Futura AI — stampato da https://www.futuraaigroup.com/it/risorse/whitepaper-ai-act/
Regolamento (UE) 2024/1689
Whitepaper — L’AI Act spiegato a chi deve applicarlo
Una guida operativa alla classificazione del rischio, agli obblighi per i sistemi ad alto rischio e a cosa cambia per enti pubblici, banche, assicurazioni e industria regolamentata.
Cosa trovate in questa guida
Classificazione del rischio
Come distinguere rischio inaccettabile, alto rischio, rischio limitato e rischio minimo, e perché il livello dipende dall'uso del sistema, non dalla tecnologia.
Obblighi per i sistemi ad alto rischio
Gestione del rischio, governance dei dati, documentazione tecnica, log automatici e supervisione umana: cosa richiede il Regolamento prima della messa in produzione.
Deployer, non solo provider
Le responsabilità di chi utilizza un sistema ad alto rischio, incluse le valutazioni d'impatto richieste a enti pubblici e settore finanziario.
Una checklist operativa per settore
I passaggi concreti per PA, Regioni, banche, assicurazioni e industria, con le scadenze del Regolamento già trascorse e quelle ancora da affrontare.
Classificazione del rischio: quattro livelli, non due
Il Regolamento (UE) 2024/1689 non classifica le tecnologie: classifica gli usi. Lo stesso modello linguistico può essere a rischio minimo in un assistente per la ricerca interna e ad alto rischio se usato per valutare candidature di lavoro. La domanda da porsi non è mai "che tecnologia stiamo usando", ma "a quale decisione contribuisce".
I quattro livelli: rischio inaccettabile, vietato senza eccezioni (social scoring, manipolazione subliminale, alcuni usi di identificazione biometrica in tempo reale in spazi pubblici). Rischio alto, soggetto a obblighi stringenti prima della messa in produzione: è la categoria dell'Allegato III, che include scoring creditizio, valutazione del rischio assicurativo per vita e salute, selezione del personale, gestione dell'accesso a servizi pubblici essenziali. Rischio limitato, con obblighi di trasparenza: un chatbot deve dichiarare di essere un sistema di AI, un contenuto sintetico deve essere etichettato come tale. Rischio minimo, senza obblighi specifici: la maggior parte dei sistemi di produttività interna rientra qui.
Cosa richiede il Regolamento per un sistema ad alto rischio
Prima della messa in produzione, un sistema classificato ad alto rischio richiede: un sistema di gestione del rischio mantenuto per tutto il ciclo di vita, non solo in fase di progetto; governance dei dati di addestramento, validazione e test, con controlli su qualità e rappresentatività; documentazione tecnica che permetta di ricostruire scelte progettuali e limiti del sistema; registrazione automatica degli eventi (log) sufficiente a garantire la tracciabilità del funzionamento; misure di supervisione umana che consentano a una persona di intervenire o interrompere il sistema; livelli adeguati di accuratezza, robustezza e cybersicurezza, documentati e verificabili.
A questi si aggiunge la valutazione di conformità prima dell'immissione sul mercato o della messa in servizio, e per alcune categorie la registrazione in un database pubblico UE. Sono obblighi pensati per essere verificabili da un soggetto terzo, non solo dichiarati: è la ragione per cui, nei nostri progetti, la documentazione tecnica e l'audit trail nascono insieme al sistema, non vengono scritti a consuntivo.
Deployer, non solo provider: obblighi per chi usa il sistema
Un errore comune è pensare che gli obblighi ricadano solo su chi sviluppa il sistema (il "provider"). Il Regolamento distingue esplicitamente il ruolo di deployer — l'organizzazione che utilizza un sistema di AI ad alto rischio nell'ambito della propria attività — e gli assegna responsabilità autonome: usare il sistema secondo le istruzioni del provider, garantire supervisione umana da parte di personale formato, monitorarne il funzionamento e conservare i log generati, informare i lavoratori e i loro rappresentanti prima di introdurre un sistema ad alto rischio sul posto di lavoro.
