AI Act e Sistemi ad Alto Rischio: Obblighi Concreti per le Aziende Italiane nel 2026

Il Regolamento (UE) 2024/1689, comunemente noto come AI Act, è entrato in vigore il 1° agosto 2024 con un regime di applicazione progressiva. Nel 2026 le disposizioni relative ai sistemi di intelligenza artificiale ad alto rischio sono pienamente operative, e le aziende italiane che sviluppano, importano, distribuiscono o semplicemente utilizzano tali sistemi devono confrontarsi con un insieme articolato di obblighi concreti, presidiati da sanzioni significative.

Questo articolo analizza il quadro normativo vigente, identifica le categorie di sistemi classificati ad alto rischio e descrive passo dopo passo gli adempimenti che le imprese italiane devono aver già adottato o stanno urgentemente implementando.

Che cos'è il Regime ad Alto Rischio nell'AI Act

L'AI Act adotta un approccio basato sul rischio: non tutti i sistemi di intelligenza artificiale sono soggetti agli stessi obblighi. Il legislatore europeo ha riservato il regime più stringente ai sistemi che, per il settore in cui operano o per le decisioni che supportano, possono incidere in modo significativo sulla salute, la sicurezza o i diritti fondamentali delle persone.

I sistemi ad alto rischio sono elencati nell'Allegato III del Regolamento e comprendono, tra gli altri:

• sistemi per l'infrastruttura critica (energia, acqua, trasporti, finanza);
• sistemi di istruzione e formazione professionale (valutazione degli studenti, accesso ai percorsi educativi);
• sistemi per l'occupazione e la gestione dei lavoratori (selezione del personale, valutazione delle prestazioni, monitoraggio automatizzato);
• sistemi per l'accesso a servizi privati e pubblici essenziali (scoring creditizio, valutazione per assicurazioni, accesso ai servizi sanitari);
• sistemi di law enforcement (riconoscimento facciale in certi contesti, analisi predittiva per le forze dell'ordine);
• sistemi per la gestione della migrazione e del controllo delle frontiere;
• sistemi per l'amministrazione della giustizia.

Una impresa manifatturiera che utilizza un software di AI per selezionare i candidati a una posizione lavorativa, una banca che impiega un algoritmo di scoring per l'erogazione del credito, un ospedale che usa un sistema diagnostico automatizzato: tutti questi soggetti rientrano nell'ambito di applicazione del regime ad alto rischio.

Chi Sono i Destinatari degli Obblighi

L'AI Act distingue tra diverse figure nella catena di approvvigionamento dei sistemi di AI. La corretta identificazione del proprio ruolo è il primo passo per determinare il perimetro degli adempimenti.

Fornitori (Providers)

Sono le imprese o i professionisti che sviluppano un sistema di AI ad alto rischio e lo immettono sul mercato o lo mettono in servizio, anche per uso proprio. In questa categoria rientrano le software house italiane che realizzano prodotti di AI destinati a terzi, nonché le aziende che sviluppano sistemi per uso interno.

Deployer (Utilizzatori)

Sono le imprese o le persone fisiche che utilizzano un sistema di AI ad alto rischio nel contesto di una attività professionale. Anche il semplice deployer ha obblighi propri, distinti da quelli del fornitore.

Importatori e Distributori

Chi importa in Europa sistemi di AI ad alto rischio sviluppati da soggetti extra-UE o chi li distribuisce sul mercato risponde, con gradi diversi di responsabilità, del rispetto della normativa.

Gli Obblighi Concreti per i Fornitori di Sistemi ad Alto Rischio

1. Sistema di Gestione della Qualità

Il fornitore deve implementare un sistema di gestione della qualità documentato che copra l'intero ciclo di vita del sistema di AI. Questo sistema deve includere politiche, procedure e istruzioni per garantire la conformità al Regolamento. Non si tratta di un adempimento meramente formale: la documentazione deve riflettere processi aziendali reali e verificabili.

2. Documentazione Tecnica

Prima di immettere sul mercato un sistema ad alto rischio, il fornitore deve redigere una documentazione tecnica dettagliata (Allegato IV dell'AI Act). Questa documentazione deve descrivere:

• la finalità del sistema, le sue caratteristiche e le capacità previste;
• le metriche di prestazione e i criteri di accuratezza, solidità e cibersicurezza;
• i dati di addestramento, validazione e test utilizzati;
• le istruzioni per l'uso destinate ai deployer;
• le misure di supervisione umana integrate nel sistema.

La documentazione tecnica deve essere conservata per un periodo di dieci anni dall'immissione sul mercato e messa a disposizione delle autorità di vigilanza su richiesta.

