionale” non la sottrae al Regolamento.
Il fornitore dovrebbe quindi documentare, in poche righe, perché considera la soluzione dentro o fuori la definizione.
Questa è già governance; non serve una relazione di cinquanta pagine: serve una motivazione intelligibile e verificabile.
Seconda domanda: qual è la finalità prevista?
Subito dopo viene la finalità prevista (intended purpose), uno dei concetti più importanti dell’intero AI Act, perché collega tecnologia, funzione e contesto d’uso.
L’articolo 3, punto 12, la definisce come l’uso a cui il fornitore destina il sistema, compresi il contesto e le condizioni d’uso specifici, come indicato nelle istruzioni per l’uso, nel materiale promozionale o di vendita, nelle dichiarazioni e nella documentazione tecnica.
Il fornitore deve quindi dire che cosa il sistema è destinato a fare, per chi, in quale processo e in quali condizioni.
Quindi l’espressione “Strumento di supporto decisionale” non basta: una descrizione così ampia impedisce qualsiasi classificazione affidabile.
Un sistema che corregge testi e un sistema che filtra candidature possono condividere la stessa tecnologia, ma la loro finalità prevista li porta in mondi normativi diversi e poiché la definizione include espressamente il materiale promozionale, chi vende il prodotto come strumento per selezionare candidati non può poi sostenerne una finalità neutra e generica per tenersi fuori dall’Allegato III.
Terza domanda: l’uso è vietato?
Prima ancora di ragionare sull’alto rischio, il fornitore deve verificare che l’immissione sul mercato, la messa in servizio o l’uso previsto non ricadano in una pratica vietata dall’articolo 5, letto insieme alle linee guida della Commissione sulle pratiche vietate del 4 febbraio 2025.
Qui il ragionamento è binario.
Se ricorrono gli elementi della fattispecie, non si sale a una categoria “più alta”: quella pratica, nelle condizioni indicate dal Regolamento, semplicemente non può essere svolta.
Alcuni divieti guardano all’uso più che alla tecnologia.
Il riconoscimento delle emozioni sul luogo di lavoro e negli istituti di istruzione, per esempio, è vietato salvo motivi medici o di sicurezza (paragrafo 1, lettera f).
Le linee guida della Commissione sulle pratiche vietate leggono la nozione di luogo di lavoro in modo da comprendere anche i candidati nei processi di selezione al paragrafo 253: chi progetta uno strumento per i colloqui di selezione deve saperlo prima di aprire l’Allegato III.
Dal 2 dicembre 2026, inoltre, l’elenco comprende i due nuovi divieti introdotti dal Regolamento (UE) 2026/1744, sui contenuti intimi non consensuali e sul materiale pedopornografico, nei limiti che lo stesso Regolamento fissa.
Questa verifica precede ogni tentativo di rappresentare il sistema come “alto”, “medio” o “basso” rischio.
Quarta domanda: è ad alto rischio? Il percorso dei prodotti
A questo punto si entra nella classificazione vera e propria, e l’articolo 6 offre due percorsi.
Il primo, al paragrafo 1, riguarda i sistemi legati ai prodotti e richiede due condizioni cumulative:
- il sistema è componente di sicurezza di un prodotto disciplinato dalla normativa di armonizzazione elencata nell’Allegato I, oppure è esso stesso quel prodotto;
- il prodotto è soggetto a una valutazione della conformità da parte di terzi.
Dal 27 luglio 2026 la norma è ancor più precisa.
Non è componente di sicurezza il sistema usato soltanto per assistere l’utente, ottimizzare le prestazioni, rendere più efficiente il servizio, automatizzare, aumentare la comodità o controllare la qualità, a meno che un suo malfunzionamento metta in pericolo la salute o la sicurezza delle persone.
Quindi, una valutazione di terza parte imposta soltanto per rischi diversi da quelli per la salute e la sicurezza, come le interferenze radio, non basta a soddisfare la seconda condizione.
