AI Act e Sistemi ad Alto Rischio: Obblighi di Conformità per le Imprese Italiane nel 2026

Il Regolamento (UE) 2024/1689, comunemente noto come AI Act, è entrato in vigore il 1° agosto 2024 e si applica in modo progressivo fino alla piena operatività prevista per agosto 2026. Per le imprese italiane che sviluppano, importano, distribuiscono o utilizzano sistemi di intelligenza artificiale classificati come ad alto rischio, il 2026 rappresenta l'anno della verità: le principali disposizioni sono ormai vincolanti e le autorità nazionali competenti hanno avviato le prime attività di vigilanza.

Questo articolo analizza in modo sistematico cosa si intende per sistema AI ad alto rischio, quali obblighi gravano sulle imprese, quali sono le conseguenze in caso di inadempimento e come impostare un percorso concreto di conformità.

Che cos'è l'AI Act e perché riguarda le imprese italiane

L'AI Act è il primo regolamento al mondo che disciplina in modo organico lo sviluppo e l'utilizzo dei sistemi di intelligenza artificiale. Si applica non solo alle imprese europee, ma a chiunque immetta sul mercato dell'Unione un sistema AI destinato a utenti nel territorio comunitario. Per le imprese italiane ciò significa che non è possibile ignorare il regolamento nemmeno quando si acquista o si integra un sistema sviluppato da fornitori extraeuropei: la responsabilità di conformità si estende lungo tutta la catena del valore.

Il regolamento adotta un approccio basato sul rischio, articolato in quattro livelli:

• Sistemi vietati, la cui immissione sul mercato è proibita in assoluto (ad esempio la categorizzazione biometrica su base etnica o le tecniche di manipolazione subliminale).
• Sistemi ad alto rischio, soggetti agli obblighi più stringenti.
• Sistemi a rischio limitato, per i quali sono previsti obblighi di trasparenza.
• Sistemi a rischio minimo, privi di obblighi specifici.

La categoria che incide maggiormente sulle imprese è quella dei sistemi ad alto rischio, oggetto di questo approfondimento.

Cosa sono i sistemi AI ad alto rischio

L'Allegato III dell'AI Act elenca i settori e i casi d'uso che determinano la classificazione ad alto rischio. Si tratta di applicazioni in cui un errore del sistema può incidere significativamente su diritti fondamentali, salute, sicurezza o accesso a opportunità economiche. I principali ambiti sono:

Infrastrutture critiche

I sistemi AI impiegati nella gestione di infrastrutture critiche, come reti energetiche, sistemi idrici, trasporti e infrastrutture digitali, rientrano automaticamente nella categoria ad alto rischio per il potenziale impatto sulla collettività.

Istruzione e formazione professionale

I sistemi utilizzati per valutare studenti, determinare l'accesso a percorsi formativi o assegnare punteggi in ambito educativo sono considerati ad alto rischio, poiché incidono sulle prospettive di carriera e sullo sviluppo individuale.

Occupazione e gestione delle risorse umane

L'uso dell'AI nel reclutamento, nella selezione del personale, nell'assegnazione di compiti, nella valutazione delle prestazioni e nelle decisioni di licenziamento o promozione costituisce uno dei casi d'uso ad alto rischio più rilevanti per le imprese italiane. Qualsiasi sistema che automatizzi o assista in modo significativo queste decisioni deve essere conforme all'AI Act.

Accesso a servizi privati essenziali e benefici pubblici

I sistemi AI che determinano l'accesso al credito, ai prodotti assicurativi, alle prestazioni sociali o ai servizi sanitari rientrano nell'ambito ad alto rischio. Banche, compagnie assicurative e operatori sanitari privati devono prestare particolare attenzione.

Forze dell'ordine e giustizia

I sistemi impiegati per la valutazione del rischio di recidiva, per la profilazione di soggetti in ambito penale o per l'analisi delle prove sono soggetti a requisiti particolarmente stringenti.

