La comoda immagine dei quattro livelli
Da quando si discute del regolamento (UE) 2024/1689 (AI Act), una delle rappresentazioni più diffuse è quella della piramide dei rischi: rischio inaccettabile, rischio alto, rischio limitato e rischio minimo.
Va detto subito, per correttezza: non è un’invenzione dei divulgatori ma è lo schema con cui la stessa Commissione presenta il Regolamento, e il considerando 26 dichiara che il legislatore ha seguito un approccio basato sul rischio chiaramente definito, vietando determinate pratiche inaccettabili, stabilendo requisiti per i sistemi ad alto rischio e obblighi di trasparenza per determinati sistemi.
Come schema divulgativo, dunque, la piramide funziona e aiuta a trasmettere l’idea centrale del Regolamento secondo la quale gli obblighi crescono al crescere della rilevanza del rischio.
Il problema nasce quando questa immagine viene scambiata per la procedura giuridica prevista dal Regolamento.
In quel momento il fornitore rischia di porsi la domanda sbagliata: “Quanto è rischioso il mio sistema e quale livello gli assegno?”.
L’AI Act non gli affida un potere generale di graduazione del rischio ma gli chiede, prima di tutto, di verificare in quale disciplina ricade il sistema che intende immettere sul mercato o mettere in servizio.
Il bersaglio di questa esalogia non è la piramide, quindi, ma il suo uso come strumento di autovalutazione.
La differenza è sostanziale.
Una matrice di rischio produce normalmente un valore sulla base di probabilità e gravità.
Una qualificazione giuridica, invece, parte da fatti, finalità e caratteristiche del sistema e li confronta con fattispecie normative determinate.
Nell’AI Act le due operazioni esistono entrambe, ma non coincidono e, di regola, non avvengono nello stesso momento. Vedremo che il punto principale in cui, per il fornitore, le due operazioni si toccano è l’articolo 6, paragrafo 3, e che anche lì il Regolamento non lascia al fornitore una matrice libera.
La struttura reale dell’AI Act
L’articolo 5 dell’AI Act disciplina le pratiche di AI vietate.
Qui non esiste un fornitore che calcola un punteggio e decide che il rischio è “inaccettabile”.
È il legislatore europeo che individua determinate pratiche e ne vieta l’immissione sul mercato, la messa in servizio o l’uso quando ricorrono le condizioni previste.
Dal 27 luglio 2026 l’elenco si è allungato di due voci, applicabili dal 2 dicembre 2026: i sistemi che generano immagini intime realistiche di persone senza il loro consenso e quelli che generano o manipolano materiale pedopornografico.
Lo stesso Regolamento ne delimita la portata: per l’immissione sul mercato e la messa in servizio i divieti operano quando la generazione di quei contenuti è la finalità prevista del sistema, oppure è ragionevolmente prevedibile senza modifiche tecniche significative e mancano garanzie adeguate; per l’uso, quando il deployer impiega il sistema proprio a quello scopo.
L’articolo 6, invece, contiene le regole di classificazione dei sistemi di AI ad alto rischio (high-risk).
La norma individua due percorsi.
Il primo, al paragrafo 1, richiede due condizioni cumulative:
- il sistema è destinato a essere usato come componente di sicurezza di un prodotto, oppure è esso stesso un prodotto, disciplinato dalla normativa di armonizzazione dell’Unione elencata nell’Allegato I;
- quel prodotto è soggetto a una valutazione della conformità da parte di terzi ai fini dell’immissione sul mercato o della messa in servizio.
Il secondo, al paragrafo 2, riguarda i sistemi che ricadono nei casi d’uso dell’Allegato III.
L’articolo 50 dell’AI Act segue ancora una logica diversa.
Non crea una categoria generale denominata “rischio limitato” ma impone obblighi di trasparenza ai fornitori e ai deployer di determinati sistemi, in determinate circostanze: per esempio, quando un sistema è destinato a interagire direttamente con persone fisiche o genera contenuti sintetici.