Qui serve una piccola mappa, perché il Regolamento usa etichette che non spiegano se stesse.
Il “Capo III” è la parte dell’AI Act dedicata ai sistemi ad alto rischio: contiene le regole di classificazione, i requisiti che il sistema deve rispettare (gestione dei rischi, dati, documentazione, sorveglianza umana, accuratezza), gli obblighi del fornitore e la valutazione della conformità; è, in sostanza, il regime dell’alto rischio.
L’“Allegato I” è l’elenco delle normative europee di prodotto con cui l’AI Act si intreccia e ha due sezioni.
La sezione A raccoglie le normative costruite sul modello armonizzato europeo: giocattoli, ascensori, apparecchiature radio, dispositivi medici e altri prodotti che portano la marcatura CE.
Per un sistema di AI che è componente di sicurezza di uno di questi prodotti il Capo III si applica direttamente: i requisiti dell’AI Act si aggiungono a quelli della normativa di prodotto e vengono verificati insieme, in un’unica valutazione della conformità.
Il Regolamento (UE) 2026/1744 ha però previsto che la Commissione, con atti delegati da adottare entro il 2 agosto 2027, possa limitare alcuni requisiti del Capo III quando la normativa di prodotto assicura già un livello di protezione equivalente o superiore (articolo 2, paragrafo 13).
La sezione B raccoglie invece settori che hanno un proprio sistema di omologazione, molto strutturato e con proprie autorità: veicoli, aviazione civile, ferrovie, equipaggiamento marittimo e, dal 27 luglio 2026, macchine.
Per questi prodotti l’AI Act non impone i requisiti del Capo III in modo diretto ma prevede che siano le rispettive normative di settore a incorporarli, nei tempi e nei modi che quei settori decideranno.
Nel frattempo, dell’AI Act si applicano soltanto la regola di classificazione dell’articolo 6, paragrafo 1, l’articolo 60 bis e gli articoli da 102 a 112, tra i quali le disposizioni che modificano proprio quelle normative di settore.
Questo è il regime speciale dell’articolo 2, paragrafo 2.
In pratica: il fornitore di un sistema di AI per un’automobile classifica il sistema con l’AI Act, ma i requisiti da rispettare li troverà nelle regole di omologazione dei veicoli.
Quarta domanda, seconda parte: il percorso dei casi d’uso
Il secondo percorso è più semplice da raccontare.
L’articolo 6, paragrafo 2, dice che sono ad alto rischio i sistemi elencati nell’Allegato III.
Qui non contano i prodotti, ma i campi in cui il sistema viene usato.
Il legislatore ha individuato otto aree in cui un sistema di AI può incidere sui diritti delle persone e ha elencato, per ciascuna, i casi d’uso che considera ad alto rischio:
- la biometria;
- le infrastrutture critiche;
- l’istruzione e la formazione professionale;
- l’occupazione, la gestione dei lavoratori e l’accesso al lavoro autonomo;
- l’accesso ai servizi privati essenziali e alle prestazioni e ai servizi pubblici essenziali;
- le attività di contrasto;
- la migrazione, l’asilo e il controllo delle frontiere;
- l’amministrazione della giustizia e i processi democratici.
Il fornitore confronta la finalità prevista del suo sistema con questi casi d’uso.
Non deve cercare “altri casi”, perché non esistono: l’elenco è chiuso.
Al di fuori di una modifica legislativa, può aggiornarlo soltanto la Commissione con atti delegati (articolo 7), aggiungendo o modificando casi d’uso all’interno delle otto aree, oppure sopprimendone.
L’eccezione e il suo limite
Se il sistema ricade nell’Allegato III, resta una possibilità prevista dall’articolo 6, paragrafo 3.
