Regolamento UE sull'intelligenza artificiale per aziende

Il Regolamento UE sull'intelligenza artificiale per le aziende è il Regolamento UE 2024/1689, noto come AI Act. La sua logica portante è l'approccio per livelli di rischio: non tutti gli usi sono uguali e non tutti richiedono gli stessi controlli. Capire in quale livello ricade un caso d'uso è la prima decisione di governance, prima ancora di scegliere uno strumento.

Un assistente per scrivere testi interni ha un profilo diverso da un sistema che supporta selezione del personale, credito, sanità o accesso a servizi. La classificazione va fatta sul caso concreto, non sull'etichetta del software.

I quattro livelli di rischio, con esempi aziendali

Le pratiche vietate sono un elenco chiuso: riguardano, tra l'altro, manipolazione, sfruttamento di vulnerabilità, punteggio sociale e alcune forme di riconoscimento biometrico. Per un'impresa ordinaria sono poco frequenti, ma vanno conosciute per escluderle.

I sistemi ad alto rischio sono quelli elencati negli allegati e nei criteri dell'art. 6: esempi tipici sono la selezione e valutazione del personale, l'accesso a credito o servizi essenziali, alcune applicazioni sanitarie e di sicurezza. Gli obblighi per queste categorie seguono un calendario dedicato: 2 dicembre 2027 per l'allegato III e 2 agosto 2028 per l'allegato I, dopo l'applicazione generale del 2 agosto 2026. Il dettaglio per ruolo è in obblighi AI Act per le aziende.

Gli obblighi di trasparenza riguardano i casi previsti dall'art. 50, ad esempio un sistema che interagisce direttamente con una persona. Infine i sistemi a rischio minimo, come gran parte delle applicazioni di produttività, restano soggetti alle regole generali e al GDPR, ma non agli adempimenti dell'alto rischio.

Chat, OCR e ricerca documenti non sono alto rischio per default

Una chat interna, un motore OCR o la ricerca su documenti aziendali non diventano automaticamente sistemi ad alto rischio. La classificazione dipende dalla finalità prevista e dai criteri del regolamento: uno stesso modello può essere a rischio minimo se riassume report interni e ricadere in una categoria sensibile se usato per decidere su persone. Per questo l'analisi deve partire dal processo, non dalla tecnologia.

Cosa significa per una PMI, in pratica

Per una PMI la preparazione può essere pragmatica: inventario AI, classificazione dei casi d'uso, policy di utilizzo, formazione utenti, scelta di strumenti autorizzati e controllo dei workflow più critici. Questo evita sia il blocco totale sia l'uso disordinato. Il quadro delle sanzioni è in sanzioni dell'AI Act; l'insieme normativo italiano ed europeo è riassunto in normativa sull'intelligenza artificiale in Italia.

L'AI Act si intreccia con il GDPR quando vengono trattati dati personali. L'azienda deve valutare dati, finalità, fornitori, output e supervisione. L'EDPB ha pubblicato indicazioni sul trattamento di dati personali nei modelli AI, utili per capire perché la governance deve essere documentata.

Il regolamento intelligenza artificiale non si esaurisce nella classificazione: chiede anche di documentare le decisioni, formare il personale e mantenere sotto controllo fornitori e integrazioni. È un lavoro continuo di governance, non un adempimento una tantum.

L'architettura conta. Se l'AI deve lavorare su archivi riservati, un'infrastruttura privata può aiutare a mantenere controllo tecnico. Se invece l'uso è generico, il cloud può essere sufficiente. La scelta deve derivare dal rischio.

Chiedilo a Mirko permette di introdurre AI privata con assessment, installazione, formazione e assistenza, partendo proprio dalla classificazione dei casi d'uso. La demo gratuita serve a capire dove il tuo processo ricade e quali controlli servono davvero.