Questi obblighi si sommano a quelli del Capo III, non li sostituiscono: lo dice espressamente il paragrafo 6 dello stesso articolo 50.
Un sistema ad alto rischio che interagisce con le persone è soggetto a entrambe le discipline.
Infine, la fascia che nel linguaggio divulgativo viene spesso chiamata “rischio minimo” non corrisponde a una categoria normativa autonoma dotata di un proprio articolo di classificazione.
È, in larga misura, l’area dei sistemi che non ricadono nei regimi più stringenti previsti dal Regolamento, per i quali l’articolo 95 incoraggia codici di condotta volontari, ferme restando le altre norme eventualmente applicabili, a cominciare dall’obbligo di alfabetizzazione dell’articolo 4 dell’AI Act e dal GDPR.
Un’altra categoria: il rischio sistemico dei modelli per finalità generali
La semplificazione dei quattro livelli diventa ancora più evidente osservando il Capo V dell’AI Act.
L’articolo 51 disciplina la classificazione dei modelli di AI per finalità generali (GPAI) con rischio sistemico.
Qui non stiamo semplicemente aggiungendo un quinto gradino alla piramide.
Il Regolamento guarda a un oggetto diverso che è il modello e non il sistema; e costruisce una disciplina specifica.
Un modello è classificato con rischio sistemico in due modi:
- quando presenta capacità di impatto elevato, valutate sulla base di strumenti tecnici e metodologie adeguati, compresi indicatori e parametri di riferimento. Si presume che un modello di AI per finalità generali abbia capacità di impatto elevato, quando la quantità cumulativa di calcolo utilizzata per il suo addestramento misurata in operazioni in virgola mobile è superiore a 10²⁵.
- oppure quando lo decide la Commissione – d’ufficio oppure a seguito di una segnalazione qualificata del gruppo di esperti scientifici – sulla base dei criteri dell’Allegato XIII.
È un ulteriore motivo per evitare di ridurre tutto a una scala lineare.
L’AI Act è un sistema di qualificazioni e obblighi, non una tabella universale in cui ogni tecnologia deve essere collocata con un voto.
La parola decisiva è “classificazione”
Lo stesso titolo della sezione 1 del Capo III è indicativo: “Classificazione dei sistemi di IA come ad alto rischio”. L’articolo 6 parla di regole di classificazione.
Questo linguaggio non è casuale.
Il fornitore deve ricostruire la fattispecie.
Deve comprendere:
- che cosa ha sviluppato;
- a quale uso lo destina;
- in quale contesto dovrà essere impiegato e se quelle caratteristiche fanno scattare una delle disposizioni del Regolamento.
Solo successivamente, quando il sistema è qualificato come ad alto rischio, entra in gioco in modo pieno il sistema di gestione dei rischi dell’articolo 9.
Qui l’AI Act utilizza il rischio nel senso tecnico definito dall’articolo 3, punto 2: la combinazione della probabilità del verificarsi di un danno e della gravità del danno stesso.
È quindi essenziale mantenere separate due domande.
La prima è: “Questo sistema è giuridicamente un sistema di AI ad alto rischio ai sensi dell’articolo 6?”.
La seconda è: “Quali rischi concreti presenta e come devono essere identificati, stimati, valutati e trattati?”.
La prima riguarda la classificazione. La seconda riguarda il risk management.
Il punto di contatto: l’articolo 6, paragrafo 3 dell’AI Act
Sarebbe scorretto tacere che, in un caso, un giudizio sul rischio entra dentro la classificazione.
L’articolo 6, paragrafo 3, consente di non considerare ad alto rischio un sistema dell’Allegato III che “non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche, anche nel senso di non influenzare materialmente il risultato del processo decisionale”, purché:
- ricorra una delle quattro condizioni tipizzate dalla norma;
- e il sistema non effettui profilazione di persone fisiche.
