Una delle domande più frequenti che arrivano da imprenditori, professionisti e responsabili aziendali quando si parla di AI Act è questa: riguarda davvero anche noi?
La risposta dipende da un’analisi concreta, non da sensazioni. L’AI Act costruisce il proprio sistema di obblighi a partire da un principio semplice quanto potente: non tutti i sistemi di intelligenza artificiale comportano gli stessi rischi, e non tutti richiedono le stesse cautele. Per questo il regolamento li classifica in quattro livelli, a ciascuno dei quali corrispondono obblighi diversi.
Capire in quale livello si collocano i sistemi che la propria organizzazione usa — o produce — è il primo passo concreto per affrontare il tema con metodo, senza né sottovalutarlo né ingigantirlo.
I quattro livelli di rischio: una mappa da conoscere
Il regolamento europeo sull’intelligenza artificiale non impone un approccio unico a tutte le realtà. Distingue invece quattro categorie in base all’impatto potenziale del sistema sui diritti, sulla sicurezza e sull’autonomia delle persone.
Rischio inaccettabile — sistemi vietati
Questa categoria include applicazioni che l’Unione Europea ha ritenuto incompatibili con i valori fondamentali della società democratica. Tra queste: sistemi di social scoring da parte di governi, riconoscimento emotivo nei luoghi di lavoro o nelle scuole per finalità di controllo, manipolazione subliminale del comportamento umano, profilazione basata su caratteristiche personali per prevedere la propensione a commettere reati.
Per le PMI e i professionisti italiani, questa categoria è rilevante soprattutto in negativo: è utile sapere dove si tracciano le linee rosse per evitare di adottare, inconsapevolmente, strumenti che le attraversano.
Rischio alto — obblighi stringenti e documentazione obbligatoria
È la categoria che richiede la maggiore attenzione operativa. Rientrano qui i sistemi di IA utilizzati in ambiti ad alto impatto sulla vita delle persone: selezione del personale, accesso al credito, valutazione degli studenti, gestione delle infrastrutture critiche, supporto alle decisioni in campo medico o legale, controllo delle frontiere.
Chi usa questi sistemi — in qualità di deployer, ovvero di utilizzatore e non necessariamente di sviluppatore — deve adottare misure precise: supervisione umana, registrazione delle attività del sistema, valutazione del rischio documentata, procedure di segnalazione in caso di incidenti.
Molte PMI italiane rientrano in questa categoria senza saperlo. Un software gestionale che analizza le performance dei dipendenti, un sistema di scoring per la concessione di dilazioni di pagamento, una piattaforma che filtra automaticamente i CV: tutti questi strumenti possono qualificarsi come sistemi ad alto rischio ai sensi dell’AI Act.
Rischio limitato — obblighi di trasparenza
Questa categoria riguarda principalmente i sistemi che interagiscono con le persone in modo non immediatamente riconoscibile come automatico. I chatbot sono l’esempio più diffuso: se un’azienda utilizza un assistente virtuale per rispondere ai clienti, è obbligata a informarli che stanno interagendo con un sistema di IA e non con una persona.
L’obbligo non è tecnicamente complesso, ma è concreto e verificabile. Ignorarlo espone l’azienda a contestazioni, anche in contesti in cui il rischio complessivo dello strumento è basso.
Rischio minimo — nessun obbligo specifico, ma consapevolezza necessaria
La maggior parte degli strumenti IA usati quotidianamente — filtri antispam, suggerimenti di completamento automatico, sistemi di raccomandazione dei contenuti — rientra in questa categoria. L’AI Act non impone obblighi particolari, ma non significa che l’uso sia privo di implicazioni. La consapevolezza di cosa si usa, e perché, rimane una responsabilità organizzativa.
Provider e deployer: ruoli diversi, responsabilità diverse
Un aspetto che genera spesso confusione riguarda la distinzione tra chi sviluppa un sistema di IA e chi lo utilizza. L’AI Act li chiama rispettivamente provider e deployer, e assegna loro obblighi differenti.
Il provider è chi progetta, addestra e immette sul mercato il sistema. Il deployer è chi lo integra nei propri processi per uno scopo specifico. Una PMI che acquista un software di selezione del personale basato su IA non è il provider di quel sistema: ma è il deployer, e come tale ha obblighi precisi in termini di supervisione, documentazione e gestione del rischio.
