Futura AI — stampato da https://www.futuraaigroup.com/it/risorse/whitepaper-ai-act/
Regolamento (UE) 2024/1689
Whitepaper — L’AI Act spiegato a chi deve applicarlo
Una guida operativa alla classificazione del rischio, agli obblighi per i sistemi ad alto rischio e a cosa cambia per enti pubblici, banche, assicurazioni e industria regolamentata.
Cosa trovate in questa guida
Classificazione del rischio
Come distinguere rischio inaccettabile, alto rischio, rischio limitato e rischio minimo, e perché il livello dipende dall'uso del sistema, non dalla tecnologia.
Obblighi per i sistemi ad alto rischio
Gestione del rischio, governance dei dati, documentazione tecnica, log automatici e supervisione umana: cosa richiede il Regolamento prima della messa in produzione.
Deployer, non solo provider
Le responsabilità di chi utilizza un sistema ad alto rischio, incluse le valutazioni d'impatto richieste a enti pubblici e settore finanziario.
Una checklist operativa per settore
I passaggi concreti per PA, Regioni, banche, assicurazioni e industria, con le scadenze del Regolamento già trascorse e quelle ancora da affrontare.
Classificazione del rischio: quattro livelli, non due
Il Regolamento (UE) 2024/1689 non classifica le tecnologie: classifica gli usi. Lo stesso modello linguistico può essere a rischio minimo in un assistente per la ricerca interna e ad alto rischio se usato per valutare candidature di lavoro. La domanda da porsi non è mai "che tecnologia stiamo usando", ma "a quale decisione contribuisce".
I quattro livelli: rischio inaccettabile, vietato senza eccezioni (social scoring, manipolazione subliminale, alcuni usi di identificazione biometrica in tempo reale in spazi pubblici). Rischio alto, soggetto a obblighi stringenti prima della messa in produzione: è la categoria dell'Allegato III, che include scoring creditizio, valutazione del rischio assicurativo per vita e salute, selezione del personale, gestione dell'accesso a servizi pubblici essenziali. Rischio limitato, con obblighi di trasparenza: un chatbot deve dichiarare di essere un sistema di AI, un contenuto sintetico deve essere etichettato come tale. Rischio minimo, senza obblighi specifici: la maggior parte dei sistemi di produttività interna rientra qui.
Cosa richiede il Regolamento per un sistema ad alto rischio
Prima della messa in produzione, un sistema classificato ad alto rischio richiede: un sistema di gestione del rischio mantenuto per tutto il ciclo di vita, non solo in fase di progetto; governance dei dati di addestramento, validazione e test, con controlli su qualità e rappresentatività; documentazione tecnica che permetta di ricostruire scelte progettuali e limiti del sistema; registrazione automatica degli eventi (log) sufficiente a garantire la tracciabilità del funzionamento; misure di supervisione umana che consentano a una persona di intervenire o interrompere il sistema; livelli adeguati di accuratezza, robustezza e cybersicurezza, documentati e verificabili.
A questi si aggiunge la valutazione di conformità prima dell'immissione sul mercato o della messa in servizio, e per alcune categorie la registrazione in un database pubblico UE. Sono obblighi pensati per essere verificabili da un soggetto terzo, non solo dichiarati: è la ragione per cui, nei nostri progetti, la documentazione tecnica e l'audit trail nascono insieme al sistema, non vengono scritti a consuntivo.
Deployer, non solo provider: obblighi per chi usa il sistema
Un errore comune è pensare che gli obblighi ricadano solo su chi sviluppa il sistema (il "provider"). Il Regolamento distingue esplicitamente il ruolo di deployer — l'organizzazione che utilizza un sistema di AI ad alto rischio nell'ambito della propria attività — e gli assegna responsabilità autonome: usare il sistema secondo le istruzioni del provider, garantire supervisione umana da parte di personale formato, monitorarne il funzionamento e conservare i log generati, informare i lavoratori e i loro rappresentanti prima di introdurre un sistema ad alto rischio sul posto di lavoro.
Per enti pubblici e per specifici casi del settore finanziario — in particolare banche e assicurazioni che usano l'AI per valutazioni creditizie o assicurative — si aggiunge un obbligo più impegnativo: la valutazione d'impatto sui diritti fondamentali (Fundamental Rights Impact Assessment), da condurre prima di mettere in uso il sistema, non dopo un incidente.
