EU AI Act
Classificazione del rischio AI Act per provider e deployer
Indica il ruolo, il caso d’uso e se il sistema tocca diritti delle persone. Ottieni una classe di rischio indicativa e la lista di registri, oversight e evidenze da preparare.
Strumento indicativo per preparare il lavoro di compliance. Non è una valutazione legale, una notifica alle autorità né una certificazione.
Le classi che lo strumento distingue
Il regolamento (UE) 2024/1689 vieta alcune pratiche, per esempio il social scoring e specifiche forme di identificazione biometrica remota in tempo reale. Se il caso d’uso rientra in quei divieti, il risultato è “pratica vietata”: non si mitiga con una policy.
L’Allegato III elenca i sistemi ad alto rischio: biometria, infrastrutture critiche, istruzione, occupazione, accesso a servizi essenziali, law enforcement, migrazione e amministrazione della giustizia. Provider e deployer hanno obblighi diversi, ma entrambi devono poter mostrare come il sistema è usato.
Alcuni sistemi non sono ad alto rischio ma devono essere trasparenti verso le persone, per esempio chatbot e contenuti sintetici. L’articolo 4 chiede inoltre alfabetizzazione di chiunque operi o usi sistemi di IA per conto dell’organizzazione.
Cosa cambia per chi compra o usa un sistema
Il deployer non può limitarsi al contratto del fornitore. Servono istruzioni d’uso, supervisione umana, registri, e — quando il sistema è ad alto rischio e impatta diritti — una valutazione d’impatto sui diritti fondamentali (FRIA) nei casi previsti.
Un copilota interno a rischio minimo resta da censire: nome del sistema, owner, dati usati e limite d’uso. Senza inventario l’articolo 4 è una frase, non un controllo.
Dal risultato al registro dei sistemi
Ogni esito va trasformato in una scheda: ruolo, caso d’uso, classe, owner, evidenze e revisione. Poi si collega ai controlli già aperti per NIS2 o ISO/IEC 27001, invece di aprire un registro parallelo.
FAQ
Lo strumento classifica ufficialmente il mio sistema AI Act?
No. È un orientamento su ruolo e caso d’uso. La classe dipende dal regolamento, dagli allegati e da come il sistema è davvero usato.
Essere deployer basta per essere fuori dagli obblighi?
No. Chi mette in servizio un sistema ad alto rischio ha obblighi propri: oversight, monitoraggio, registri e, nei casi previsti, FRIA.
Un chatbot interno è sempre a rischio minimo?
Non sempre. Se genera contenuti verso persone va almeno verificata la trasparenza. Se decide su assunzioni, credito o accesso a servizi può cadere nell’alto rischio.
Cos’è l’alfabetizzazione AI dell’articolo 4?
È la misura che assicura alle persone che usano o presidiano il sistema competenze adeguate al contesto. Va provata con ruoli, formazione e limiti d’uso, non con una slide generica.