Questa distinzione è fondamentale perché molte aziende italiane ritengono erroneamente che, non avendo sviluppato nessun algoritmo internamente, non abbiano responsabilità ai sensi dell’AI Act. Non è così.
Come capire in quale categoria rientra la tua organizzazione
Non esiste una formula universale, ma esiste un metodo. Il punto di partenza è sempre la stessa domanda: quali sistemi di IA stiamo usando, anche indirettamente?
Una volta identificati gli strumenti, occorre valutare tre variabili:
- Il contesto d’uso: lo stesso strumento può avere livelli di rischio diversi a seconda di come e dove viene impiegato. Un sistema di analisi del linguaggio usato per suggerire risposte alle email è diverso dallo stesso sistema usato per valutare le competenze di un candidato.
- L’impatto sulle persone: il sistema incide su decisioni che riguardano diritti, opportunità, accesso a servizi? Più l’impatto è diretto e significativo, più il rischio è alto.
- Il grado di automazione: il sistema supporta una decisione umana o la sostituisce? La supervisione umana è reale o solo formale? Questi elementi influenzano direttamente la classificazione.
Fare questa valutazione internamente, senza una guida, è possibile ma rischioso. È facile sottostimare l’uso di certi strumenti o non riconoscere che una piattaforma di terze parti integra funzioni di IA ad alto rischio. Per questo, affrontare il tema nell’ambito di un percorso formativo strutturato ha un valore pratico immediato.
Il corso sull’intelligenza artificiale di Antonio Sinibaldi include proprio questo tipo di lavoro: aiutare le organizzazioni a mappare i sistemi in uso, a valutarne il livello di rischio e a capire quali misure adottare, senza affidarsi a interpretazioni generiche o superficiali.
Cosa cambia concretamente in base alla categoria
La classificazione non è un esercizio teorico. Determina cosa un’azienda deve fare, con quale urgenza e con quale grado di documentazione.
Per i sistemi ad alto rischio, gli obblighi includono: valutazione della conformità prima della messa in uso, registrazione in una banca dati europea per alcune categorie, supervisione umana attiva, gestione degli incidenti, conservazione dei log di attività.
Per i sistemi a rischio limitato, l’obbligo principale è la trasparenza verso gli utenti: informarli dell’interazione con un sistema automatico.
Per i sistemi a rischio minimo, non vi sono obblighi specifici, ma è comunque buona pratica documentare le scelte fatte e dimostrare di aver valutato il contesto d’uso.
In tutti i casi, la formazione del personale è un elemento trasversale: l’AI Act richiede che chi usa sistemi IA disponga di un livello di comprensione adeguato al ruolo e al rischio. Non una certificazione tecnica, ma una consapevolezza operativa verificabile.
Il rischio più concreto: non sapere dove si è
Le sanzioni previste dall’AI Act sono proporzionate alla gravità della violazione e al ruolo dell’organizzazione. Ma le conseguenze più immediate non sono sempre economiche.
Un’azienda che usa un sistema ad alto rischio senza le misure richieste si espone a contestazioni da parte di dipendenti, clienti o autorità. Un errore dell’algoritmo in un contesto ad alto impatto — una selezione scorretta, una valutazione distorta — diventa molto più difficile da gestire se l’organizzazione non ha documentato né la valutazione del rischio né le misure di supervisione adottate.
Il rischio più concreto, per molte PMI italiane, non è una multa. È trovarsi a dover rispondere di una decisione automatica senza avere strumenti per spiegarla, giustificarla o correggerla.
Conclusione: classificare per governare
L’AI Act non nasce per bloccare l’innovazione. Nasce per fare in modo che l’innovazione avvenga in modo governato, trasparente e proporzionato ai rischi reali.
Capire in quale categoria rientra la propria organizzazione non è un adempimento burocratico. È il punto di partenza per costruire un rapporto consapevole con la tecnologia che si usa ogni giorno: sapere cosa si ha in mano, cosa può fare e cosa non dovrebbe fare.
→ Se vuoi affrontare questa valutazione con metodo — capire concretamente quali sistemi usi, in quale categoria rientrano e cosa devi fare — il corso sull’intelligenza artificiale di Antonio Sinibaldi è il percorso pensato per aziende e professionisti italiani che vogliono affrontare il tema senza improvvisare.