Le scadenze del Regolamento
1 ago 2024
Entrata in vigore del Regolamento
2 feb 2025
Divieto delle pratiche a rischio inaccettabile
2 ago 2025
Obblighi per i modelli GPAI e regole di governance
2 ago 2026
Applicazione degli obblighi per i sistemi ad alto rischio (Allegato III)
2 ago 2027
Obblighi per l'IA nei prodotti regolamentati (Allegato I)
Checklist operativa per settore
Non tutti i punti seguenti si applicano a tutte le organizzazioni: dipende dai sistemi di AI effettivamente in uso e dal loro impiego specifico. Sono i passaggi che, nella nostra esperienza, richiedono più tempo se affrontati in ritardo.
Pubblica Amministrazione ed enti locali
- Censire i sistemi di AI già in uso o in valutazione, anche quelli introdotti senza un progetto formale (es. assistenti per la stesura di atti)
- Verificare se qualche sistema rientra nei casi ad alto rischio dell'Allegato III legati all'accesso a servizi pubblici essenziali
- Predisporre la valutazione d'impatto sui diritti fondamentali per i sistemi ad alto rischio prima della messa in uso
- Definire chi, internamente, ha la responsabilità di supervisione umana su ciascun sistema
Regioni e programmi PNRR/FESR
- Verificare la classificazione di rischio degli strumenti usati per monitoraggio, rendicontazione e valutazione ex ante delle politiche
- Garantire tracciabilità delle fonti per ogni output usato in sede di audit verso organismi di controllo nazionali ed europei
- Documentare la governance dei dati usati nei modelli di simulazione su popolazione e imprese
Banche e assicurazioni
- Mappare dove l'AI interviene in scoring creditizio, pricing assicurativo vita/salute e valutazione dei sinistri: sono casi esplicitamente ad alto rischio
- Predisporre la valutazione d'impatto sui diritti fondamentali richiesta per questi usi
- Allineare audit trail e log dei sistemi di AI ai requisiti già esistenti di compliance e vigilanza
- Verificare i fornitori terzi di modelli o servizi di AI: gli obblighi da deployer restano in capo a chi usa il sistema
Industria e Manufacturing
- Verificare se l'AI è integrata come componente di sicurezza in prodotti già coperti da normativa di armonizzazione UE (macchine, dispositivi): questi casi rientrano nell'Allegato I, con obblighi dal 2 agosto 2027
- Per i sistemi usati internamente (manutenzione predittiva, controllo qualità, supporto tecnico): verificare se incidono su decisioni relative al personale, caso in cui possono rientrare nell'alto rischio
- Documentare le fonti tecniche (manuali, distinte base, normative) usate dai sistemi di AI per la ricerca di conoscenza interna
Questa guida non sostituisce una consulenza legale sulla conformità al Regolamento (UE) 2024/1689, né una valutazione formale specifica per la vostra organizzazione: interpretazioni ufficiali, atti delegati e standard tecnici armonizzati continuano a essere pubblicati e possono precisare gli obblighi qui descritti. È una base tecnica scritta da chi progetta sistemi di AI destinati alla produzione, pensata per orientarsi prima di coinvolgere i vostri responsabili legali, di compliance e di protezione dati.
Restate aggiornati sugli sviluppi normativi
Il Regolamento entra in vigore per fasi e i testi di attuazione continuano a essere pubblicati. Lasciate la vostra email per ricevere un aggiornamento quando cambia qualcosa di rilevante per il vostro settore.
Questo whitepaper non sostituisce una consulenza legale sulla conformità al Regolamento: è una base tecnica per orientarsi, scritta da chi progetta sistemi di AI destinati alla produzione.
Domande frequenti
Cosa contiene il whitepaper sull’AI Act di Futura AI?
Una guida operativa al Regolamento (UE) 2024/1689: classificazione del rischio, obblighi per i sistemi ad alto rischio, responsabilità dei deployer (non solo dei provider) e una checklist operativa per settore — PA, Regioni, banche, assicurazioni e industria regolamentata.
Quando entrano in vigore gli obblighi dell’AI Act per i sistemi ad alto rischio?
Il Regolamento è entrato in vigore il 1° agosto 2024. Dal 2 agosto 2026 si applicano gli obblighi per i sistemi ad alto rischio dell’Allegato III; dal 2 agosto 2027 quelli per l’AI nei prodotti regolamentati dell’Allegato I. Il divieto delle pratiche a rischio inaccettabile è già in vigore dal 2 febbraio 2025.
Chi ha obblighi secondo l’AI Act: solo chi sviluppa il sistema di AI?
No. Anche i deployer — chi utilizza un sistema ad alto rischio, non solo chi lo sviluppa — hanno obblighi propri: per gli enti pubblici e per specifici casi nel settore finanziario è richiesta una valutazione d’impatto sui diritti fondamentali.