L’AI Act è spesso descritto come “la normativa europea sull’intelligenza artificiale”, ma questa definizione dice poco su come funziona davvero. Non è un elenco di divieti né un manuale tecnico: è un sistema di classificazione del rischio che assegna obblighi diversi a seconda di cosa fa un sistema AI e di chi lo utilizza. Capire questa logica di fondo aiuta a orientarsi molto più che imparare a memoria singoli articoli — ed è il punto di partenza da cui conviene sempre ripartire, qualunque sia il settore in cui si opera.
La logica delle quattro categorie di rischio
Il cuore dell’AI Act è una piramide a quattro livelli, e ogni sistema di intelligenza artificiale va collocato in una di queste categorie prima di poter capire quali obblighi si applicano.
Al vertice ci sono le pratiche vietate: sistemi che l’Unione Europea considera talmente lesivi dei diritti fondamentali da non poter essere immessi sul mercato in nessuna forma, indipendentemente dal settore o dall’uso previsto — ad esempio sistemi di manipolazione subliminale o di scoring sociale generalizzato.
Subito sotto si trovano i sistemi ad alto rischio: qui rientra la maggior parte dei casi che riguardano le aziende, ad esempio sistemi usati per selezione del personale, valutazione dell’affidabilità creditizia, gestione di infrastrutture critiche o dispositivi medici. Per questi sistemi la normativa prevede l’insieme di obblighi più corposo: valutazione di conformità, documentazione tecnica, registrazione dei log, supervisione umana, gestione della qualità dei dati.
Un gradino più giù ci sono i sistemi a rischio limitato, per i quali l’obbligo principale è la trasparenza: chi interagisce con un chatbot, un contenuto generato o modificato dall’AI, o un sistema di riconoscimento emozioni deve poterlo sapere.
Alla base della piramide si trovano i sistemi a rischio minimo, che rappresentano la maggioranza delle applicazioni AI oggi in uso (filtri antispam, motori di raccomandazione non invasivi) e per cui non sono previsti obblighi specifici, se non un generico incoraggiamento all’adozione volontaria di codici di condotta.
Chi deve rispettare cosa: fornitori e utilizzatori
Un aspetto spesso frainteso è che l’AI Act non si rivolge solo a chi sviluppa sistemi di intelligenza artificiale. La normativa distingue tra fornitori (chi sviluppa o immette sul mercato un sistema AI) e utilizzatori/deployer (chi lo utilizza nella propria attività professionale), e assegna a entrambi obblighi propri, anche se di intensità diversa.
Questo significa che un’azienda può trovarsi soggetta all’AI Act anche senza aver sviluppato internamente alcun sistema di intelligenza artificiale, semplicemente utilizzando un software di terzi che lo incorpora.
Per un utilizzatore, gli obblighi tipici riguardano la supervisione umana sull’uso del sistema, la formazione adeguata del personale coinvolto, e la verifica che il fornitore abbia messo a disposizione la documentazione necessaria — responsabilità distinte da quelle del fornitore, ma non meno vincolanti.
Un calendario a più tappe, non un’unica scadenza
Un errore comune è pensare all’AI Act come a una normativa che “entra in vigore” in un’unica data. In realtà il regolamento prevede un calendario scaglionato su più anni: alcuni obblighi, come i divieti sulle pratiche vietate e l’alfabetizzazione AI del personale, sono già applicabili da tempo; altri, legati ai sistemi ad alto rischio, seguono scadenze successive pensate per dare alle aziende il tempo di adeguarsi. Questo significa che la conformità non è un traguardo puntuale da raggiungere una volta per tutte, ma un percorso da costruire per fasi, con priorità diverse a seconda di dove si trova oggi la propria azienda.
Come si intreccia con altre normative
L’AI Act non sostituisce le normative già esistenti, ma si aggiunge ad esse. Un sistema di intelligenza artificiale che tratta dati personali resta soggetto al GDPR indipendentemente dalla sua classificazione di rischio; uno che genera dati per il reporting di sostenibilità può incrociare anche la CSRD; uno che interviene nella classificazione di rifiuti pericolosi resta sottoposto anche alla normativa di settore, come l’ADR nel trasporto merci pericolose. La conformità all’AI Act, in altre parole, raramente si affronta in isolamento: va sempre letta insieme al contesto normativo specifico in cui l’azienda già opera.
Perché conviene partire dalla mappa, non dai dettagli
Molte aziende affrontano l’AI Act cercando subito la risposta a una domanda specifica — “il nostro sistema è ad alto rischio?”, “dobbiamo fare la documentazione tecnica?” — senza aver prima chiarito questa struttura di base. Il risultato è spesso una valutazione parziale, che si concentra su un singolo obbligo perdendo di vista il quadro complessivo. Partire dalla mappa — categorie di rischio, ruoli, calendario, normative collegate — permette invece di capire rapidamente dove si colloca la propria situazione specifica, e quali sono le domande giuste da porsi per il passo successivo.