I sistemi di intelligenza artificiale ad alto rischio sono al centro del Regolamento europeo sull'IA ( Regolamento (UE) 2024/1689 ), comunemente noto come Legge sull'IA, che introduce un quadro normativo basato sul rischio per lo sviluppo, la fornitura e l'utilizzo dei sistemi di intelligenza artificiale (IA). Maggiore è il rischio per la salute, la sicurezza e i diritti fondamentali, più gravosi sono gli obblighi.
Per le organizzazioni, la conformità non inizia quindi con la redazione della documentazione tecnica, bensì con una corretta classificazione. Innanzitutto, è necessario stabilire quali sistemi di intelligenza artificiale vengono sviluppati, acquistati o utilizzati all'interno dell'organizzazione. Successivamente, bisogna valutare se un sistema è vietato , ad alto rischio, soggetto ad obblighi di trasparenza o escluso da qualsiasi obbligo specifico.
Questo articolo illustra quando un sistema di intelligenza artificiale può essere considerato ad alto rischio, quali obblighi si applicano ai fornitori e agli implementatori e quali misure le organizzazioni possono adottare fin da subito. Descrive inoltre la tempistica attuale, comprese le modifiche introdotte dal processo Digital Omnibus. La data di riferimento per questo articolo è il 25 luglio 2026.
Quando un sistema di intelligenza artificiale è ad alto rischio?
La valutazione dei sistemi di intelligenza artificiale ad alto rischio viene effettuata principalmente ai sensi dell'articolo 6 e degli allegati I e III della legge sull'IA. Esistono due percorsi.
Il primo percorso riguarda i sistemi di intelligenza artificiale che fanno parte di prodotti coperti dalla legislazione europea sui prodotti elencati nell'allegato I e che richiedono una valutazione di conformità da parte di terzi. Si pensi ad esempio a determinati dispositivi medici, macchinari, ascensori e giocattoli. Per questi sistemi, la legge sull'intelligenza artificiale si basa sulla procedura di valutazione della conformità già esistente.
Il secondo percorso riguarda i sistemi di intelligenza artificiale utilizzati nei settori elencati nell'allegato III: biometria, infrastrutture critiche, istruzione e formazione professionale, gestione dell'occupazione e della forza lavoro, accesso ai servizi essenziali pubblici e privati, applicazione della legge, migrazione, asilo e controllo delle frontiere, nonché amministrazione della giustizia e processi democratici. Non ogni utilizzo in uno di questi settori comporta automaticamente la classificazione tra i sistemi di intelligenza artificiale ad alto rischio: occorre valutare anche la specifica funzione del sistema e le condizioni di cui all'articolo 6.
L'eccezione di cui all'articolo 6(3)
Un sistema che rientra in un ambito dell'Allegato III non viene automaticamente conteggiato tra i sistemi di intelligenza artificiale ad alto rischio: tale classificazione è esclusa quando non comporta un rischio significativo per la salute, la sicurezza o i diritti fondamentali delle persone e non influenza in modo sostanziale l'esito del processo decisionale. Ciò può verificarsi quando il sistema esegue solo un compito procedurale limitato, si limita a migliorare un'attività già svolta da un essere umano, segnala soltanto le deviazioni rispetto a precedenti decisioni umane senza sostituirle, oppure svolge esclusivamente un compito preparatorio.
Il ricorso a questa eccezione deve essere attentamente motivato e documentato. L'organizzazione registra non solo la conclusione, ma anche i fatti e la valutazione su cui si basa tale conclusione. Un fornitore che ritiene che un sistema di cui all'allegato III non rientri tra i sistemi di intelligenza artificiale ad alto rischio deve documentare tale valutazione prima che il sistema venga immesso sul mercato o messo in servizio, ed è inoltre soggetto all'obbligo di registrazione di cui all'articolo 49, paragrafo 2.
Su un punto il regolamento è assoluto. L'articolo 6, paragrafo 3, prevede che un sistema di intelligenza artificiale di cui all'allegato III sia sempre considerato un sistema di intelligenza artificiale ad alto rischio qualora esegua la profilazione di persone fisiche. In tal caso, l'eccezione non può essere invocata.
Che ruolo svolge la vostra organizzazione?
La legge sull'intelligenza artificiale (AI Act) distingue diversi ruoli all'interno della filiera. Due di questi sono rilevanti per la maggior parte delle organizzazioni. Un soggetto che sviluppa un sistema di intelligenza artificiale, o lo immette sul mercato con il proprio nome o marchio, è considerato un fornitore. Un soggetto che utilizza un sistema di intelligenza artificiale nell'ambito della propria attività senza averlo sviluppato è generalmente considerato un utilizzatore.
