La diffusa abitudine di non leggere direttamente i testi normativi, limitandosi invece ad affidarsi a consulenti, corsi di formazione, articoli o altri materiali divulgativi, può condurre a errori interpretativi anche molto gravi.
Ecco la reale portata ed impegno richiesto dall’AI ACT, una normativa che riguarda tutti, ricordando che il Digital Omnibus recentemente approvato dal Parlamento UE sposta alcune scadenze dell’AI Act, ma non sospende il regolamento: per le PMI restano fermi obblighi già applicabili, alfabetizzazione all’AI, trasparenza e marcatura dei contenuti sintetici.
Indice degli argomenti
AI Act, cosa una normativa richiede realmente
Neppure le informazioni pubblicate sui siti istituzionali dell’Unione europea, quando si tratta di direttive o regolamenti, costituiscono una garanzia assoluta.
Tali documenti hanno infatti finalità divulgative e presentano inevitabilmente una versione semplificata e generalista delle norme.
Solo una lettura diretta del testo legislativo consente di comprendere con ragionevole certezza cosa una norma richieda realmente.
Per farlo non è necessario essere giuristi: occorre soltanto dedicare il tempo necessario alla sua analisi.
Anche l’AI Act, una delle normative più discusse del momento insieme alla direttiva NIS2, non sfugge a questo fenomeno.
Si moltiplicano articoli, approfondimenti e corsi dedicati a temi particolarmente specialistici, come la valutazione di impatto di un sistema AI (FRIA), trasmettendo l’impressione che l’adeguamento all’AI Act sia estremamente complesso, riservato a pochi specialisti e che richieda necessariamente il supporto di costosi consulenti.
In effetti l’AI Act riguarda qualunque impresa, professionista, pubblica amministrazione o, più in generale, qualsiasi organizzazione.
Il testo normativo: solo 40 articoli hanno carattere prescrittivo
Oggi praticamente tutte le organizzazioni utilizzano sistemi di intelligenza artificiale oppure inizieranno a farlo nel prossimo futuro. Chi decidesse di non farne uso rischierebbe, molto probabilmente, di perdere competitività fino a uscire dal mercato.
L’AI Act è composto da 144 pagine, 180 considerando, 113 articoli e 13 allegati. Numeri che, da soli, possono scoraggiare chiunque dal leggerlo.
Se però si analizza la struttura della norma, emerge una realtà molto diversa da quella comunemente percepita.
Soltanto circa 40 articoli hanno carattere prescrittivo, ossia impongono specifici obblighi agli operatori, termine che identifica i vari attori coinvolti nel rispetto della normativa, come fornitori, deployer, fabbricanti, rappresentanti autorizzati, importatori e distributori.
Gli obblighi
Ciò significa che un’organizzazione che non utilizza sistemi di AI ad alto rischio è soggetta a un numero molto limitato di obblighi.
Se utilizza esclusivamente sistemi a rischio limitato, dovrà rispettare le prescrizioni previste dall’articolo 50, limitatamente alle fattispecie applicabili.
Invece, se utilizza un sistema vietato, dovrà semplicemente cessarne l’utilizzo.
Ma se impiega esclusivamente sistemi a rischio minimo, l’unico obbligo generale sarà quello previsto dall’articolo 4, relativo all’alfabetizzazione in materia di intelligenza artificiale (AI Literacy).
Naturalmente tutte le organizzazioni devono, come primo passo, censire i sistemi di AI utilizzati e stabilire se essi rientrino effettivamente nella definizione di “sistema di intelligenza artificiale” fornita dall’AI Act.
Solo successivamente sarà possibile procedere alla loro classificazione in funzione del livello di rischio.
Un ragionamento analogo vale anche per i modelli di IA.
AI Act, la normativa e i modelli di IA
Gli obblighi previsti dalla normativa riguardano quasi esclusivamente i fornitori di tali modelli, ossia aziende altamente specializzate che normalmente non incontrano particolari difficoltà interpretative nell’applicazione della disciplina.
In sintesi, tutte le organizzazioni devono necessariamente [1]:
- identificare i sistemi che costituiscono sistemi di IA ai sensi dell’AI Act;
- classificarli secondo il livello di rischio previsto dalla normativa;
- eliminare eventuali sistemi vietati;
- applicare, nel caso di sistemi a rischio limitato, gli obblighi previsti dall’articolo 50;
- nel caso di sistemi ad alto rischio, applicare l’intero insieme delle prescrizioni specificamente previste per tale categoria.
Cosa emerge dall’analisi del testo
La presenza di sistemi di IA ad alto rischio rappresenta la vera discriminante sotto il profilo della compliance.
Sono infatti questi sistemi a determinare gli adempimenti più onerosi, sia sotto il profilo organizzativo sia sotto quello documentale e tecnico.
Prima di adottare un sistema classificabile come ad alto rischio, un’organizzazione dovrebbe quindi valutare attentamente se i benefici attesi giustifichino i significativi oneri di conformità.
Ai costi di acquisizione, implementazione e gestione del sistema si aggiungono infatti quelli, tutt’altro che trascurabili, necessari per garantirne la conformità normativa.
A ciò si somma il rischio sanzionatorio, considerando che raggiungere una conformità completa rispetto a una normativa tanto articolata rappresenta, nella pratica, un obiettivo estremamente difficile.
