Sistemi di IA ad alto rischio: la classificazione AI Act

In sintesi

• Per i sistemi di IA ad alto rischio a slittare è stata la scadenza, non la regola. Il regolamento (UE) 2026/1744 sposta gli obblighi dell’allegato III al 2 dicembre 2027 e quelli dell’allegato I al 2 agosto 2028, senza toccare l’articolo 6.
• Finché la classificazione manca, non sapete quale scadenza vi riguardi. Gli obblighi di trasparenza dell’articolo 50 non sono stati rinviati e si applicano dal 2 agosto 2026.
• Due strade portano all’alto rischio: quella dei prodotti dell’allegato I e quella dei casi d’uso dell’allegato III. Solo la seconda si presenta come un elenco in cui cercarsi.
• La deroga dell’articolo 6, paragrafo 3, non è un alleggerimento. Impone di documentare la valutazione prima dell’immissione sul mercato e di registrare la dichiarazione nella banca dati dell’Unione.
• Né una clausola contrattuale, né la presenza di un operatore umano, né una scomposizione in moduli modificano la classificazione, che segue la finalità prevista.

La scadenza si è spostata, l’obbligo di classificare no

Aspettare che il quadro sui sistemi di IA ad alto rischio si assesti prima di classificare i propri è ormai il vero rischio. Il regolamento (UE) 2026/1744, il cosiddetto omnibus digitale sull’IA, è stato pubblicato in Gazzetta ufficiale il 24 luglio 2026 ed è entrato in vigore il 27 luglio 2026, modificando il regolamento (UE) 2024/1689 (EUR-Lex). Ha spostato le date di adempimento. Non ha modificato la questione di chi rientri nell’ambito di applicazione. Nello stesso testo convivono ora tre date, e divergono tra loro:

1. 2 dicembre 2027. Obblighi per i sistemi autonomi elencati nell’allegato III, in precedenza fissati al 2 agosto 2026.
2. 2 agosto 2028. Obblighi per l’IA incorporata in prodotti già coperti dalla normativa di armonizzazione dell’Unione ai sensi dell’allegato I, in precedenza fissati al 2 agosto 2027.
3. 2 agosto 2026. Gli obblighi di trasparenza dell’articolo 50, che non hanno subito alcun rinvio. L’informativa all’utente che interagisce con un sistema di IA si applica da quella data, con un breve periodo di tolleranza fino al 2 dicembre 2026 per la marcatura dei contenuti generati automaticamente.

La conseguenza pratica sfugge facilmente. Un team che non ha classificato non può dire quale di queste tre date governi la propria roadmap. Va aggiunto che il rinvio è stato concordato come insieme di date fisse, in sostituzione del meccanismo condizionale inizialmente proposto dalla Commissione, che avrebbe dipeso dalla disponibilità delle norme armonizzate (analisi di Gibson Dunn). Non è quindi previsto alcun ulteriore slittamento. La classificazione è perciò il primo atto di governance, non un adempimento a valle. Determina la vostra scadenza, il vostro corpo di obblighi, se sia dovuta una valutazione della conformità e se prima dell’immissione sul mercato serva una registrazione. Se il vostro registro dei sistemi di IA non riporta una decisione di classificazione per ciascun sistema, non avete una posizione di conformità: avete l’intenzione di costruirne una in seguito.

Sistemi di IA ad alto rischio: due strade, e una sola è un elenco

L’articolo 6 apre due percorsi indipendenti. È sufficiente che un sistema ne imbocchi uno.

Prima strada: prodotti e componenti di sicurezza dell’allegato I

Ai sensi dell’articolo 6, paragrafo 1, un sistema è ad alto rischio quando ricorrono entrambe le condizioni. Anzitutto, il sistema di IA è destinato a essere utilizzato come componente di sicurezza di un prodotto, oppure è esso stesso un prodotto, disciplinato dalla normativa di armonizzazione dell’Unione elencata nell’allegato I: macchine, dispositivi medici, ascensori, giocattoli, apparecchiature radio, dispositivi diagnostici in vitro e famiglie di prodotti regolamentati analoghe. In secondo luogo, quel prodotto deve essere sottoposto a una valutazione della conformità da parte di terzi ai sensi della medesima normativa (articolo 6). La seconda condizione pesa molto ed è regolarmente trascurata. Appartenere a una famiglia di prodotti dell’allegato I non basta di per sé. Se il regime proprio del prodotto ammette l’autovalutazione, questa strada non si chiude. La nozione di componente di sicurezza è più ampia di quanto suggerisca. L’articolo 3, punto 14, coglie il componente il cui guasto o malfunzionamento mette in pericolo la salute e la sicurezza, e non soltanto quello la cui funzione dichiarata è la sicurezza. Un ottimizzatore del rendimento di combustione venduto come funzione di risparmio energetico può quindi rientrarvi, perché il suo malfunzionamento genera un rischio da monossido di carbonio. L’omnibus ha ristretto la nozione escludendo i componenti che si limitano ad assistere l’utente senza creare rischi per la salute o la sicurezza, come osserva Travers Smith.

