AI Act: cosa devono fare i fornitori di IA ad alto rischio prima del 2027

Il punto essenziale riguarda le tempistiche: gli obblighi completi dell'Unione europea per i sistemi di IA ad alto rischio sono stati rinviati, non sono già entrati in vigore. Per i sistemi autonomi inclusi nell'Allegato III, l'applicazione è prevista dal 2 dicembre 2027. I sistemi ad alto rischio che costituiscono parte di determinati prodotti già regolamentati seguiranno invece dal 2 agosto 2028. 18

Per le imprese che intendono immettere questi sistemi sul mercato dell'UE, la priorità è costruire prima del lancio un processo di conformità capace di dimostrare sicurezza, tracciabilità e responsabilità.

Quando un sistema di IA è considerato ad alto rischio?

La categoria comprende due grandi gruppi:

• sistemi di IA usati come componenti di sicurezza di prodotti disciplinati da specifiche norme europee, quando tali prodotti richiedono una valutazione di conformità da parte di terzi;
• sistemi di IA impiegati in determinati ambiti dell'Allegato III, con le qualificazioni e le eccezioni previste dall'AI Act. 15

La classificazione è decisiva: lo status di «alto rischio» fa scattare obblighi molto più ampi lungo l'intero ciclo di vita del prodotto rispetto a quelli previsti per gli strumenti di IA ordinari.

Gli obblighi di conformità da preparare

Prima di immettere sul mercato UE un sistema ad alto rischio, il fornitore dovrà integrare i controlli nel ciclo di sviluppo. Non basterà ricostruire documenti e verifiche quando un'autorità li chiederà.

Gestione del rischio e governance dei dati

I fornitori dovranno predisporre misure di valutazione e mitigazione dei rischi. Dovranno inoltre usare dataset di qualità sufficiente per ridurre il rischio di risultati discriminatori. Il quadro previsto per l'IA ad alto rischio richiede dati di addestramento, validazione e test pertinenti, rappresentativi e sottoposti a una governance adeguata. 115

Documentazione e tracciabilità

I sistemi dovranno conservare registri delle attività che consentano la tracciabilità, insieme a una documentazione tecnica dettagliata sul sistema e sulla sua finalità d'uso. Queste evidenze permettono alle autorità di verificare la conformità alle regole. 1

Supervisione umana e resilienza operativa

L'UE richiede misure appropriate di supervisione umana, nonché un elevato livello di accuratezza, robustezza e cybersicurezza. Il fornitore dovrà dare a chi utilizza il sistema informazioni chiare e adeguate, così da consentirne l'impiego conforme alla destinazione d'uso e con consapevolezza dei suoi limiti. 1

Valutazione di conformità, registrazione e monitoraggio

Prima dell'immissione sul mercato dovrà essere completata la valutazione di conformità applicabile. Ove richiesto, il sistema dovrà essere registrato; dopo il rilascio, il fornitore dovrà monitorarne le prestazioni e segnalare gli incidenti gravi. La conformità, quindi, non sarà un via libera una tantum, ma una funzione operativa continua. 115

Checklist pratica per arrivare pronti alle scadenze

Le organizzazioni che si preparano alle date del 2027 e del 2028 dovrebbero poter rispondere a queste domande:

1. Il sistema è davvero ad alto rischio? Confrontare il caso d'uso con le categorie degli Allegati I e III.
2. Chi risponde della conformità? Assegnare responsabilità per sicurezza del prodotto, aspetti legali, documentazione e gestione degli incidenti.
3. I rischi sono dimostrabili e mitigabili? Mantenere un processo ripetibile di gestione del rischio, con test e registrazioni delle decisioni.
4. I controlli sui dati sono difendibili? Documentare pertinenza, rappresentatività, verifiche di qualità e limiti noti dei dataset.
5. Il sistema è verificabile? Conservare log, fascicoli tecnici e istruzioni per l'utente che illustrino usi previsti e vincoli.
6. La supervisione umana funziona nella pratica? Stabilire quando una persona può intervenire, annullare un output o interrompere l'uso del sistema.
7. Il monitoraggio post-commercializzazione è operativo? Preparare procedure per controllare le prestazioni, adottare azioni correttive e segnalare incidenti.

Le possibili sanzioni dell'AI Act

L'AI Act prevede sanzioni calcolate sia come importi fissi in euro sia in rapporto al fatturato annuo mondiale. La fascia più severa, relativa alle pratiche di IA vietate, può arrivare a 35 milioni di euro o al 7% del fatturato annuo mondiale. Per altre violazioni, la sanzione può raggiungere 15 milioni di euro o il 3% del fatturato annuo mondiale. 3

L'entità potenziale delle multe implica che un programma per l'IA ad alto rischio non possa essere affidato soltanto alla funzione legale. Sviluppo prodotto, sicurezza, data science, acquisti, compliance e team operativi devono poter dimostrare che le salvaguardie funzionano davvero.

Perché il rinvio conta già oggi

Le date aggiornate concedono più tempo, ma non riducono la portata degli obblighi. Un fornitore che aspetti la fine del 2027 potrebbe dover ancora creare sistemi documentali, rivedere le prassi di sviluppo dei modelli, introdurre registrazioni delle attività, testare la supervisione umana e organizzare flussi per il monitoraggio e le segnalazioni dopo il rilascio.

L'approccio più utile è trattare l'AI Act come uno standard di governance del prodotto: identificare presto i casi d'uso ad alto rischio, raccogliere evidenze mentre il sistema viene sviluppato e rendere sicurezza, tracciabilità e controllo umano parte integrante del processo di rilascio. 115