3. Registrazione nella Banca Dati Europea

Tutti i sistemi di AI ad alto rischio devono essere registrati nella banca dati EU gestita dalla Commissione europea, denominata EUAIDB. La registrazione avviene tramite un portale dedicato e richiede informazioni standardizzate sul sistema. Nel 2026 questo obbligo è pienamente operativo per la quasi totalità delle categorie di alto rischio.

4. Valutazione della Conformità

Prima dell'immissione sul mercato, il fornitore deve effettuare una procedura di valutazione della conformità. Per la maggior parte dei sistemi ad alto rischio non appartenenti ai settori di cui all'allegato I (prodotti già soggetti a legislazione di armonizzazione settoriale, come dispositivi medici o macchinari), la valutazione può essere effettuata in autonomia tramite autovalutazione interna, purché adeguatamente documentata.

In alcuni casi specifici, è richiesto il coinvolgimento di un organismo notificato terzo. La scelta del percorso di valutazione dipende dal settore e dalla tipologia di sistema.

5. Dichiarazione UE di Conformità e Marcatura CE

All'esito della valutazione, il fornitore deve redigere una dichiarazione UE di conformità e, ove applicabile, apporre la marcatura CE al sistema. La dichiarazione attesta che il sistema rispetta i requisiti del Regolamento.

6. Monitoraggio Post-Market

Il fornitore è tenuto a istituire un sistema di monitoraggio post-commercializzazione che raccolga e analizzi dati sull'impiego effettivo del sistema. Se emergono rischi seri o incidenti gravi, il fornitore deve notificarli alle autorità competenti. In Italia, l'autorità nazionale di vigilanza per l'AI Act è stata individuata nell'Agenzia Nazionale per la Cybersicurezza (ACN), integrata con competenze specifiche sull'AI.

Gli Obblighi Concreti per i Deployer (Utilizzatori)

Le imprese che utilizzano sistemi di AI ad alto rischio sviluppati da terzi non possono ritenersi esenti da responsabilità. Il Regolamento impone agli utilizzatori professionali una serie di obblighi propri.

Misure Tecniche e Organizzative

Il deployer deve garantire condizioni di utilizzo conformi alle istruzioni del fornitore. Non è lecito impiegare un sistema in contesti diversi da quelli per i quali è stato progettato e testato, né modificarne il funzionamento in modo non autorizzato.

Supervisione Umana

Per i sistemi ad alto rischio, il Regolamento richiede che le decisioni significative non siano adottate in maniera integralmente automatizzata senza la possibilità di supervisione e intervento umano. Il deployer deve organizzare i propri processi in modo da garantire questa supervisione in modo effettivo, non meramente formale.

Valutazione dell'Impatto sui Diritti Fondamentali

Una delle novità più rilevanti introdotte dal Regolamento per i deployer è l'obbligo, per le autorità pubbliche e per determinati soggetti privati che utilizzano sistemi ad alto rischio in settori sensibili, di condurre una valutazione dell'impatto sui diritti fondamentali prima di mettere in servizio il sistema. Questa valutazione deve essere documentata e, in certi casi, comunicata all'autorità di vigilanza.

Trasparenza verso i Lavoratori

Quando un sistema di AI ad alto rischio viene utilizzato nel contesto della gestione del personale, il deployer ha l'obbligo di informare i lavoratori dell'impiego di tale sistema. Questo obbligo si sovrappone e si integra con le tutele già previste dall'articolo 88 del GDPR e dallo Statuto dei Lavoratori in materia di controllo a distanza.

Conservazione dei Log

I deployer devono conservare i log di funzionamento generati automaticamente dal sistema per il periodo previsto dalle istruzioni del fornitore o, in assenza di indicazioni, per almeno sei mesi.

Governance Interna: Come Organizzarsi

Un sistema di AI ad alto rischio non si gestisce con una circolare interna e un consulente esterno chiamato una volta all'anno. Le imprese italiane che vogliono essere davvero conformi devono strutturare una governance interna adeguata.

Le aree da presidiare sono:

• identificazione e mappatura dei sistemi di AI in uso o in sviluppo nell'organizzazione;
• definizione delle responsabilità interne (chi supervisiona il sistema, chi gestisce le segnalazioni di incidenti, chi aggiorna la documentazione);
• formazione del personale che interagisce con i sistemi di AI;
• integrazione degli obblighi AI Act con quelli già esistenti in materia di GDPR, D.Lgs. 231/2001 e sicurezza sul lavoro;
• predisposizione di procedure per la gestione degli incidenti e la notifica alle autorità.

La dimensione aziendale non esime dalla conformità, anche se il Regolamento prevede alcune misure semplificate per le PMI in termini di documentazione.