Seconda strada: i casi d’uso dell’allegato III

Ai sensi dell’articolo 6, paragrafo 2, un sistema è ad alto rischio se rientra in un caso d’uso elencato nell’allegato III e nessuno dei filtri dell’articolo 6, paragrafo 3, lo esclude. È la strada che percorre la maggior parte dei fornitori di software, ed è quella a cui si pensa cercando l’elenco dei casi ad alto rischio. Le due strade attivano il medesimo corpo di obblighi, ma scadenze diverse: dicembre 2027 per l’allegato III, agosto 2028 per l’allegato I. Un produttore che integra un componente di IA in hardware regolamentato e un fornitore SaaS che vende uno strumento di selezione del personale non seguono lo stesso orologio.

Gli otto settori dell’allegato III, letti come li legge un auditor

La maggior parte delle guide riproduce l’allegato III come un elenco di settori. È proprio questa impostazione a generare errori di classificazione, perché l’allegato non disciplina settori: disciplina decisioni. Ogni ambito va letto a partire dalla decisione che il sistema tocca.

• Biometria. Identificazione biometrica remota, categorizzazione biometrica che deduce attributi sensibili o protetti e riconoscimento delle emozioni. Alcune pratiche biometriche sono peraltro vietate ai sensi dell’articolo 5, non semplicemente classificate ad alto rischio.
• Infrastrutture critiche. Soltanto quando il sistema opera come componente di sicurezza nella gestione o nell’esercizio di infrastrutture digitali, del traffico stradale o della fornitura di energia e acqua. Uno strumento di analisi amministrativa per un’utility non vi rientra automaticamente.
• Istruzione e formazione professionale. Decisioni di ammissione, valutazione dei risultati di apprendimento, assegnazione a livelli di istruzione e monitoraggio di comportamenti vietati durante le prove. L’innesco è la valutazione sommativa.
• Occupazione e gestione dei lavoratori. L’intera catena di selezione, dalla ricerca dei candidati allo screening fino alla scelta, oltre alle decisioni su promozione, cessazione del rapporto, assegnazione dei compiti e monitoraggio delle prestazioni. È l’ambito più esteso nella pratica e quello che i fornitori sottovalutano più spesso.
• Accesso a servizi essenziali, pubblici e privati. Ammissibilità alle prestazioni sociali, valutazione del merito creditizio, valutazione del rischio e tariffazione nelle assicurazioni vita e salute, gestione delle chiamate di emergenza e triage.
• Attività di contrasto. Valutazione del rischio di reato o di recidiva, giudizio sull’affidabilità delle prove, strumenti di tipo poligrafico e profilazione nel corso delle indagini.
• Migrazione, asilo e controllo delle frontiere. Analisi di rischio, esame delle domande di visto e di asilo, identificazione.
• Amministrazione della giustizia e processi democratici. Assistenza alle autorità giudiziarie nella ricerca e nell’interpretazione dei fatti e del diritto, e sistemi destinati a influenzare l’esito di elezioni o il comportamento di voto.

Se il vostro sistema produce un dato in ingresso per una di queste decisioni, rientrate nell’allegato finché un filtro non ve ne fa uscire. È la presunzione corretta, ed è l’opposto del ragionamento spontaneo della maggior parte dei team. La nostra guida operativa al regolamento europeo sull’IA illustra ciò che segue quando la classificazione cade sull’alto rischio.

L’articolo 6, paragrafo 3: la deroga che costa più della conformità

È la disposizione più fraintesa dell’intero regime. L’articolo 6, paragrafo 3, consente a un fornitore di concludere che un sistema pur elencato nell’allegato III non è ad alto rischio, in quanto non presenta un rischio significativo di danno alla salute, alla sicurezza o ai diritti fondamentali, anche perché non influenza materialmente l’esito del processo decisionale.