Ma anche qui non c’è un termometro. C’è:
- una soglia normativa (“rischio significativo”);
- un elenco chiuso di condizioni;
- una preclusione assoluta (la profilazione, che rende il sistema sempre ad alto rischio);
- un obbligo di documentazione e di registrazione (paragrafo 4 e articolo 49, paragrafo 2);
- un controllo successivo dell’autorità di vigilanza del mercato, che può riqualificare il sistema e, in caso di classificazione elusiva, applicare le sanzioni dell’articolo 99 (articolo 80).
Ne parleremo nell’articolo 4 di questa esalogia. Per ora basta fissare il principio: l’eccezione è un’autovalutazione vincolata e controllabile, non una libera autocertificazione.
Il rischio di una cattiva semplificazione
La confusione tra classificazione e valutazione produce conseguenze pratiche.
Un fornitore potrebbe ritenere erroneamente che un sistema non sia ad alto rischio perché una propria matrice interna restituisce un rischio moderato; oppure potrebbe qualificare come ad alto rischio un sistema soltanto perché attribuisce un valore elevato alla gravità di un possibile danno, senza verificare se ricorra la fattispecie dell’articolo 6.
Entrambi gli approcci sono sbagliati.
La classificazione deriva dalle regole dell’AI Act.
Il risk assessment serve poi a governare i rischi del sistema nei casi e con le modalità previste dalla disciplina applicabile.
Anche le linee guida della Commissione sulla classificazione dei sistemi ad alto rischio, previste dall’articolo 6, paragrafo 5, e pubblicate in bozza il 19 maggio 2026 (con consultazione chiusa il 23 luglio 2026 e versione definitiva attesa entro la fine dell’anno), seguono questa impostazione.
Sono costruite attorno all’articolo 6 e ai due percorsi dell’Allegato I e dell’Allegato III, con esempi di sistemi che sono e che non sono ad alto rischio.
Non propongono una matrice universale con cui assegnare a ogni sistema uno dei quattro colori della piramide.
Che cosa è cambiato il 27 luglio 2026
Questa serie di sei articoli è aggiornata alla versione consolidata del Regolamento (UE) 2024/1689 del 27 luglio 2026.
Quella data non è casuale: è il giorno in cui è entrato in vigore il Regolamento (UE) 2026/1744 dell’8 luglio 2026, pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026 e noto come Digital Omnibus on AI.
È utile riassumere che cosa è cambiato, perché diverse modifiche toccano proprio la classificazione.
Innanzitutto il calendario. Gli obblighi per i sistemi ad alto rischio dell’Allegato III si applicano dal 2 dicembre 2027 e quelli per i sistemi dell’Allegato I dal 2 agosto 2028, con date fisse.
Gli obblighi di trasparenza dell’articolo 50 restano applicabili dal 2 agosto 2026, con una sola proroga: la marcatura leggibile meccanicamente dei contenuti sintetici prevista dal paragrafo 2, per i sistemi già immessi sul mercato prima del 2 agosto 2026, è dovuta dal 2 dicembre 2026.
I due nuovi divieti dell’articolo 5 si applicano dal 2 dicembre 2026.
Poi l’articolo 6 ha acquisito, dopo il paragrafo 1, tre nuovi paragrafi: 1 bis, 1 ter e 1 quater.
Il loro scopo è delimitare la nozione di componente di sicurezza e la seconda condizione del paragrafo 1.
Il primo chiarimento riguarda la funzione del sistema.
Non è un componente di sicurezza il sistema di AI usato soltanto per scopi che non riguardano la sicurezza: assistere l’utente, ottimizzare le prestazioni, rendere più efficiente il servizio, automatizzare, aumentare la comodità o controllare la qualità.
La regola ha però un’eccezione. Se il guasto o il malfunzionamento di quel sistema mette in pericolo la salute o la sicurezza delle persone, il sistema torna a essere un componente di sicurezza.
Il secondo chiarimento riguarda la valutazione della conformità.
Alcuni prodotti sono sottoposti a valutazione di terza parte solo per rischi che non toccano la salute o la sicurezza, per esempio la distribuzione dello spettro radio o le interferenze elettromagnetiche.
In questi casi la seconda condizione del paragrafo 1 dell’articolo 6 non è soddisfatta.
