Quali sistemi AI sono ad alto rischio, e cosa comporta

Una società di credito al consumo con 260 dipendenti e una rete di 40 negozi convenzionati. Marco, responsabile dei sistemi informativi, riceve dal consiglio una richiesta: «Diteci quali dei nostri sistemi sono ad alto rischio per l'AI Act, e cosa dobbiamo fare».

Marco conosce i programmi, non la legge. L'ufficio legale conosce la legge, non i programmi. Nel mezzo ci sono sistemi che nessuno dei due ha mai guardato con questa domanda: il punteggio che aiuta a decidere sulle richieste di finanziamento, la chat del sito, lo strumento che ordina le candidature per i negozi, il programma che segnala i pagamenti sospetti.

Ogni fornitore dice che il proprio prodotto «è conforme». Ma l'AI Act, la legge europea sull'intelligenza artificiale, guarda anche a come il sistema viene usato, non solo a come è costruito.

Per ogni sistema compiliamo una scheda che parte da una domanda semplice: decide o influenza qualcosa che riguarda una persona? Poi seguiamo il percorso della legge:

1. È una pratica vietata? Per esempio riconoscere le emozioni sul lavoro o assegnare un punteggio sociale. Se sì, si ferma.
2. Rientra in un'area dell'allegato III? Lavoro e selezione, accesso al credito, servizi essenziali, istruzione, infrastrutture critiche e altre. Se sì, è probabilmente ad alto rischio, con obblighi dal 2 dicembre 2027. L'AI montata dentro prodotti regolati, come macchinari o dispositivi medici, segue invece l'allegato I, dal 2 agosto 2028.
3. Vale un'eccezione? La legge esclude i sistemi che svolgono solo un compito preparatorio o limitato e non influenzano in modo rilevante la decisione. L'eccezione va motivata e non vale se il sistema profila le persone.
4. Parla con le persone o genera contenuti? Se sì, ci sono obblighi di trasparenza.
5. Nessuna delle precedenti? Rischio minimo: restano privacy e buone pratiche.

Accanto al livello scriviamo il motivo, l'articolo di riferimento, gli obblighi che ne derivano per voi e per il fornitore, e le date.

• Controlliamo la finalità d'uso reale, non quella del dépliant: chi usa il sistema, per quale decisione, con quale peso.
• Controlliamo i documenti del fornitore: istruzioni d'uso, dichiarazioni, limiti dichiarati.
• Controlliamo se il sistema tratta dati personali e se produce decisioni solo automatizzate, che il GDPR, la legge europea sulla privacy, regola a parte.
• Segnaliamo i casi dubbi con le due letture possibili, senza scegliere al posto vostro.
• Decide l'ufficio legale o il vostro consulente l'inquadramento finale dei casi dubbi.
• Decide il consiglio le priorità: cosa adeguare subito, cosa sostituire, cosa spegnere.

• AI Act (Regolamento UE 2024/1689, come modificato dal Regolamento UE 2026/1744): articolo 5 per le pratiche vietate, in vigore dal 2 febbraio 2025; articolo 6 e allegato III per l'alto rischio; articolo 50 per la trasparenza, dal 2 agosto 2026.
• Il rinvio: il Regolamento UE 2026/1744, l'«omnibus digitale sull'AI» in vigore dal 27 luglio 2026, ha spostato gli obblighi per l'alto rischio dell'allegato III al 2 dicembre 2027, e al 2 agosto 2028 per l'AI dentro prodotti regolati.
• GDPR: articolo 22 sulle decisioni solo automatizzate e articolo 35 sulla valutazione d'impatto.
• Il nostro inquadramento non è un parere legale: è la base documentata su cui decide il vostro legale.

Questo stesso metodo, una domanda chiara, un motivo scritto e una persona che decide, vale per tutti i controlli che l'azienda ripete. Esempi in cosa possiamo fare.

La guida AI Act: cosa cambia davvero spiega categorie e date. Per l'uso dei dati personali leggete GDPR e intelligenza artificiale; per la selezione, selezione del personale e legge.