I quattro filtri

Un sistema esce dall’ambito solo se soddisfa almeno una di queste condizioni:

1. Compito procedurale limitato. Convertire dati non strutturati in dati strutturati, classificare documenti in arrivo in categorie predefinite, individuare duplicati.
2. Miglioramento di un’attività umana già completata. Il sistema affina un risultato che una persona ha già prodotto, senza sostituirlo né rifarlo in autonomia.
3. Rilevamento di schemi decisionali o di scostamenti. Segnalare che una decisione si discosta dagli schemi precedenti, senza sostituire la valutazione umana né influenzarla in assenza di un riesame adeguato.
4. Compito preparatorio. Indicizzare, cercare, tradurre o collegare materiali a monte di una valutazione.

La bozza di orientamenti della Commissione interpreta questi filtri in senso stretto. Un sistema che ordina, assegna un punteggio o etichetta gli elementi come più o meno utili per un valutatore umano eccede il compito puramente procedurale, perché quell’ordinamento plasma la decisione. Sul quarto filtro il criterio è la prossimità alla decisione finale e il fatto che l’output costituisca o meno una raccomandazione specifica, secondo l’analisi di Freshfields.

Le due esclusioni

Due elementi disattivano del tutto i filtri. Un sistema che effettua profilazione di persone fisiche è sempre ad alto rischio, senza eccezioni. E un componente inserito in un’architettura più ampia non può invocare un filtro quando la finalità combinata o gli output congiunti di quell’architettura influenzano materialmente una decisione ad alto rischio.

Perché invocare la deroga è un atto pubblico

È qui che l’economia della scelta si ribalta. Ai sensi dell’articolo 6, paragrafo 4, il fornitore che conclude che un sistema dell’allegato III non è ad alto rischio deve documentare tale valutazione prima dell’immissione sul mercato o della messa in servizio. Ai sensi dell’articolo 49, paragrafo 2, deve poi registrare sé stesso e il sistema nella banca dati dell’Unione. L’omnibus ha mantenuto questo obbligo di registrazione riducendo il volume delle informazioni richieste. La deroga non è dunque una decisione privata presa in sede di revisione progettuale. È una dichiarazione depositata, visibile alle autorità, corredata del vostro ragionamento e ostensibile alle autorità nazionali competenti su richiesta. Se un’autorità di vigilanza del mercato ha motivi sufficienti per ritenere che il sistema sia stato classificato erroneamente, può riesaminare la classificazione ed esigere la piena conformità agli obblighi per l’alto rischio entro un termine stabilito. In Italia il presidio nazionale è ripartito tra AgID e ACN. Confrontate le due traiettorie con onestà. Accettare l’alto rischio significa costruire il sistema di gestione dei rischi dell’articolo 9 e il resto degli obblighi del capo III su un orologio fissato a dicembre 2027. Invocare la deroga significa produrre ora un’analisi giuridica difendibile, pubblicare ora la dichiarazione e portare il rischio di una riqualificazione con esposizione retroattiva. Per un sistema realmente procedurale la deroga è la scelta giusta. Per un caso limite è spesso la strada più costosa.

Tre errori ricorrenti nella classificazione

La bozza di orientamenti chiude tre argomenti ancora frequenti nelle revisioni progettuali.

«Le nostre condizioni d’uso escludono gli impieghi ad alto rischio»

La classificazione segue la finalità prevista, definita all’articolo 3, punto 12, come l’uso al quale il fornitore destina il sistema, quale risulta dalle istruzioni per l’uso, dai materiali promozionali e di vendita, dalle dichiarazioni e dalla documentazione tecnica. Una clausola di esclusione sepolta nelle condizioni contrattuali non prevale su ciò che il vostro marketing afferma che il prodotto faccia. Quando la documentazione presenta un’applicabilità ampia su più contesti senza escludere chiaramente gli impieghi ad alto rischio, la finalità può essere letta come comprensiva di questi ultimi, soprattutto se tali usi sono realizzabili e ragionevolmente prevedibili. Esiste un secondo effetto collaterale. Ai sensi dell’articolo 25, un distributore, un importatore o un deployer che appone il proprio nome su un sistema ad alto rischio, lo modifica sostanzialmente o destina un sistema generalista a un impiego ad alto rischio diventa fornitore ed eredita i relativi obblighi. Acquistare uno strumento generalista e puntarlo su una decisione di assunzione vi rende fornitori di un sistema ad alto rischio.