Biometria

I sistemi di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico sono vietati salvo eccezioni tassative. Quelli di identificazione biometrica differita o a posteriori rientrano nell'alto rischio.

Obblighi di conformità per i fornitori di sistemi ad alto rischio

Il fornitore, ovvero il soggetto che sviluppa o fa sviluppare un sistema AI e lo immette sul mercato sotto il proprio nome o marchio, è il principale destinatario degli obblighi previsti dall'AI Act per i sistemi ad alto rischio.

Sistema di gestione del rischio

L'articolo 9 dell'AI Act impone l'istituzione di un sistema di gestione del rischio che accompagni l'intero ciclo di vita del sistema AI. Non si tratta di una valutazione una tantum, ma di un processo continuativo che include l'identificazione e l'analisi dei rischi noti e ragionevolmente prevedibili, l'adozione di misure di gestione del rischio appropriate e la verifica dell'efficacia di tali misure.

Qualità dei dati e governance dei dati

L'articolo 10 richiede che i dati di addestramento, validazione e test siano soggetti a pratiche adeguate di governance. I dati devono essere pertinenti, rappresentativi, privi di errori per quanto possibile e completi rispetto allo scopo del sistema. Le imprese devono documentare le scelte metodologiche operate nella costruzione dei dataset.

Documentazione tecnica

Prima di immettere il sistema sul mercato, il fornitore deve predisporre una documentazione tecnica completa, come previsto dall'articolo 11 e dall'Allegato IV. La documentazione deve consentire alle autorità di vigilanza di valutare la conformità del sistema e includere, tra l'altro, la descrizione del sistema, le sue prestazioni, i dati utilizzati, le istruzioni per l'uso e le misure di supervisione umana.

Conservazione delle registrazioni

I sistemi ad alto rischio devono incorporare funzionalità di registrazione automatica degli eventi durante il loro funzionamento, nella misura necessaria a consentire verifiche ex post e accertamenti di responsabilità.

Trasparenza e fornitura di informazioni

Il fornitore è tenuto a garantire che i deployer (i soggetti che utilizzano il sistema) dispongano delle informazioni necessarie per impiegare il sistema in modo sicuro e conforme. Le istruzioni per l'uso devono coprire l'identità del fornitore, le prestazioni del sistema, i rischi residui e le misure di supervisione raccomandate.

Supervisione umana

L'articolo 14 dell'AI Act è tra le disposizioni più rilevanti per la struttura operativa delle imprese. I sistemi ad alto rischio devono essere progettati e sviluppati in modo da poter essere efficacemente monitorati da persone fisiche durante il loro utilizzo. La supervisione umana non è un orpello formale: il sistema deve consentire all'operatore di intervenire, interrompere o neutralizzare il funzionamento del sistema in qualunque momento.

Accuratezza, robustezza e cybersicurezza

Il sistema deve raggiungere livelli adeguati di accuratezza, robustezza e cybersicurezza lungo tutto il suo ciclo di vita. In particolare, deve essere resiliente rispetto a tentativi di manipolazione dei dati o degli output da parte di terzi.

Registrazione nella banca dati EU

Prima dell'immissione sul mercato, i sistemi AI ad alto rischio devono essere registrati nella banca dati europea istituita ai sensi dell'articolo 71 dell'AI Act e gestita dalla Commissione europea. In Italia, l'Autorità nazionale di vigilanza individuata ai sensi del regolamento è il sistema multiregolatore coordinato dall'Agenzia per la cybersicurezza nazionale (ACN), in raccordo con le autorità di settore competenti.

Dichiarazione di conformità UE e marcatura CE

Prima dell'immissione sul mercato, il fornitore deve redigere una dichiarazione di conformità UE e apporre la marcatura CE al sistema, previo completamento della procedura di valutazione della conformità prevista dall'articolo 43. In molti casi, tale procedura può essere svolta internamente (autovalutazione), ma per alcune categorie è obbligatorio il ricorso a un organismo notificato.