Gli adempimenti richiesti dall’AI Act ai sistemi di IA classificabili come ad alto rischio
La grande maggioranza delle organizzazioni con ogni probabilità non utilizza sistemi di IA classificabili come ad alto rischio e, di conseguenza, gli adempimenti richiesti dall’AI Act risultano decisamente più contenuti.
Questa non è soltanto una conclusione derivante da una mia analisi dettagliata della struttura della normativa, ma è confermata anche dalla stessa Commissione europea nelle linee guida (Commission Guidelines on the definition of an artificial intelligence system established by Regulation EU 2024/1689 – AI Act), che affermano:
(63) Solo alcuni sistemi di intelligenza artificiale sono soggetti agli obblighi normativi e alla vigilanza previsti dalla legge sull’intelligenza artificiale. L’approccio basato sul rischio della legge sull’IA implica che solo i sistemi che comportano i rischi più significativi per i diritti e le libertà fondamentali saranno soggetti ai divieti di cui all’articolo 5 della legge sull’IA, al suo regime normativo per i sistemi di IA ad alto rischio di cui all’articolo 6 della legge sull’IA e ai suoi requisiti di trasparenza per un numero limitato di sistemi di IA predefiniti di cui all’articolo 50 della legge sull’IA. La stragrande maggioranza dei sistemi, anche se rientrano nella definizione di sistemi di IA ai sensi dell’articolo 3, paragrafo 1, della legge sull’IA, non sarà soggetta ad alcun requisito minimo normativo ai sensi della legge sull’IA [2].
AI Act: l’errore in questa fase iniziale
L’attività realmente cruciale è costituita dalla corretta identificazione dei sistemi di AI e dalla loro corretta classificazione.
Un errore in questa fase iniziale può infatti comportare sia l’applicazione di obblighi non necessari, con conseguenti costi inutili, sia, al contrario, la mancata applicazione di prescrizioni obbligatorie.
Per supportare le organizzazioni in questa attività, l’UE ha messo gratuitamente a disposizione l’EU AI Act Compliance Checker, uno strumento interattivo che consente di verificare se un determinato sistema o modello rientri nell’ambito di applicazione dell’AI Act e, successivamente, di determinarne il livello di rischio.
Si tratta di uno strumento che dovrebbe costituire il punto di partenza di qualsiasi percorso di conformità alla normativa ed anche se viene presentato senza alcuna forma di garanzia in merito alle valutazioni effettuate, personalmente mi fido di più di tale sistema che di molti consulenti.
Un rischio molto alto in fase di attribuzione del corretto livello di rischio è invece legato alla sottovalutazione dei casi d’uso legati all’AI generativa. Tali sistemi consentono di fare qualunque cosa e quindi di mettere in atto, con dei semplici prompt fatti da personale nemmeno specializzato, le stesse attività che sono vietate o che classificano i sistemi di AI come ad alto rischio.
Quindi, una organizzazione che probabilmente non deve implementare alcun requisito ai sensi dell’AI Act, potrebbe in realtà trovarsi nella situazione di avere casi d’uso ad alto rischio semplicemente utilizzando strumenti di AI generativa.
Solo la presenza di una policy completa, esaustiva e dei controlli rigorosi possono evitare situazioni di questo tipo.
La valutazione di impatto
Non solo questa deve essere effettuata solo se si ha un sistema da alto rischio, ma anche in questo caso riguarda un numero molto limitato di soggetti e solo su specifici sistemi, come si evince dall’articolo 27 dell’AI Act:
- Prima di utilizzare un sistema di IA ad alto rischio di cui all’articolo 6, paragrafo 2, ad eccezione dei sistemi di IA ad alto rischio destinati a essere usati nel settore elencati nell’allegato III, punto 2, i deployer che sono organismi di diritto pubblico o sono enti privati che forniscono servizi pubblici e i deployer di sistemi di IA ad alto rischio di cui all’allegato III, punto 5, lettere b) e c), effettuano una valutazione dell’impatto sui diritti fondamentali che l’uso di tale sistema può produrre.
Perché tanta enfasi, quindi, su un adempimento che interessa un numero limitato di soggetti?
In conclusione, quindi, a patto di regolamentare adeguatamente gli usi dell’AI in azienda, l’AI Act potrebbe essere molto meno impegnativo di quanto ci si aspetti, ma è bene ricordarlo, coinvolge tutte le organizzazioni.
Riferimenti bibliografici
[1] Giancarlo Butti, AI ACT in pratica – Analisi della normativa, implementazione e audit dell’AI ACT con l’aiuto di strumenti di AI gratuiti. ITER, 2026.
[2] Only certain AI systems are subject to regulatory obligations and oversight under the AI Act. The AI Act’s risk-based approach means that only those systems giving rise to the most significant risks to fundamental rights and freedoms will be subject to its prohibitions laid down in Article 5 AI Act, its regulatory regime for high-risk AI systems covered by Article 6 AI Act and its transparency requirements for a limited number of pre-defined AI systems laid down in Article 50 AI Act. The vast majority of systems, even if they qualify as AI systems within the meaning of Article 3(1) AI Act, will not be subject to any regulatory requirements under the AI Act.
Partecipa alla community