Il Raccordo con il GDPR e le Altre Normative

L'AI Act non opera in isolamento. Per le aziende italiane, la conformità ai sistemi ad alto rischio richiede un approccio integrato che tenga conto di:

• GDPR: molti sistemi di AI trattano dati personali. La valutazione di impatto sulla protezione dei dati (DPIA) e la valutazione dell'impatto sui diritti fondamentali prevista dall'AI Act devono essere coordinate, evitando duplicazioni ma garantendo che entrambe siano svolte laddove richiesto;
• Direttiva NIS2: per i sistemi di AI impiegati nelle infrastrutture critiche, gli obblighi di cybersicurezza si intrecciano con quelli dell'AI Act;
• D.Lgs. 231/2001: i rischi connessi all'uso non conforme di sistemi di AI possono generare responsabilità amministrativa dell'ente. Il Modello Organizzativo 231 dovrebbe essere aggiornato per includere i presidi specifici sull'uso dei sistemi di AI.

Le Sanzioni: Quanto Si Rischia

Il Regolamento prevede un sistema sanzionatorio articolato su tre livelli:

• fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per le violazioni relative ai sistemi di AI vietati;
• fino a 15 milioni di euro o il 3% del fatturato per le violazioni degli obblighi relativi ai sistemi ad alto rischio;
• fino a 7,5 milioni di euro o l'1,5% del fatturato per la fornitura di informazioni errate alle autorità di vigilanza.

Per le PMI e le startup, le soglie percentuali sul fatturato si applicano in modo da tenere conto delle dimensioni aziendali, ma il rischio economico resta significativo.

FAQ sull'AI Act e i Sistemi ad Alto Rischio

La mia azienda usa un software HR di terzi per la selezione del personale: sono soggetta agli obblighi del Regolamento?

Sì. Anche se non hai sviluppato il sistema, in qualità di deployer hai obblighi propri: devi verificare che il fornitore abbia rispettato i suoi obblighi, informare i lavoratori dell'uso del sistema, garantire la supervisione umana e conservare i log. Chiedi al fornitore la documentazione tecnica e le istruzioni per l'uso.

Come posso sapere se il mio sistema rientra nell'allegato III?

Il primo passo è analizzare il settore in cui opera il sistema e il tipo di decisioni che supporta. L'Allegato III dell'AI Act elenca le categorie in modo dettagliato. In caso di dubbio, è opportuno procedere con un'analisi legale specifica: le implicazioni di una classificazione errata possono essere significative.

L'autovalutazione interna della conformità è sufficiente?

Per la maggior parte dei sistemi ad alto rischio non rientranti nell'Allegato I (settori con legislazione di armonizzazione specifica), l'autovalutazione è ammessa. Tuttavia, deve essere rigorosa, documentata e aggiornarsi ogni volta che il sistema subisce modifiche sostanziali.

Cosa succede se modifico un sistema già conforme?

Le modifiche sostanziali al sistema (che ne alterano la finalità, le prestazioni o il livello di rischio) richiedono un nuovo processo di valutazione della conformità. Il Regolamento definisce criteri per stabilire cosa si intende per "modifica sostanziale".

Il mio fornitore extra-UE mi ha assicurato che il sistema è conforme. È sufficiente?

No. L'importatore è responsabile in prima persona di verificare che il sistema rispetti i requisiti del Regolamento prima di immetterlo nel mercato europeo. Le dichiarazioni del fornitore extra-UE non esonerano l'importatore dalla propria responsabilità.

Come IUS AI Può Supportare la Tua Azienda

La conformità all'AI Act richiede la produzione di documentazione tecnica e legale articolata: dalle policy interne alle procedure di gestione del rischio, dalle clausole contrattuali con i fornitori alle comunicazioni ai lavoratori.

IUS AI è la piattaforma legaltech italiana che permette ad avvocati e ai team legali aziendali di generare contratti, atti e documenti legali tramite intelligenza artificiale, con accesso a oltre 100.000 sentenze e assistenza via chat per i quesiti legali più complessi.

Se stai lavorando alla conformità AI Act della tua organizzazione, o stai consigliando clienti esposti a questi obblighi, IUS AI ti offre gli strumenti per farlo in modo efficiente, accurato e aggiornato alle normative del 2026.

Inizia oggi a esplorare le funzionalità di IUS AI: crea il tuo account gratuito su https://i-us.ai/auth/sign-up e scopri come automatizzare la parte documentale della compliance, risparmiando tempo e riducendo il rischio di errori.

Il 2026 non lascia margini di incertezza: i sistemi di AI ad alto rischio sono sotto la lente delle autorità europee e nazionali. Agire con metodo e con il supporto degli strumenti giusti è l'unica strategia ragionevole per le imprese italiane che vogliono operare con serenità in questo nuovo contesto normativo.