Tale ripartizione dei ruoli non è statica. Un'organizzazione che modifica sostanzialmente un sistema acquistato, lo fornisce a sua volta con il proprio nome o marchio, o ne cambia la finalità originaria, può comunque essere considerata un fornitore e, di conseguenza, essere soggetta a obblighi più stringenti. Stabilisci per ogni sistema quale ruolo ricopri e documenta tale valutazione.
Gli obblighi principali
I fornitori di sistemi di intelligenza artificiale ad alto rischio sono soggetti a obblighi che includono quelli di cui agli articoli da 8 a 17, 43 e da 47 a 49:
- un sistema di gestione del rischio che copre l'intero ciclo di vita
- governance dei dati, compreso il rilevamento e la correzione di distorsioni nei dati utilizzati, inclusi i dati di addestramento, convalida e test
- documentazione tecnica conforme all'allegato IV e registrazione degli eventi
- Istruzioni chiare per l'uso da parte degli addetti all'installazione.
- un design che consente un'efficace supervisione umana
- requisiti in termini di accuratezza, robustezza e sicurezza informatica
- un sistema di gestione della qualità, una valutazione di conformità, una dichiarazione di conformità UE, la marcatura CE e la registrazione nel database UE
Per i sistemi di IA ad alto rischio utilizzati per l'identificazione biometrica remota di cui all'allegato III, punto 1(a), l'articolo 14(5) impone un requisito aggiuntivo in materia di controllo umano: non si può adottare alcun provvedimento o decisione sulla base dell'identificazione se non è stata verificata e confermata separatamente da almeno due persone fisiche dotate della necessaria competenza, formazione e autorità. Questo è noto come principio dei quattro occhi.
Chi implementa il sistema è soggetto agli obblighi, meno stringenti ma non per questo meno importanti, previsti dagli articoli 26 e 27: utilizzo conforme alle istruzioni per l'uso, supervisione umana competente, monitoraggio del funzionamento del sistema, segnalazione dei rischi e degli incidenti gravi e conservazione dei registri per almeno sei mesi. I dipendenti che lavoreranno con il sistema e le persone a cui esso è applicato devono essere informati in anticipo.
Alcuni soggetti che implementano sistemi devono inoltre effettuare una valutazione d'impatto sui diritti fondamentali, la Valutazione d'impatto sui diritti fondamentali di cui all'articolo 27. Ciò si applica in ogni caso agli enti di diritto pubblico, ai fornitori privati di servizi pubblici e ai soggetti che utilizzano sistemi di valutazione del credito o di valutazione dei rischi assicurativi nel settore delle assicurazioni vita e sanitarie.
Cronologia e stato attuale
La legge sull'intelligenza artificiale è entrata in vigore il 1° agosto 2024 e si applicherà gradualmente. In pratica, è importante distinguere tra gli obblighi già in vigore, gli obblighi con data di applicazione futura e le modifiche annunciate la cui entrata in vigore formale non è ancora stata completata.
Pratiche vietate (articolo 5): applicabili dal 2 febbraio 2025
Alfabetizzazione in materia di IA (articolo 4): applicabile dal 2 febbraio 2025
Modelli di intelligenza artificiale di uso generale: applicabili dal 2 agosto 2025
Obblighi di trasparenza (articolo 50): applicabili dal 2 agosto 2026; non differibili.
Rischio elevato ai sensi dell'Allegato III: formalmente ancora il 2 agosto 2026; una volta che l'Omnibus entrerà in vigore, al più tardi il 2 dicembre 2027.
Rischio elevato ai sensi dell'Allegato I: formalmente ancora il 2 agosto 2027; una volta che l'Omnibus entrerà in vigore, al più tardi il 2 agosto 2028.
Il 19 novembre 2025 la Commissione europea ha pubblicato il pacchetto Digital Omnibus, proponendo di rinviare l'applicazione degli obblighi relativi ai sistemi di intelligenza artificiale ad alto rischio. Un accordo politico provvisorio è stato raggiunto il 7 maggio 2026. Il Parlamento europeo ha dato il suo assenso il 16 giugno 2026 e il Consiglio ha dato l'approvazione definitiva il 29 giugno 2026.
Alla data di riferimento del presente articolo, tuttavia, la pubblicazione nella Gazzetta ufficiale dell'Unione europea non è ancora stata completata. L'emendamento entrerà in vigore il terzo giorno successivo a tale pubblicazione. Fino ad allora, la normativa applicabile rimane quella originaria dell'AI Act, con il 2 agosto 2026 come data di applicazione degli obblighi relativi agli organismi ad alto rischio previsti dall'allegato III. La pubblicazione prima di tale data è ampiamente prevista, ma non è ancora confermata.