La norma consente di non considerare ad alto rischio un sistema che non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche, “anche nel senso di non influenzare materialmente il risultato del processo decisionale”, quando ricorre almeno una delle seguenti condizioni che si profilano quando il sistema è destinato a:
- eseguire un compito procedurale limitato;
- migliorare il risultato di un’attività umana precedentemente completata;
- rilevare schemi decisionali o deviazioni da schemi decisionali precedenti e non è finalizzato a sostituire o influenzare la valutazione umana precedentemente completata senza un’adeguata revisione umana;
- eseguire un compito preparatorio per una valutazione pertinente ai casi d’uso dell’Allegato III.
C’è però un limite che chiude la porta prima ancora di aprirla: un sistema dell’Allegato III è sempre considerato ad alto rischio se effettua profilazione di persone fisiche, nel senso dell’articolo 4, punto 4, del GDPR richiamato dall’articolo 3, punto 52.
Pertanto, chi valuta aspetti personali di una persona, chi ne prevede il rendimento professionale, l’affidabilità o il comportamento, non può invocare la deroga, qualunque sia la sua opinione sul rischio; e chi la invoca legittimamente non ha finito perché l’articolo 6, paragrafo 4, gli richiede di documentare la valutazione prima dell’immissione sul mercato o della messa in servizio, di registrare il sistema nella banca dati dell’Unione ai sensi dell’articolo 49, paragrafo 2 (obbligo confermato, con contenuti semplificati, dal Regolamento (UE) 2026/1744) e di consegnare la documentazione alle autorità che la richiedano.
L’articolo 80 chiude il cerchio: se l’autorità di vigilanza ha motivo di ritenere che il sistema sia in realtà ad alto rischio, lo valuta, può imporre la messa in conformità entro un termine e, quando la classificazione è servita a eludere i requisiti, applica le sanzioni dell’articolo 99.
Le linee guida della Commissione europea sulla classificazione previste dall’articolo 6, paragrafo 5, pubblicate in bozza il 19 maggio 2026, aiutano a leggere le quattro condizioni e portano esempi per ciascuna area dell’Allegato III.
Non sono vincolanti, e sono ancora una bozza; ma chi se ne discosta farà bene a saper spiegare perché, perché sarà la prima domanda di un’autorità di vigilanza.
Quinta domanda: si applica l’articolo 50?
La classificazione non finisce con l’articolo 6.
Il fornitore deve verificare anche se il sistema rientri negli “obblighi di trasparenza per i fornitori e i deployer di determinati sistemi di IA”: è il titolo esatto dell’articolo 50, e dice già che gli obblighi sono di due tipi.
Sul fornitore ne gravano due:
- i sistemi destinati a interagire direttamente con persone fisiche devono essere progettati in modo che le persone sappiano di interagire con un sistema di AI, a meno che ciò non sia evidente (paragrafo 1);
- i sistemi che generano audio, immagini, video o testo sintetici devono marcare gli output in un formato leggibile meccanicamente, in modo che siano rilevabili come generati o manipolati artificialmente (paragrafo 2); l’obbligo non si applica nella misura in cui i sistemi svolgono una funzione di assistenza per l’editing standard, come la correzione grammaticale, o non modificano in modo sostanziale i dati di input forniti dal deployer.
Sul deployer gravano altri obblighi: informare le persone esposte a sistemi di riconoscimento delle emozioni o di categorizzazione biometrica (paragrafo 3) e rendere noto che un contenuto è un deep fake, o che un testo pubblicato su questioni di interesse pubblico è stato generato artificialmente (paragrafo 4).
Il fornitore deve conoscerli, perché le sue istruzioni per l’uso devono mettere il deployer in condizione di rispettarli.
Tre precisazioni.
Gli obblighi dell’articolo 50 si sommano a quelli del Capo III (paragrafo 6).
Si applicano dal 2 agosto 2026, con la sola proroga al 2 dicembre 2026 per la marcatura dei sistemi già sul mercato e sono oggi accompagnati da due strumenti:
- le linee guida definitive della Commissione sull’articolo 50, adottate il 20 luglio 2026;
- il Codice di buone pratiche sulla trasparenza dei contenuti generati dall’AI, pubblicato nella versione finale il 10 giugno 2026 e valutato adeguato dalla Commissione e dal Consiglio per l’IA.