«Abbiamo una persona nel processo»

La presenza di un operatore umano non può da sola impedire la classificazione. Questa si decide sulla finalità prevista; la sorveglianza umana è ciò che l’articolo 14 richiede una volta che il sistema è già classificato. Trattare il revisore come uno scudo di classificazione capovolge l’impianto del regolamento. Il grado di coinvolgimento umano non è però irrilevante. Può sostenere l’argomento secondo cui il sistema svolge soltanto una funzione limitata o preparatoria che non influenza materialmente la decisione, alimentando così l’analisi ai sensi dell’articolo 6, paragrafo 3. Si tratta però di un argomento di filtro, sorretto da elementi di prova, non di un’esenzione generale. La distinzione tra sorveglianza umana nel processo e sul processo rileva per la progettazione ai sensi dell’articolo 14, non per stabilire se l’articolo 6 si applichi.

«Lo abbiamo scomposto in moduli»

Quando più componenti di IA formano un insieme più ampio dotato di finalità combinata, o i cui output congiunti influenzano materialmente una decisione, la valutazione è complessiva. Scomporre un’architettura in servizi singolarmente innocui non elude la classificazione. Gli orientamenti estendono il medesimo ragionamento ai sistemi agentici che si coordinano attraverso azioni interconnesse. Restano fuori solo i componenti realmente separabili, che svolgono funzioni strettamente procedurali o preparatorie e non concorrono alla finalità ad alto rischio.

Che cosa cambia concretamente con la bozza di orientamenti

L’articolo 6, paragrafo 5, impone alla Commissione di pubblicare orientamenti sull’attuazione pratica delle regole di classificazione. La bozza è uscita il 19 maggio 2026, oltre la data del 2 febbraio 2026 fissata dal regolamento, e ha aperto una consultazione mirata prorogata al 23 luglio 2026 su richiesta delle parti interessate (Commissione europea). Il testo definitivo è atteso entro la fine del 2026. La bozza si articola in principi generali, percorso dei componenti di sicurezza dell’allegato I e casi d’uso dell’allegato III, con esempi pratici di sistemi che dovrebbero e non dovrebbero essere classificati ad alto rischio. La Commissione precisa che tali esempi non sono esaustivi e potranno essere aggiornati. Per un team di governance ne discendono due conseguenze. Gli orientamenti non sono vincolanti e quindi non creano obblighi di per sé. Sono però concepiti per condurre le autorità di vigilanza del mercato verso un’applicazione uniforme, il che li rende il parametro operativo con cui un’autorità vi misurerà. E poiché il testo è ancora in bozza, una classificazione pronunciata oggi deve registrare la versione su cui si fonda e portare un innesco di riesame per l’arrivo del testo definitivo. È ordinaria igiene di conformità IA, poco costosa da integrare ora e onerosa da recuperare in seguito su un intero portafoglio.

Trasformare la classificazione in una traccia difendibile

Una classificazione che vive in un thread di chat non è una classificazione. Che approdiate all’alto rischio o a un filtro dell’articolo 6, paragrafo 3, l’esito deve essere una traccia datata e attribuita. Dovrebbe come minimo riportare:

• L’identità del sistema e la versione, per ancorare la decisione a un oggetto preciso.
• La finalità così come pubblicata, citando le vostre istruzioni per l’uso e i vostri materiali commerciali anziché parafrasarli.
• Quale strada è stata verificata, allegato I o allegato III, e l’esito di ciascuna.
• L’eventuale filtro invocato, con il ragionamento e gli elementi che dimostrano che il sistema non influenza materialmente la decisione.
• La verifica sulla profilazione e quella sull’architettura, registrate come negazioni esplicite anziché lasciate implicite.
• Il responsabile designato, la data e l’innesco che impone una rivalutazione.