Il differimento è inoltre strutturato in modo condizionale. L'applicazione degli obblighi relativi ai sistemi di intelligenza artificiale ad alto rischio è subordinata a una decisione della Commissione che stabilisca la disponibilità delle norme armonizzate e degli strumenti di supporto necessari, seguita da un periodo transitorio. Le date del 2 dicembre 2027 e del 2 agosto 2028 fungono da date di salvaguardia, piuttosto che da semplice proroga.
Due punti meritano un'attenzione particolare. In primo luogo, gli obblighi di trasparenza previsti dall'articolo 50 e l'obbligo di alfabetizzazione digitale in materia di IA previsto dall'articolo 4 non sono stati rinviati: rimangono in vigore secondo la tempistica originaria. In secondo luogo, il pacchetto aggiunge un nuovo divieto all'articolo 5, rivolto alle applicazioni di IA che generano immagini intime non consensuali e al materiale pedopornografico generato dall'IA.
Per le organizzazioni, ciò significa che pianificare in vista di dicembre 2027 è opportuno, ma che per il momento la tenuta dei registri dovrebbe essere organizzata come se agosto 2026 fosse ancora la data vincolante, fino a quando la Gazzetta Ufficiale non disporrà diversamente.
Vigilanza e sanzioni
Nei Paesi Bassi, alla data di riferimento di questo articolo, manca ancora una legislazione attuativa per la legge sull'intelligenza artificiale. L'Autorità olandese per le infrastrutture digitali e l'Autorità olandese per la protezione dei dati dovrebbero assumere un ruolo centrale di coordinamento, mentre le autorità di vigilanza settoriali rimarranno responsabili nei rispettivi ambiti di competenza. La precisa ripartizione dei poteri e la relativa base giuridica dovranno tuttavia essere definite sulla base della legislazione attuativa olandese definitiva.
L'articolo 99 della legge sull'IA prevede diverse categorie di sanzioni massime. Il livello dipende dalla natura dell'infrazione e, ove pertinente, dal fatturato annuo mondiale dell'impresa. La sanzione massima più elevata si applica alle violazioni delle pratiche vietate di cui all'articolo 5; una sanzione massima inferiore si applica alle violazioni degli altri obblighi, compresi quelli per i fornitori e gli utilizzatori di sistemi di IA ad alto rischio; e la sanzione minima si applica alla fornitura di informazioni errate, incomplete o fuorvianti alle autorità. Un regime più favorevole si applica alle piccole e medie imprese (PMI), comprese le start-up. La sanzione effettiva è determinata tenendo conto delle norme sanzionatorie applicabili e delle circostanze del caso.
Roadmap pratica
- Crea un inventario di tutti i sistemi di intelligenza artificiale che la tua organizzazione sviluppa, acquista o utilizza.
- Stabilisci per ogni sistema quale ruolo ricopri: fornitore o implementatore.
- Determinare la categoria di rischio per ciascun sistema e documentare tale valutazione, compreso l'eventuale ricorso all'eccezione di cui all'articolo 6(3).
- Definisci un sistema di governance per l'IA e nomina un responsabile.
- Garantire che il personale che lavora con questi sistemi possieda competenze in materia di intelligenza artificiale; tale obbligo è già in vigore.
- Preparare le misure di trasparenza previste dall'articolo 50 in vista del 2 agosto 2026.
- Avviare tempestivamente la documentazione tecnica e, ove necessario, la valutazione d'impatto sui diritti fondamentali.
- Esaminare i contratti con i fornitori in merito all'assegnazione dei ruoli, alla fornitura di informazioni e ai diritti di audit.
- Monitorate la pubblicazione del pacchetto Omnibus nella Gazzetta Ufficiale e adattate la vostra pianificazione di conseguenza.
Conclusione
La legge sull'intelligenza artificiale (AI Act) ha un impatto fondamentale sul modo in cui le organizzazioni sviluppano, acquistano e utilizzano l'IA. Il rinvio annunciato degli obblighi relativi ai sistemi ad alto rischio concede più tempo, ma non è ancora legge applicabile e gli obblighi già in vigore o che entreranno in vigore il 2 agosto 2026 non ne risentono. Un approccio prudente consiste quindi nel pianificare tenendo conto delle nuove date, pur rimanendo preparati per quelle precedenti. Per una panoramica più ampia del regolamento, si veda la nostra Guida completa alla legge UE sull'IA , che integra l'articolo incentrato sui sistemi di IA ad alto rischio.
Law & More Aiutiamo le organizzazioni a inventariare e classificare i propri sistemi di intelligenza artificiale, a determinare il proprio ruolo di fornitore o implementatore, a rivedere e redigere contratti con i fornitori di IA e a definire la governance dell'IA. Desiderate sapere quali obblighi si applicano attualmente alla vostra organizzazione e quali azioni dovrebbero avere la priorità? Non esitate a contattarci per una consulenza senza impegno.