Obblighi per i deployer (utilizzatori) di sistemi ad alto rischio

Anche chi non sviluppa ma semplicemente utilizza un sistema AI ad alto rischio nell'ambito della propria attività professionale o imprenditoriale è soggetto a obblighi specifici ai sensi dell'articolo 26 dell'AI Act.

I principali obblighi a carico dei deployer sono:

• Utilizzare il sistema conformemente alle istruzioni del fornitore.
• Assegnare la supervisione umana a persone fisiche dotate delle competenze, dell'autorità e delle risorse necessarie.
• Effettuare una valutazione di impatto sui diritti fondamentali prima di avviare l'utilizzo, nei casi previsti dall'articolo 27.
• Garantire la qualità e la rappresentatività degli input, nella misura in cui il deployer controlla tali dati.
• Notificare al fornitore e, in certi casi, all'autorità di vigilanza i malfunzionamenti o gli incidenti gravi rilevati durante l'utilizzo.
• Conservare le registrazioni degli eventi per almeno sei mesi.

Nelle imprese italiane, il responsabile della conformità al AI Act dovrebbe essere identificato e dotato di poteri adeguati, in modo analogo a quanto già avviene per il Data Protection Officer ai sensi del GDPR.

La valutazione di impatto sui diritti fondamentali

L'articolo 27 dell'AI Act introduce l'obbligo, per alcuni deployer di enti pubblici e per i soggetti privati che gestiscono servizi di interesse pubblico, di condurre una valutazione di impatto sui diritti fondamentali prima di avviare l'utilizzo di un sistema AI ad alto rischio. Questa valutazione deve considerare:

• I diritti fondamentali potenzialmente interessati.
• La platea dei soggetti che potrebbero essere colpiti.
• Il rischio di danno, compresi i rischi di discriminazione algoritmica.
• Le misure di mitigazione previste.

La valutazione va documentata, registrata e trasmessa all'autorità di vigilanza su richiesta.

Sanzioni previste dall'AI Act

Le sanzioni previste dall'AI Act sono significative e parametrate alla gravità della violazione:

• Fino a 35 milioni di euro o al 7% del fatturato mondiale annuo (se superiore) per le violazioni relative ai sistemi AI vietati.
• Fino a 15 milioni di euro o al 3% del fatturato mondiale annuo per la violazione degli obblighi applicabili ai sistemi ad alto rischio.
• Fino a 7,5 milioni di euro o all'1,5% del fatturato mondiale annuo per la fornitura di informazioni inesatte, incomplete o fuorvianti alle autorità.

Per le PMI e le startup, i massimali sono ridotti al minore tra il valore percentuale sul fatturato e il valore assoluto sopra indicato. Tuttavia, anche le soglie ridotte rappresentano un rischio patrimoniale rilevante per le imprese di media dimensione.

Come impostare un percorso di conformità: approccio pratico

Un percorso strutturato di conformità all'AI Act per i sistemi ad alto rischio si articola generalmente nelle seguenti fasi:

1. Censimento e classificazione dei sistemi AI in uso o in sviluppo, verificando se rientrano nelle categorie dell'Allegato III o se ricadono nelle previsioni dell'Allegato I (sistemi AI incorporati in prodotti soggetti a normativa di settore).
2. Gap analysis rispetto ai requisiti dell'AI Act, con identificazione delle aree di non conformità.
3. Redazione o aggiornamento della documentazione tecnica ai sensi dell'Allegato IV.
4. Implementazione del sistema di gestione del rischio e delle procedure di governance dei dati.
5. Definizione delle procedure di supervisione umana e formazione del personale coinvolto.
6. Scelta della procedura di valutazione della conformità (autovalutazione o organismo notificato).
7. Registrazione nella banca dati EU e redazione della dichiarazione di conformità UE.
8. Predisposizione delle procedure di monitoraggio post-commercializzazione e di incident reporting.