Per enti pubblici e per specifici casi del settore finanziario — in particolare banche e assicurazioni che usano l'AI per valutazioni creditizie o assicurative — si aggiunge un obbligo più impegnativo: la valutazione d'impatto sui diritti fondamentali (Fundamental Rights Impact Assessment), da condurre prima di mettere in uso il sistema, non dopo un incidente.
Le scadenze del Regolamento
1 ago 2024
Entrata in vigore del Regolamento
2 feb 2025
Divieto delle pratiche a rischio inaccettabile
2 ago 2025
Obblighi per i modelli GPAI e regole di governance
27 lug 2026
Digital Omnibus in vigore: rinvio degli obblighi per i sistemi ad alto rischio
2 ago 2026
Obblighi di trasparenza (art. 50) e piena operatività di vigilanza e sanzioni
2 dic 2027
Applicazione degli obblighi per i sistemi ad alto rischio (Allegato III)
2 ago 2028
Obblighi per l'IA nei prodotti regolamentati (Allegato I)
2 ago 2030
Termine esteso per una parte dei sistemi ad alto rischio già in uso presso autorità pubbliche
Checklist operativa per settore
Non tutti i punti seguenti si applicano a tutte le organizzazioni: dipende dai sistemi di AI effettivamente in uso e dal loro impiego specifico. Sono i passaggi che, nella nostra esperienza, richiedono più tempo se affrontati in ritardo.
Pubblica Amministrazione ed enti locali
- Censire i sistemi di AI già in uso o in valutazione, anche quelli introdotti senza un progetto formale (es. assistenti per la stesura di atti)
- Verificare se qualche sistema rientra nei casi ad alto rischio dell'Allegato III legati all'accesso a servizi pubblici essenziali
- Predisporre la valutazione d'impatto sui diritti fondamentali per i sistemi ad alto rischio prima della messa in uso
- Definire chi, internamente, ha la responsabilità di supervisione umana su ciascun sistema
Regioni e programmi PNRR/FESR
- Verificare la classificazione di rischio degli strumenti usati per monitoraggio, rendicontazione e valutazione ex ante delle politiche
- Garantire tracciabilità delle fonti per ogni output usato in sede di audit verso organismi di controllo nazionali ed europei
- Documentare la governance dei dati usati nei modelli di simulazione su popolazione e imprese
Banche e assicurazioni
- Mappare dove l'AI interviene in scoring creditizio, pricing assicurativo vita/salute e valutazione dei sinistri: sono casi esplicitamente ad alto rischio
- Predisporre la valutazione d'impatto sui diritti fondamentali richiesta per questi usi
- Allineare audit trail e log dei sistemi di AI ai requisiti già esistenti di compliance e vigilanza
- Verificare i fornitori terzi di modelli o servizi di AI: gli obblighi da deployer restano in capo a chi usa il sistema
Industria e Manufacturing
- Verificare se l'AI è integrata come componente di sicurezza in prodotti già coperti da normativa di armonizzazione UE (macchine, dispositivi): questi casi rientrano nell'Allegato I, con obblighi dal 2 agosto 2028 (rinviati di un anno dal Digital Omnibus di luglio 2026)
- Per i sistemi usati internamente (manutenzione predittiva, controllo qualità, supporto tecnico): verificare se incidono su decisioni relative al personale, caso in cui possono rientrare nell'alto rischio
- Documentare le fonti tecniche (manuali, distinte base, normative) usate dai sistemi di AI per la ricerca di conoscenza interna
Questa guida non sostituisce una consulenza legale sulla conformità al Regolamento (UE) 2024/1689, né una valutazione formale specifica per la vostra organizzazione: interpretazioni ufficiali, atti delegati e standard tecnici armonizzati continuano a essere pubblicati e possono precisare gli obblighi qui descritti. È una base tecnica scritta da chi progetta sistemi di AI destinati alla produzione, pensata per orientarsi prima di coinvolgere i vostri responsabili legali, di compliance e di protezione dati.
Restate aggiornati sugli sviluppi normativi
Il Regolamento entra in vigore per fasi e i testi di attuazione continuano a essere pubblicati. Lasciate la vostra email per ricevere un aggiornamento quando cambia qualcosa di rilevante per il vostro settore.