Il sistema, per questa via, non è ad alto rischio.
C’è infine una modifica all’Allegato I. Il regolamento macchine è passato dalla sezione A alla sezione B.
Per i sistemi di AI integrati nelle macchine si applica quindi il regime speciale dell’articolo 2, paragrafo 2, di cui parleremo nel prossimo articolo della nostra esalogia.
Ancora:
- l’articolo 4 sull’alfabetizzazione in materia di AI richiede ora a fornitori e deployer di adottare misure a sostegno dello sviluppo dell’alfabetizzazione del personale, senza dover garantire un livello determinato a ciascuna persona;
- la registrazione nella banca dati dell’Unione dei sistemi che il fornitore ritiene non ad alto rischio ai sensi dell’articolo 6, paragrafo 3, è stata mantenuta, ma con informazioni semplificate;
- con il nuovo articolo 4 bis, la facoltà di trattare categorie particolari di dati per individuare e correggere le distorsioni, prevista dall’articolo 10, paragrafo 5, è stata estesa a tutti i sistemi di AI, nei limiti della stretta necessità e con garanzie, senza trasformarsi in un obbligo;
- il nuovo paragrafo 13 dell’articolo 2 consente alla Commissione, con atti delegati da adottare entro il 2 agosto 2027, di limitare alcuni requisiti del Capo III per i sistemi collegati a prodotti della sezione A dell’Allegato I, quando la normativa di prodotto assicura un livello di protezione equivalente o superiore;
- l’articolo 27, paragrafo 4, consente ora al deployer di rinviare, nella valutazione d’impatto sui diritti fondamentali, alle sezioni pertinenti della DPIA o di riprenderne le parti rilevanti.
Tre novità riguardano infine chi è agevolato, chi vigila e chi è già sul mercato.
Le piccole imprese a media capitalizzazione entrano nel regime di favore finora riservato alle PMI.
La definizione è nel nuovo punto 14 ter dell’articolo 3. Tra le agevolazioni principali:
- documentazione tecnica semplificata (articolo 11, paragrafo 1);
- sistema di gestione della qualità proporzionato (articolo 17, paragrafo 2);
- accesso prioritario allo spazio di sperimentazione dell’Unione (articolo 57, paragrafo 3 bis);
- tetto alle sanzioni (articolo 99, paragrafo 6 bis).
L’Ufficio per l’IA acquisisce una competenza esclusiva di vigilanza (articolo 75, paragrafo 1). Riguarda due categorie di sistemi:
- quelli basati su un modello per finalità generali, quando modello e sistema sono sviluppati dallo stesso fornitore o da fornitori della stessa impresa;
- quelli integrati nelle piattaforme online e nei motori di ricerca di dimensioni molto grandi. I poteri di indagine, ispezione e sanzione sono nei nuovi articoli da 75 bis a 75 quinquies.
I sistemi ad alto rischio già sul mercato restano fuori dal regime finché la loro progettazione non cambia in modo significativo (articolo 111, paragrafo 2, riscritto).
Fanno eccezione i sistemi destinati a essere usati da autorità pubbliche: fornitori e deployer devono comunque renderli conformi entro il 2 agosto 2030.
Nulla di tutto questo modifica la logica della classificazione.
Ne modifica però i confini (l’Allegato I) e il tempo (le date di applicazione), e un fornitore che classifica oggi deve tenerne conto.
Conclusioni
In conclusione, quando si parla di rischio nell’AI Act, il primo errore da evitare è linguistico e metodologico insieme.
Non dobbiamo chiedere al fornitore di “scegliere il livello di rischio”; dobbiamo, invece, chiedergli di qualificare correttamente il sistema ai sensi dell’AI Act e di documentare il percorso che lo ha portato a quella conclusione.
Quindi, prima si qualifica il sistema, poi, dove richiesto, si valutano e si gestiscono i rischi concreti.
Nel prossimo articolo entreremo nel cuore operativo del problema: vedremo, passo dopo passo, come un fornitore può classificare davvero un sistema di IA, quali domande deve porsi e in quale ordine.