È quest’ultimo punto che i team omettono. Una modifica sostanziale riapre l’analisi, e altrettanto fa un cambiamento nel modo in cui il prodotto è commercializzato. Una classificazione è un’affermazione riferita a una versione e a una finalità dichiarata, e questi due elementi si muovono. Conservare la traccia accanto alla documentazione tecnica, anziché in una cartella legale separata, è ciò che la rende recuperabile il giorno in cui un’autorità la chiede. È la stessa disciplina che sostiene qualsiasi programma di governance dell’IA funzionante: la decisione e la sua prova stanno insieme e restano indirizzabili.

Domande frequenti

Quando un sistema di IA è considerato ad alto rischio? Quando percorre una delle due strade dell’articolo 6. O è componente di sicurezza di un prodotto coperto dall’allegato I, o è esso stesso tale prodotto, e quel prodotto è soggetto a valutazione della conformità da parte di terzi. Oppure rientra in un caso d’uso elencato nell’allegato III senza che operi alcuno dei quattro filtri dell’articolo 6, paragrafo 3. Un sistema che effettua profilazione di persone fisiche è comunque ad alto rischio. Quali orientamenti ha pubblicato la Commissione sui sistemi ad alto rischio? La Commissione europea ha pubblicato il 19 maggio 2026 una bozza di orientamenti sulla classificazione dei sistemi di IA ad alto rischio, ai sensi dell’articolo 6, paragrafo 5. Interpretano le nozioni rilevanti e forniscono esempi pratici, non esaustivi, di sistemi che dovrebbero o non dovrebbero essere classificati. Una consultazione mirata si è chiusa il 23 luglio 2026 e la versione definitiva è attesa entro la fine del 2026. Pur non vincolanti, orientano le autorità di vigilanza del mercato e fungono quindi da riferimento pratico. Quali casi d’uso elenca l’allegato III? Otto ambiti: biometria; infrastrutture critiche; istruzione e formazione professionale; occupazione e gestione dei lavoratori; accesso a servizi essenziali pubblici e privati, compresi merito creditizio e tariffazione assicurativa; attività di contrasto; migrazione, asilo e controllo delle frontiere; amministrazione della giustizia e processi democratici. Il regolamento europeo sull’IA è obbligatorio? Sì. Essendo un regolamento, si applica direttamente in tutti gli Stati membri senza recepimento nazionale. Ciò che è cambiato nel 2026 riguarda il calendario e non il principio: il regolamento (UE) 2026/1744 ha rinviato gli obblighi per l’alto rischio al 2 dicembre 2027 per l’allegato III e al 2 agosto 2028 per l’allegato I. Le pratiche vietate e gli obblighi di trasparenza dell’articolo 50 si applicano già. Il rinvio a dicembre 2027 consente di aspettare? No, per due ragioni. Se intendete avvalervi della deroga dell’articolo 6, paragrafo 3, la valutazione va documentata e registrata prima dell’immissione sul mercato: è un obbligo antecedente alla commercializzazione, non una scadenza del 2027. E se la classificazione approda all’alto rischio, dicembre 2027 è la data entro cui valutazione della conformità, documentazione tecnica, registrazione degli eventi, sistema di gestione della qualità e iscrizione devono già essere in funzione, non quella in cui il lavoro comincia. Chi decide la classificazione, il fornitore o il deployer? Il fornitore stabilisce e documenta la classificazione. Il deployer non è però passivo: ai sensi dell’articolo 25 diventa fornitore, con l’intero corpo di obblighi, se appone il proprio nome o marchio su un sistema ad alto rischio, lo modifica sostanzialmente o lo impiega al di fuori della finalità dichiarata per un uso ad alto rischio. Molte organizzazioni che si considerano deployer sono in realtà fornitori di almeno un sistema.

Conclusione

L’omnibus digitale ha comprato tempo sugli obblighi per i sistemi di IA ad alto rischio. Non ne ha comprato sulla domanda. L’articolo 6 continua a chiedere se un sistema sia componente di sicurezza in un prodotto regolamentato, se rientri in uno degli otto ambiti dell’allegato III e se uno dei quattro filtri ristretti si applichi davvero. La risposta fissa la vostra scadenza, il vostro corpo di obblighi e il vostro dovere di registrazione, e proprio la strada che somiglia a una via d’uscita porta con sé costi di documentazione e registrazione anticipati. Le organizzazioni pronte a dicembre 2027 saranno quelle che già oggi trattano la classificazione come una decisione governata e versionata, con un responsabile e un innesco di riesame, anziché come un parere legale scritto quando la scadenza è abbastanza vicina da sembrare reale.