Anche qui è più corretto parlare di “sistema soggetto agli obblighi dell’articolo 50” che di “sistema a rischio limitato”.
La seconda formula è comoda mentre la prima è giuridicamente precisa.
Sesta domanda: c’è di mezzo un modello per finalità generali?
Il Capo V si rivolge ai fornitori di modelli di AI per finalità generali, non ai fornitori di sistemi.
Chi integra nel proprio sistema un modello sviluppato da altri è un “fornitore a valle”: riceve dal fornitore del modello le informazioni e la documentazione previste dall’articolo 53, paragrafo 1, lettera b), e le usa per la propria conformità.
Diventa a sua volta fornitore del modello soltanto se lo modifica in modo significativo, secondo i criteri delle linee guida della Commissione sui modelli per finalità generali del 18 luglio 2025.
Due punti però toccano da vicino la classificazione del sistema.
Il primo: un sistema basato su un modello per finalità generali e capace di servire a varie finalità è un “sistema di AI per finalità generali” (articolo 3, punto 66), e le linee guida in bozza sull’alto rischio presumono che la sua finalità prevista comprenda gli usi dell’Allegato III, quando questi sono fattibili e ragionevolmente prevedibili date le sue capacità, a meno che il fornitore li escluda in modo chiaro e coerente in tutta la documentazione.
Il secondo: l’articolo 25, paragrafo 1, lettera c), menziona espressamente i sistemi per finalità generali tra quelli la cui modifica di finalità da parte di un terzo può far nascere un nuovo fornitore.
Le due regole vanno lette insieme: se il fornitore non ha escluso gli usi ad alto rischio, quegli usi rientrano nella sua finalità prevista e gli obblighi restano suoi; se li ha esclusi in modo chiaro e coerente, chi impiega comunque il sistema per un uso dell’Allegato III ne diventa fornitore.
Ne parleremo nel prossimo articolo.
Settima domanda: da quando?
L’ultimo passaggio colloca la qualificazione nel tempo.
Dopo il Regolamento (UE) 2026/1744 il calendario è questo:
- i divieti dell’articolo 5 si applicano già, e i due nuovi si applicano dal 2 dicembre 2026;
- l’articolo 50 si applica dal 2 agosto 2026;
- gli obblighi per i sistemi ad alto rischio dell’Allegato III si applicano dal 2 dicembre 2027; quelli per i sistemi dell’Allegato I dal 2 agosto 2028.
L’articolo 111 regola i sistemi già immessi sul mercato prima di quelle date: restano fuori dal regime finché la loro progettazione non subisce modifiche significative, ma quelli destinati a essere usati da autorità pubbliche devono comunque essere resi conformi entro il 2 agosto 2030.
Classificare oggi un sistema come ad alto rischio non comporta che sia già inadempiente.
Consente invece di individuare con anticipo gli adempimenti necessari e il momento in cui dovranno essere completati.
Conclusioni
Torniamo alla riunione per la realizzazione di un prodotto.
Alla domanda “siamo a basso rischio?” la risposta corretta è un’altra domanda: “abbiamo seguito il percorso?”.
Ambito di applicazione, definizione di sistema di AI, finalità prevista, articolo 5, articolo 6 con i suoi allegati, eventuale deroga con il limite della profilazione, articolo 50, eventuale rilievo dei modelli per finalità generali, date di applicazione.
La formula operativa è: ambito, fatto, finalità, norma, allegato, eventuale eccezione, qualificazione, tempo.
Nel prossimo articolo ci fermeremo sul punto che governa gran parte di questo percorso: la finalità prevista.
Vedremo perché, nell’AI Act, ciò che il sistema è destinato a fare conta più della tecnologia che contiene, e perché le capacità del sistema, nondimeno, non escono mai davvero di scena.
