La Commissione europea ha prorogato al 23 luglio 2026 il termine per partecipare alla consultazione mirata sulle draft guidelines dedicate alla classificazione dei sistemi di Intelligenza Artificiale ad alto rischio.
La scadenza originaria era fissata al 23 giugno 2026, ma è stata estesa di ulteriori quattro settimane a seguito delle richieste provenienti da associazioni e stakeholder.
Si tratta di un passaggio particolarmente rilevante nel percorso di attuazione dell’AI Act, perché le linee guida sono destinate a supportare provider, deployer e autorità di vigilanza nella valutazione della qualificazione dei sistemi di IA come sistemi ad alto rischio.
Il tema non è solo tecnico.
La corretta classificazione di un sistema di Intelligenza Artificiale incide direttamente sugli obblighi applicabili, sulle responsabilità dei soggetti coinvolti, sulla documentazione da predisporre, sulle misure di controllo da implementare e sui presidi organizzativi richiesti.
Le draft guidelines chiariscono l’interpretazione della Commissione europea su alcuni concetti rilevanti ai fini dell’articolo 6 dell’AI Act e contengono esempi pratici di sistemi che possono o non possono essere considerati ad alto rischio.
Secondo l’impostazione del Regolamento, i sistemi di IA possono essere classificati come high-risk in due principali ipotesi.
La prima riguarda i sistemi di IA utilizzati come componenti di sicurezza di prodotti, o che costituiscono essi stessi prodotti, soggetti alla normativa europea di armonizzazione indicata nell’Allegato I dell’AI Act e sottoposti a valutazione di conformità da parte di terzi.
La seconda riguarda i sistemi che rientrano nei casi d’uso previsti dall’Allegato III dell’AI Act, nei quali l’impiego dell’IA può incidere in modo significativo sulla salute, sulla sicurezza o sui diritti fondamentali delle persone.
Gli ambiti interessati sono particolarmente sensibili.
Tra questi rientrano, a titolo esemplificativo, biometria, infrastrutture critiche, istruzione, formazione professionale, occupazione, gestione dei lavoratori, accesso a servizi essenziali, attività di contrasto, migrazione, asilo, controllo delle frontiere e amministrazione della giustizia.
Per imprese, pubbliche amministrazioni e organizzazioni che utilizzano o intendono utilizzare sistemi di IA, la consultazione rappresenta un’occasione importante per comprendere la direzione interpretativa della Commissione e per avviare una prima verifica interna dei sistemi già in uso o in fase di adozione.
La classificazione di un sistema come ad alto rischio non può essere affrontata come un adempimento formale.
Richiede una mappatura concreta degli strumenti utilizzati, delle finalità perseguite, dei dati trattati, dei processi coinvolti, dei soggetti interessati, del livello di autonomia del sistema e delle possibili conseguenze sugli utenti, sui lavoratori, sui clienti o sui cittadini.
Da questa valutazione discendono obblighi che incidono su più funzioni aziendali e amministrative.
Legal, compliance, risk management, internal audit, data protection, IT, HR e procurement dovranno coordinarsi per assicurare che l’adozione dell’IA sia accompagnata da regole interne, responsabilità definite, documentazione adeguata e controlli effettivi.
Particolare attenzione dovrà essere dedicata al ruolo del deployer, cioè del soggetto che utilizza il sistema di IA sotto la propria autorità.
Molte organizzazioni, infatti, non sviluppano direttamente sistemi di Intelligenza Artificiale, ma acquistano, integrano o utilizzano strumenti predisposti da terzi. Anche in questi casi, l’AI Act richiede consapevolezza, controllo e capacità di dimostrare un utilizzo conforme.
La consultazione sulle linee guida si inserisce inoltre in un quadro regolatorio in evoluzione.
La Commissione ha indicato che le linee guida finali saranno adottate entro la fine del 2026. A seguito dell’accordo politico sull’AI Omnibus, l’applicazione delle regole per i sistemi ad alto rischio è stata posticipata: al dicembre 2027 per i sistemi stand-alone e all’agosto 2028 per i sistemi integrati in prodotti.
Il rinvio non deve però essere interpretato come un rallentamento della compliance.
Al contrario, offre alle organizzazioni un tempo utile per costruire un sistema di governo dell’IA proporzionato, documentato e integrato nei processi aziendali.
Per le imprese e per le pubbliche amministrazioni, il primo passo è l’assessment.
Occorre individuare quali sistemi di IA sono già utilizzati, quali sono in fase di sperimentazione, quali processi coinvolgono, quali rischi generano e quali controlli sono già presenti.
Solo a partire da questa mappatura sarà possibile valutare l’eventuale qualificazione high-risk, definire ruoli e responsabilità, aggiornare policy interne, procedure di acquisto, presidi privacy, misure di cybersecurity e sistemi di controllo.
L’AI Act conferma così un principio ormai centrale: l’Intelligenza Artificiale non può essere governata soltanto come tecnologia.
Deve essere governata come componente dell’assetto organizzativo, del sistema di controllo interno e della responsabilità complessiva dell’ente.
Newsletter Paradigma
Ricevete i prossimi aggiornamenti su Data protection
Novità normative, nuove iniziative e approfondimenti della redazione, nella vostra casella. Potete cancellarvi in qualsiasi momento.