Domande frequenti
Di seguito rispondiamo alle domande che ci vengono poste più frequentemente su questo argomento.
Cos'è l'AI Act?
Il Regolamento europeo sull'intelligenza artificiale (Regolamento (UE) 2024/1689) è entrato in vigore il 1° agosto 2024 e si applicherà gradualmente, con obblighi che diventeranno più stringenti all'aumentare del rischio posto da un sistema di intelligenza artificiale.
Quando un sistema di intelligenza artificiale è ad alto rischio?
Attraverso due vie: come parte di un prodotto coperto dalla legislazione sui prodotti elencata nell'allegato I, oppure attraverso l'uso in uno dei settori elencati nell'allegato III. In quest'ultimo caso, il solo settore non è determinante; contano anche la funzione specifica e le condizioni di cui all'articolo 6.
Un sistema di cui all'Allegato III può comunque non rientrare nella categoria ad alto rischio?
Sì, laddove non comporti rischi significativi e non influisca in modo sostanziale sul processo decisionale, ad esempio quando svolge un compito procedurale limitato o puramente preparatorio. Tale valutazione deve essere documentata. L'eccezione non si applica mai quando il sistema effettua la profilazione di persone fisiche.
Sono un fornitore o un implementatore?
Sei considerato un fornitore se sviluppi il sistema o lo immetti sul mercato con il tuo nome o marchio, e generalmente un utilizzatore se utilizzi un sistema acquistato. Se modifichi sostanzialmente un sistema acquistato o lo fornisci a tua volta con il tuo nome, potresti comunque essere considerato un fornitore.
Quali sono gli obblighi dei fornitori?
Tra gli altri, la gestione del rischio, la governance dei dati, la documentazione tecnica, la registrazione, le istruzioni per l'uso, la supervisione umana, i requisiti di accuratezza e sicurezza informatica, un sistema di gestione della qualità, una valutazione della conformità, la marcatura CE e la registrazione nel database UE.
Quali sono gli obblighi che gravano su chi effettua l'implementazione?
Utilizzo conforme alle istruzioni, supervisione umana competente, monitoraggio, segnalazione dei rischi e degli incidenti gravi e conservazione dei registri per almeno sei mesi. I dipendenti coinvolti e le persone a cui il sistema viene applicato devono essere informati in anticipo.
Quando deve essere effettuata una valutazione d'impatto sui diritti fondamentali?
L'articolo 27 impone ciò, tra gli altri, agli enti regolati dal diritto pubblico, ai fornitori privati di servizi pubblici e a coloro che utilizzano sistemi di valutazione del credito o di stima dei rischi assicurativi nel settore delle assicurazioni vita e sanitarie.
Gli obblighi ad alto rischio sono stati rinviati?
Un emendamento adottato rinvia l'applicazione al 2 dicembre 2027 al più tardi per l'allegato III e al 2 agosto 2028 per l'allegato I. Alla data di riferimento del presente articolo, tale emendamento non è ancora stato pubblicato nella Gazzetta ufficiale, pertanto la data originaria del 2 agosto 2026 rimane formalmente valida.
Cosa si applica già oggi?
Le pratiche vietate dall'articolo 5 e l'obbligo di alfabetizzazione in materia di IA sono entrati in vigore il 2 febbraio 2025, mentre le norme per i modelli di IA di uso generale sono entrate in vigore il 2 agosto 2025. Gli obblighi di trasparenza di cui all'articolo 50 entreranno in vigore il 2 agosto 2026 e non sono stati rinviati.
Chi supervisiona l'applicazione della legge sull'intelligenza artificiale nei Paesi Bassi?
Manca ancora una legislazione attuativa. L'Autorità olandese per le infrastrutture digitali e l'Autorità olandese per la protezione dei dati dovrebbero assumere un ruolo centrale di coordinamento, insieme alle autorità di vigilanza settoriali. L'attribuzione definitiva dei poteri avverrà con l'emanazione della legge attuativa olandese.
Cosa dovrebbe fare ora la mia organizzazione?
Iniziate con un inventario di tutti i sistemi di intelligenza artificiale che sviluppate, acquistate o utilizzate. Per ogni sistema, registrate il ruolo che ricoprite, la categoria di rischio applicabile e gli obblighi che ne derivano. Definite inoltre una governance dell'IA, assicuratevi che il personale sia a conoscenza delle tecnologie dell'IA e rivedete i contratti con i fornitori in merito all'assegnazione dei ruoli, alla fornitura di informazioni e ai diritti di audit.
