Per le organizzazioni è indispensabile dotarsi di sistemi di AI, pena l’esclusione dal mercato nel giro di pochi mesi. Da qui a decidere di dotarsi di un sistema di AI che l’AI Act classifica ad alto rischio, però, ce ne corre.
Le organizzazioni non sembrano avere ancora piena coscienza del guaio in cui vanno a cacciarsi.
Inoltre, i loro consulenti in ambito AI, sempre che ne siano consapevoli, si guardano bene dal dire quanto sia onerosa una scelta di questo tipo e che un semplice passaggio aggiuntivo potrebbe ridurre drasticamente gli oneri e i rischi.
Indice degli argomenti
Gli adempimenti previsti per i sistemi ad alto rischio: rischio sanzionatorio e risarcitorio
L’AI ACT impone adempimenti solo per i sistemi ad alto rischio (art. 6) e nei cinque casi previsti dall’art. 50 (che prescrive regole di trasparenza piuttosto semplici da rispettare, per lo meno per i deployer).
Inoltre, gli adempimenti previsti per i sistemi ad alto rischio sono numerosi e tanto impegnativi che la probabilità di non riuscire ad essere pienamente conformi ai requisiti normativi è elevata.
Del resto, alla concreta possibilità di rispettare a pieno una normativa complessa ci ha abituato da tempo anche il GDPR (come evidenzio in ogni mio corso sull’argomento). Perché allora un’organizzazione dovrebbe adottare casi d’uso di sistemi di AI che l’AI ACT qualifica ad alto rischio?
Se desidera davvero percorrere questa strada, deve quantomeno essere cosciente delle possibili conseguenze e dei relativi costi. Costi che, ovviamente, non comprendono solo quelli di sviluppo o acquisizione del sistema, ma anche quelli di adeguamento normativo e del relativo rischio sanzionatorio.
A questi si aggiunga anche il rischio risarcitorio.
Serve un’attenta valutazione costi/benefici
Non che non esistano casi in cui l’uso di tali sistemi risulti effettivamente vantaggioso.
Ma la scelta dovrebbe essere fatta dopo un’attenta valutazione costi/benefici e non solo perché l’uso di sistemi di AI è di moda e un manager si sente sminuito se la sua struttura non dispone di qualche sistema di AI.
Una delle applicazioni che si sente citare più spesso, come in fase di implementazione presso le aziende, è la preselezione dei CV dei candidati.
Ma quanti CV riceve un’azienda per giustificare l’uso di un sistema di AI che l’AI ACT qualifica come ad alto rischio?
Un conto è che si tratti di un’azienda che svolge la selezione del personale, ma che una normale azienda si doti di uno strumento di questo tipo supera ogni mia comprensione.
In effetti, considerando che le aziende “normali” rischiano di avere casi d’uso ad alto rischio in particolare nell’ambito della gestione del personale, sarebbe utile che inserissero nella loro policy il divieto dell’uso di tali sistemi nelle strutture HR.
Cosa prevede il Decreto 160/2026
Oltre a quanto previsto dall’AI ACT come misure tecnico-organizzative relative ai sistemi ad alto rischio, l’Italia ha da poco emanato il decreto 160/2026, che introduce il reato di cui all’art. 437-bis:
“(Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi), punito con la reclusione da uno a cinque anni, quando da tali omissioni derivi pericolo per la vita o l’incolumità pubblica o individuale. Qualora dal fatto derivi un pericolo per la sicurezza dello Stato, la pena è della reclusione da due a otto anni. Salvo che il fatto costituisca più grave reato, chiunque, al di fuori dei casi indicati al primo comma, altera sistemi di intelligenza artificiale ad alto rischio è punito, qualora dal fatto derivi un pericolo per la vita o l’incolumità pubblica o individuale, con la reclusione da due a sei anni. Qualora dal fatto derivi un pericolo per la sicurezza dello Stato, la pena è della reclusione da tre a dieci anni”.
Al di là dei soliti titoli allarmistici, le fattispecie, a cui si applica il testo, sono un numero esiguo del già esiguo numero di sistemi ad alto rischio.
Come ridurre adempimenti AI Act per i sistemi ad alto rischio
In ogni caso, per le normali organizzazioni qualche via di uscita esiste, quantomeno per gli adempimenti previsti dall’AI ACT, e questo dovrebbe portare a importanti riflessioni e valutazioni.
La quasi totalità degli adempimenti previsti dall’AI ACT per i sistemi ad alto rischio è a carico del fornitore, termine che la regolamentazione europea dell’AI attribuisce a chi sviluppa, fa sviluppare, modifica in modo sostanziale o appone il proprio nome a un sistema di AI.
Se quindi, anziché sviluppare un proprio sistema, lo si acquisisce, adempimenti e relativi rischi si riducono drasticamente, rimanendo per lo più in capo al fornitore.
È quindi opportuno effettuare una valutazione dei costi e dei benefici per l’azienda, considerando le due ipotesi che, semplificando, potremmo chiamare “make or buy”, anche se, in base alla definizione di fornitore, si rischia di assumere tale ruolo anche in alcuni casi in cui il sistema è acquisito sul mercato.
La differenza in termini di costo complessivo attraverso make or buy
Qual è la differenza in termini di costo complessivo percorrendo le due soluzioni?
Per rispondere a questa domanda ho sviluppato un modello con Claude che tenesse conto di tutti i costi prima citati.
Lo sviluppo completo del modello è riportato, in forma sintetica, nel mio articolo AI Act, una normativa particolare, presente nel Rapporto CLUSIT di ottobre 2026.
Il modello ha stimato il costo di una generica soluzione di AI ad alto rischio fatta in casa in circa 1,6 milioni di euro, a fronte di 500 mila euro per un sistema acquistato sul mercato.
Stiamo parlando quindi di un rapporto di 1 a 3.
Sebbene un solo caso non può costituire una regola universale, sicuramente aiuta a non sottovalutare questo aspetto.
Un’altra strada da percorrere è quella di valutare quanto valore aggiunto dia perseguire il caso d’uso in modo completo, tale da portare alla classificazione del sistema coma ad alto rischio.
Esempio: una banca con sistema per l’affidabilità creditizia
Se la banca utilizza un sistema per valutare l’affidabilità creditizia, solo per le persone non fisiche, non deve mettere in atto alcun adempimento in quanto non si tratta di un sistema ad alto rischio.
Quindi, potrebbe valutare di utilizzarlo a pieno solo per quel tipo di clienti ed elaborare delle regole, sempre grazie al sistema di AI, da applicare alle persone fisiche, con strumenti tradizionali.
Nell’AI Act, cosa comportano i sistemi ad alto rischio
L’uso di sistemi ad alto richio comporta oneri di conformità non indifferenti e va quindi sempre valutato con estrema attenzione.
Una prima soluzione consiste nell’acquisizione di un sistema sul mercato invece di pensare ad un suo sviluppo interno.
Scelte più oculate nell’uso dei sistemi possono inoltre portare a risultati vicini al desiderato, senza la necessità di attivare casi d’uso ad alto rischio.
Partecipa alla community