Questo whitepaper non sostituisce una consulenza legale sulla conformità al Regolamento: è una base tecnica per orientarsi, scritta da chi progetta sistemi di AI destinati alla produzione.
Domande frequenti
Cosa contiene il whitepaper sull’AI Act di Futura AI?
Una guida operativa al Regolamento (UE) 2024/1689, con checklist di conformità per settore.
Una guida operativa al Regolamento (UE) 2024/1689: classificazione del rischio, obblighi per i sistemi ad alto rischio, responsabilità dei deployer — non solo dei provider — e una checklist operativa per settore, pensata per Pubblica Amministrazione, Regioni, banche, assicurazioni e industria regolamentata. La guida spiega come classificare un sistema di AI secondo le categorie di rischio del Regolamento, quali obblighi documentali e di tracciabilità si applicano ai sistemi dell'Allegato III, e quali responsabilità restano in capo a chi utilizza il sistema anche quando non lo ha sviluppato direttamente. La checklist per settore traduce gli obblighi generali in azioni concrete, calendarizzate rispetto alle scadenze del Regolamento, così che un ufficio legale o un responsabile IT possa verificare punto per punto lo stato di conformità della propria organizzazione. È pensata per essere usata come strumento di lavoro, non solo come lettura di inquadramento normativo.
Quando entrano in vigore gli obblighi dell’AI Act per i sistemi ad alto rischio?
Dopo il Digital Omnibus di luglio 2026: dal 2 dicembre 2027 per l'Allegato III, dal 2 agosto 2028 per l'Allegato I; il divieto delle pratiche a rischio inaccettabile è in vigore dal 2 febbraio 2025.
Il Regolamento è entrato in vigore il 1° agosto 2024, e il calendario originario è stato modificato dal pacchetto di semplificazione Digital Omnibus, in vigore dal 27 luglio 2026. Il divieto delle pratiche a rischio inaccettabile resta in vigore dal 2 febbraio 2025, ed è la scadenza più immediata da verificare per chi non ha ancora fatto una prima ricognizione dei propri sistemi. Dal 2 agosto 2026 restano applicabili gli obblighi di trasparenza dell'articolo 50 e la piena operatività di vigilanza e sanzioni. Gli obblighi per i sistemi ad alto rischio dell'Allegato III — i più rilevanti per pubblica amministrazione, banche e assicurazioni — sono stati spostati dal Digital Omnibus al 2 dicembre 2027; quelli per l'AI nei prodotti regolamentati dell'Allegato I al 2 agosto 2028. Per una parte dei sistemi ad alto rischio già in uso presso autorità pubbliche resta fermo il termine più lungo del 2030. Le organizzazioni che rientrano nell'Allegato III dovrebbero comunque aver avviato la classificazione dei propri sistemi e la relativa documentazione tecnica: il rinvio riguarda le scadenze, non il lavoro necessario per arrivarci preparati. Il whitepaper riporta questo calendario in dettaglio, con le implicazioni pratiche per ciascuna scadenza.
Chi ha obblighi secondo l’AI Act: solo chi sviluppa il sistema di AI?
No: anche i deployer, cioè chi utilizza un sistema ad alto rischio, hanno obblighi propri secondo il Regolamento.
No. Anche i deployer — chi utilizza un sistema ad alto rischio, non solo chi lo sviluppa — hanno obblighi propri secondo il Regolamento (UE) 2024/1689: per gli enti pubblici e per specifici casi nel settore finanziario è richiesta una valutazione d'impatto sui diritti fondamentali prima dell'uso del sistema. Questo significa che un ente che adotta un sistema di AI ad alto rischio sviluppato da un fornitore esterno non è esonerato dagli obblighi normativi: deve comunque garantire supervisione umana, monitorare il funzionamento del sistema nel proprio contesto operativo e conservare la documentazione necessaria a dimostrare la conformità. È uno dei motivi per cui trattiamo la classificazione del rischio come primo passo di ogni Assessment, indipendentemente dal fatto che il sistema venga sviluppato da zero o costruito su componenti già esistenti: la responsabilità del deployer non dipende da chi ha scritto il codice.