FAQ: AI Act e sistemi ad alto rischio

Un'impresa italiana che acquista un software HR sviluppato da un fornitore americano deve conformarsi all'AI Act?

Sì. Se il sistema viene utilizzato nel contesto lavorativo italiano e rientra nelle categorie dell'Allegato III, l'impresa italiana assume il ruolo di deployer ed è soggetta agli obblighi previsti dall'articolo 26. L'acquirente deve verificare che il fornitore abbia adempiuto ai propri obblighi (documentazione tecnica, istruzioni per l'uso) e deve comunque garantire la supervisione umana e la valutazione di impatto se richiesta.

Un sistema di chatbot per l'assistenza clienti è ad alto rischio?

Dipende dalla funzione svolta. Un chatbot per la gestione di reclami ordinari non è generalmente classificato ad alto rischio. Se invece il sistema viene utilizzato per valutare l'accesso al credito, per prendere decisioni assicurative o per gestire prestazioni sociali, rientra nell'alto rischio. Occorre analizzare caso per caso la funzione concreta del sistema e non la sua forma tecnica.

Le PMI sono esonerate dagli obblighi per i sistemi ad alto rischio?

No. Le PMI e le microimprese sono soggette agli stessi obblighi sostanziali, ma l'AI Act prevede alcune misure di supporto, come l'accesso prioritario agli spazi di sperimentazione normativa (regulatory sandbox) e la riduzione dei massimali sanzionatori. Il Governo italiano e le associazioni di categoria stanno lavorando a strumenti di orientamento specifici per le imprese di minore dimensione.

Cosa succede se un sistema AI ad alto rischio già in uso non è ancora conforme?

I sistemi immessi sul mercato o messi in servizio prima dell'entrata in vigore degli obblighi godono di periodi transitori previsti dall'articolo 111 dell'AI Act. Tuttavia, le imprese non devono interpretare le disposizioni transitorie come un'autorizzazione a rimandare indefinitamente: le autorità di vigilanza hanno già avviato attività di sensibilizzazione e le prime ispezioni sono attese nel secondo semestre del 2026.

Qual è il rapporto tra AI Act e GDPR per i sistemi che trattano dati personali?

I due regolamenti si applicano in modo parallelo e complementare. Un sistema AI ad alto rischio che elabora dati personali deve rispettare sia l'AI Act sia il GDPR. La valutazione di impatto sui diritti fondamentali prevista dall'AI Act non sostituisce la DPIA (Data Protection Impact Assessment) del GDPR: le due valutazioni possono essere condotte congiuntamente ma rispondono a logiche distinte e producono documenti separati.

Come IUS AI può supportare le imprese nella conformità

La conformità all'AI Act richiede un lavoro legale e documentale significativo: redazione di policy interne, documentazione tecnica, contratti con i fornitori aggiornati alle clausole richieste dal regolamento, valutazioni di impatto e procedure operative.

IUS AI mette a disposizione degli studi legali e delle imprese uno strumento avanzato per la generazione di documenti legali tramite AI, la ricerca di giurisprudenza aggiornata e l'assistenza nella gestione della compliance. Accedi a IUS AI su https://i-us.ai/auth/sign-up e scopri come semplificare la gestione della conformità normativa nel tuo studio o nella tua impresa.

Conclusioni

L'AI Act e gli obblighi relativi ai sistemi ad alto rischio non sono una prospettiva futura: nel 2026 le principali disposizioni sono operative e le autorità di vigilanza sono in campo. Le imprese italiane che sviluppano, importano o utilizzano sistemi AI in settori sensibili come risorse umane, credito, sanità o infrastrutture critiche devono avviare o completare il proprio percorso di conformità senza ulteriori ritardi.

Il percorso è impegnativo ma strutturato: l'AI Act individua con precisione gli obblighi e le procedure, e le imprese che si dotano per tempo di una governance adeguata acquisiscono un vantaggio competitivo significativo in termini di fiducia dei clienti, accesso ai mercati europei e riduzione del rischio sanzionatorio.