Chi sviluppa o utilizza un sistema di IA classificato ad alto rischio, come abbiamo visto nell’articolo precedente sulla classificazione, affronta il livello di obblighi più esigente previsto dall’AI Act. Non si tratta di un adempimento documentale isolato, ma di un impianto che accompagna il sistema lungo tutto il suo ciclo di vita.
Quali sistemi rientrano nell’alto rischio
L’Allegato III del regolamento elenca gli ambiti: biometria e identificazione remota, gestione di infrastrutture critiche, istruzione e formazione professionale, occupazione e gestione del personale (selezione, valutazione, promozione), accesso a servizi pubblici e privati essenziali (incluso il credit scoring), attività di contrasto, migrazione e controllo delle frontiere, amministrazione della giustizia e processi democratici. Va aggiunto che, per questi sistemi, l’art. 6, par. 3, prevede alcune eccezioni quando non emerge un rischio significativo per salute, sicurezza o diritti fondamentali: non è quindi un automatismo assoluto, come approfondito nell’articolo sulla classificazione del rischio.
Gli obblighi principali
- Sistema di gestione del rischio: un processo continuo, non un documento una tantum, che accompagna il sistema per tutto il ciclo di vita per identificare e mitigare impatti negativi su salute, sicurezza e diritti fondamentali.
- Data governance: i dati di addestramento, validazione e test devono essere pertinenti, rappresentativi e il più possibile privi di errori e bias.
- Trasparenza verso il deployer: un obbligo distinto da quello verso gli utenti finali: l’art.13 richiede che il sistema sia accompagnato da istruzioni per l’uso chiare e complete, che permettano al deployer di interpretarne correttamente l’output.
- Documentazione tecnica: necessaria per dimostrare la conformità e ottenere la marcatura CE, previa valutazione da parte di un organismo notificato per i casi previsti.
- Registrazione: i sistemi ad alto rischio vanno registrati in un database pubblico europeo prima dell’immissione sul mercato o della messa in servizio (art. 71).
- Supervisione umana e conservazione dei log: il deployer deve assegnare la supervisione a personale competente e conservare i log generati automaticamente dal sistema per almeno 6 mesi (dettagli nell’art.26).
- Robustezza, accuratezza e cybersecurity: requisiti tecnici equiparati per importanza, non accessori rispetto alle prestazioni del sistema.
- Monitoraggio post-market: un piano di sorveglianza successivo all’immissione sul mercato, con obbligo di segnalare incidenti gravi e malfunzionamenti alle autorità competenti.
- FRIA (Valutazione d’impatto sui diritti fondamentali): non è un obbligo generale per tutti i sistemi ad alto rischio. Riguarda alcuni deployer, in particolare organismi di diritto pubblico, enti privati che forniscono servizi pubblici e alcuni operatori in ambiti sensibili come credito e assicurazioni vita/salute, quando ricorrono le condizioni dell’art. 27.
Provider e deployer: obblighi diversi, responsabilità condivisa
Gli obblighi più estesi (documentazione tecnica, marcatura CE, registrazione) ricadono principalmente sul provider, cioè su chi sviluppa il sistema. Ma anche il deployer, l’azienda che lo utilizza, anche integrando strumenti come Copilot e i suoi agenti, ha responsabilità dirette: usare il sistema secondo le istruzioni del provider, garantire la supervisione umana nel proprio contesto operativo, monitorare il funzionamento e segnalare eventuali anomalie.
Quando scattano questi obblighi
Il testo originario dell’AI Act fissava l’applicazione delle regole sui sistemi ad alto rischio al 2 agosto 2026. Dopo il Digital Omnibus, approvato dal Parlamento europeo il 16 giugno 2026 e adottato in via definitiva dal Consiglio il 29 giugno 2026, la nuova scansione temporale indica il 2 dicembre 2027 per i sistemi dell’Allegato III e il 2 agosto 2028 per i sistemi integrati in prodotti regolati dall’Allegato I. Sul piano politico il nuovo calendario è definito; sul piano formale resta la pubblicazione in Gazzetta Ufficiale UE. In ogni caso, un percorso di adeguamento completo richiede comunque tra 8 e 14 mesi. Il passo successivo naturale è impostare un gap analysis interno per capire dove si colloca oggi la propria azienda.
Conoscere questi obblighi in anticipo è ciò che garantisce continuità al progetto, invece di trasformarlo in una corsa contro la scadenza.
Le risposte che cerchi: FAQ su AI ad alto rischio
Quelli usati in ambiti come selezione del personale, scoring creditizio, accesso a servizi pubblici essenziali, istruzione, infrastrutture critiche e giustizia, elencati nell’Allegato III del regolamento, salvo le eccezioni documentate previste dall’art. 6, par. 3.
Chi deve garantire la supervisione umana su un sistema ad alto rischio?
È un obbligo condiviso: il provider deve progettare il sistema in modo da consentirla, il deployer deve garantirla concretamente nel proprio contesto operativo quotidiano.
Devo sempre fare la FRIA per un sistema ad alto rischio?
No. La FRIA riguarda solo alcuni deployer, organismi di diritto pubblico, enti privati che erogano servizi pubblici e operatori in ambiti come credito e Assicurazioni, non tutti gli utilizzatori di sistemi ad alto rischio.
Quando entrano in vigore gli obblighi per i sistemi ad alto rischio?
Dopo il Digital Omnibus, adottato in via definitiva dal Consiglio UE il 29 giugno 2026, le nuove scadenze sono il 2 dicembre 2027 per i sistemi indipendenti e il 2 agosto 2028 per quelli integrati in prodotti già regolati.
