Un framework normativo a quattro livelli di rischio
Il Regolamento europeo sull'intelligenza artificiale (EU AI Act) introduce un sistema di classificazione basato su quattro categorie di rischio che determina gli obblighi per sviluppatori, fornitori e utilizzatori di sistemi AI. Con l'adozione del Digital Omnibus 2026, alcune scadenze sono state modificate per consentire una corretta attuazione della normativa.
Le quattro categorie di rischio
Il cuore del regolamento è un sistema di classificazione gerarchico che assegna ogni applicazione AI a una delle seguenti categorie:
1. AI a rischio inaccettabile (vietata)
Questi sistemi sono categoricamente vietati nell'Unione Europea. La loro messa in commercio o utilizzo comporta sanzioni severe. Appartengono a questa categoria:
- Sistemi di valutazione del rischio di recidività basati su profiling automatizzato
- Sistemi di categorizzazione di persone fisiche basati su caratteristiche personali sensibili
- Sistemi di valutazione o classificazione di persone in contesti lavorativi o educativi
- Sistemi di riconoscimento emotivo in ambito lavorativo o istruzione
- Sistemi di valutazione del rischio individuale nel settore assicurativo o finanziario
- Sistemi di manipolazione subliminale o sfruttamento di vulnerabilità
- Sistemi di biometria a distanza in tempo reale nello spazio pubblico (con alcune eccezioni di sicurezza)
2. AI ad alto rischio
I sistemi ad alto rischio sono soggetti a requisiti rigorosi prima della messa sul mercato e durante tutto il ciclo di vita. Si dividono in due sottocategorie:
Annex III (sistemi standalone): applicazioni AI utilizzate in settori critici come infrastrutture critiche, istruzione, occupazione, servizi essenziali privati e pubblici, procedure di asilo e immigrazione, amministrazione della giustizia.
Annex I (sistemi embedded): AI integrata in prodotti già regolamentati da normative UE specifiche (dispositivi medici, macchinari, veicoli, giocattoli, etc.).
3. AI a rischio limitato
I sistemi a rischio limitato devono rispettare principalmente obblighi di trasparenza. L'utente deve essere informato che sta interagendo con un sistema AI. Appartengono a questa categoria chatbot, sistemi di generazione di immagini/audio/video, e alcune applicazioni di deepfake.
4. AI a rischio minimo
La maggior parte delle applicazioni AI rientra in questa categoria. Sono liberamente utilizzabili senza specifici obblighi normativi, sebbene siano incoraggiate best practice volontarie.
Le novità del Digital Omnibus 2026
Il Digital Omnibus, adottato a metà 2026, ha apportato modifiche significative alle scadenze per i sistemi ad alto rischio:
- Annex III (standalone): scadenza spostata dal 2 agosto 2026 al 2 dicembre 2027
- Annex I (embedded): scennario spostato dal 2 agosto 2026 al 2 agosto 2028
Le altre scadenze rimangono invariate: le pratiche vietate sono attive dal 2 febbraio 2025, le regole sui GPAI e le obbligazioni di trasparenza dal 2 agosto 2025.
Perché le proroghe?
La Commissione ha spiegato la necessità di queste proroghe con tre motivazioni principali:
- Standard non pronti: le norme tecniche armonizzate necessarie per le valutazioni di conformità non erano state finalizzate
- Infrastruttura di enforcement: gli organismi notificati richiedevano designazione e accreditamento; le autorità nazionali competenti necessitavano risorse e linee guida
- Readiness delle imprese: in particolare per le PMI nei settori medtech, HR tech e servizi finanziari, il carico normativo cumulativo di AI Act, DORA e NIS2 era ritenuto eccessivo
Cosa NON cambia con l'Omnibus
È importante sottolineare che il Digital Omnibus non riduce gli obblighi né crea esenzioni. Non:
- Rimuove alcun obbligo esistente
- Crea esenzioni per settori o dimensioni aziendali
- Riduce le sanzioni per non conformità
- Modifica la definizione di cosa costituisce AI ad alto rischio
- Influenza le regole sui GPAI o le pratiche vietate
Gli obblighi per i sistemi ad alto rischio
I sistemi classificati come ad alto rischio devono rispettare requisiti rigorosi:
- Sistema di gestione della qualità (QMS)
- Documentazione tecnica completa e aggiornata
- Marcatura CE prima della messa sul mercato
- Valutazione di conformità da parte di organismi notificati
- Registrazione nel database UE di AI ad alto rischio
- Valutazione d'impatto sui diritti fondamentali per i sistemi pubblici
- Sorveglianza post-market e reporting di incidenti
Implicazioni per le imprese
Le aziende devono immediatamente:
- Effettuare una mappatura completa dei sistemi AI utilizzati o sviluppati
- Classificare ogni sistema secondo il framework a quattro livelli
- Pianificare il percorso di conformità per i sistemi ad alto rischio
- Monitorare l'evoluzione delle norme tecniche armonizzate
- Considerare l'intersezione con altri regolamenti (DORA, NIS2, CRA)
Il Digital Omnibus offre alle imprese un respiro aggiuntivo, ma il percorso verso la conformità AI Act richiede pianificazione e investimenti significativi nella governance dell'intelligenza artificiale.