La classificazione del rischio dell'EU AI Act spiegata: cosa ogni team di compliance deve sapere nel 2025

Questi sistemi di IA sono vietati in modo assoluto. Non esiste alcun percorso di conformità , se ne stai implementando uno, la tua unica opzione legale è interromperlo. La sanzione per la violazione è la più elevata della regolamentazione: fino a 35 milioni di euro o al 7% del fatturato globale annuo.

Cosa attiva la classificazione di rischio inaccettabile:

• Sistemi di punteggio sociale da parte di autorità pubbliche che valutano o classificano gli individui in base al comportamento sociale o alle caratteristiche della personalità, portando a un trattamento pregiudizievole sproporzionato rispetto al contesto
• Identificazione biometrica remota in tempo reale in spazi accessibili al pubblico per finalità di contrasto (con eccezioni ristrette per specifici reati gravi, soggette a previa autorizzazione giudiziaria)
• Sistemi di IA che impiegano tecniche subliminali, manipolative o ingannevoli per distorcere materialmente il comportamento in modo da causare o poter causare un danno significativo
• Sistemi di IA che sfruttano le vulnerabilità di gruppi specifici , età, disabilità, situazione sociale o economica , per distorcere materialmente il comportamento causando un danno significativo
• Sistemi di riconoscimento delle emozioni nei luoghi di lavoro e negli istituti scolastici (salvo per finalità mediche o di sicurezza)
• Scraping non mirato di immagini facciali da internet o da filmati di videosorveglianza per creare o ampliare banche dati di riconoscimento facciale
• Sistemi di categorizzazione biometrica che classificano gli individui sulla base di dati biometrici per dedurre razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o orientamento sessuale (salvo i dati biometrici acquisiti lecitamente in contesti di contrasto)

EU AI Act, articolo 5 , Pratiche di intelligenza artificiale vietate, testo consolidato finale adottato a giugno 2024

È qui che risiede la maggior parte della complessità operativa. I sistemi di IA ad alto rischio sono consentiti, ma comportano estesi requisiti di documentazione, test, monitoraggio e supervisione umana. La non conformità comporta sanzioni fino a 15 milioni di euro o al 3% del fatturato globale annuo. Per le organizzazioni multi-entità la sfida si moltiplica: filiali diverse possono implementare lo stesso tipo di sistema in condizioni differenti, ciascuna delle quali richiede una valutazione di conformità indipendente.

Categorie ad alto rischio ai sensi dell'Allegato III (le più rilevanti per le imprese):

• Identificazione e categorizzazione biometrica delle persone fisiche (oltre alle categorie vietate sopra indicate)
• Gestione e funzionamento di infrastrutture critiche . sistemi di IA utilizzati come componenti di sicurezza nel traffico stradale e nella fornitura di acqua, gas, riscaldamento ed elettricità
• Istruzione e formazione professionale . IA utilizzata per determinare l'accesso all'istruzione, valutare i risultati dell'apprendimento, valutare il livello di istruzione appropriato o monitorare comportamenti vietati durante gli esami
• Occupazione, gestione dei lavoratori e accesso al lavoro autonomo . IA utilizzata per il reclutamento, gli annunci di lavoro, la selezione o il filtraggio delle candidature, la valutazione dei candidati, le decisioni di promozione o licenziamento, l'assegnazione di compiti in base al comportamento o ai tratti individuali e il monitoraggio/valutazione delle prestazioni dei lavoratori
• Accesso a servizi essenziali . IA utilizzata nella valutazione del merito creditizio, nella valutazione del rischio e nella tariffazione nelle assicurazioni vita e malattia, nella valutazione e classificazione delle chiamate di emergenza, nella valutazione dell'idoneità a prestazioni e servizi pubblici
• Attività di contrasto . IA utilizzata per valutazioni del rischio individuale, poligrafi, rilevamento di deepfake come prove, valutazione dell'attendibilità delle prove, previsione di reati sulla base della profilazione
• Migrazione, asilo e controllo delle frontiere . IA utilizzata nel trattamento delle domande, nella valutazione dei rischi per la sicurezza, nell'esame dei documenti di viaggio
• Amministrazione della giustizia e processi democratici . IA utilizzata per assistere le autorità giudiziarie nella ricerca e nell'interpretazione dei fatti e del diritto

Obblighi di conformità per i sistemi di IA ad alto rischio:

• Sistema di gestione del rischio , stabilire, attuare, documentare e mantenere un processo continuo di gestione del rischio per l'intero ciclo di vita del sistema di IA
• Governance dei dati , i set di dati di addestramento, convalida e test devono soddisfare criteri di qualità tra cui pertinenza, rappresentatività, completezza e adeguatezza statistica
• Documentazione tecnica , documentazione dettagliata prima dell'immissione sul mercato del sistema, mantenuta aggiornata e sufficiente affinché le autorità possano valutare la conformità
• Conservazione delle registrazioni , registrazione automatica degli eventi (log) per tutta la durata del sistema, che consente la tracciabilità del funzionamento del sistema
• Trasparenza e informazioni ai deployer , fornire istruzioni d'uso chiare, comprendenti la finalità prevista del sistema, il livello di accuratezza, i limiti noti e le circostanze di uso improprio prevedibile
• Supervisione umana , progettata per consentire un'effettiva supervisione da parte di persone fisiche durante l'uso, inclusa la capacità di comprendere appieno le capacità e i limiti del sistema di IA, interpretare correttamente l'output e decidere di non utilizzare il sistema o di scavalcarne l'output
• Accuratezza, robustezza e cibersicurezza , livelli adeguati devono essere raggiunti e mantenuti per l'intero ciclo di vita
• Valutazione della conformità , prima dell'implementazione, a seconda del tipo di sistema
• Registrazione nella banca dati dell'UE , i sistemi di IA ad alto rischio devono essere registrati nella banca dati dell'UE prima dell'immissione sul mercato
• Monitoraggio successivo all'immissione sul mercato , i fornitori devono stabilire e documentare un sistema di monitoraggio successivo all'immissione sul mercato proporzionato alla natura e al rischio del sistema

EU AI Act, articoli 6-15 (classificazione e requisiti per l'alto rischio), Allegato III (aree ad alto rischio elencate), testo consolidato finale

I sistemi di IA a rischio limitato non sono soggetti agli onerosi requisiti di documentazione e supervisione dei sistemi ad alto rischio, ma comportano specifici obblighi di trasparenza. Il principio fondamentale: le persone che interagiscono con un'IA devono sapere di interagire con un'IA. Questo livello comprende gran parte dei sistemi di IA che le organizzazioni implementano oggi, inclusi la maggior parte dei chatbot, gli strumenti di generazione di contenuti e le applicazioni di media sintetici.

Cosa rientra nel rischio limitato:

• Sistemi di IA progettati per interagire direttamente con persone fisiche (chatbot, assistenti virtuali, agenti di servizio clienti basati sull'IA) , devono indicare chiaramente di essere guidati dall'IA, salvo che ciò sia evidente dal contesto
• Sistemi di IA che generano o manipolano contenuti di immagini, audio o video (deepfake, media sintetici, immagini generate dall'IA) , l'output deve essere leggibile meccanicamente come generato o manipolato artificialmente
• Sistemi di IA che generano testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico , devono essere etichettati come generati artificialmente, salvo che siano stati sottoposti a revisione editoriale da parte di una persona
• Sistemi di riconoscimento delle emozioni e sistemi di categorizzazione biometrica (laddove non vietati ai sensi del Livello 1) , devono informare le persone esposte del funzionamento del sistema e trattare i dati personali in conformità con il GDPR

Obblighi di conformità:

• Informativa , i fornitori devono garantire che i sistemi di IA destinati all'interazione diretta con le persone siano progettati in modo che gli individui siano informati di interagire con un sistema di IA, salvo che ciò sia evidente dalle circostanze e dal contesto d'uso
• Etichettatura dei contenuti sintetici , i fornitori di sistemi di IA che generano contenuti sintetici audio, immagine, video o testo devono garantire che gli output siano contrassegnati in un formato leggibile meccanicamente come generati o manipolati artificialmente
• Obblighi dei deployer per i deepfake , i deployer devono indicare che il contenuto è stato generato o manipolato artificialmente quando costituisce un deepfake, salvo per finalità artistiche, satiriche o di finzione con adeguate garanzie

EU AI Act, articolo 50 , Obblighi di trasparenza per i fornitori e i deployer di determinati sistemi di IA, testo consolidato finale

La stragrande maggioranza dei sistemi di IA in uso oggi rientra in questo livello. Videogiochi abilitati all'IA, filtri antispam, sistemi di gestione dell'inventario, algoritmi di ricerca basati sull'IA, ottimizzazione della produzione assistita dall'IA , sono tutti a rischio minimo. L'EU AI Act non impone alcun obbligo normativo specifico ai sistemi di IA a rischio minimo, oltre a incoraggiare l'adozione volontaria di codici di condotta.

Esempi di sistemi di IA a rischio minimo:

• Filtri antispam e categorizzazione delle email basati sull'IA
• Videogiochi e applicazioni di intrattenimento abilitati all'IA
• Gestione dell'inventario e ottimizzazione della supply chain basate sull'IA
• Motori di ricerca e raccomandazione basati sull'IA (quando non utilizzati in contesti ad alto rischio come l'occupazione o l'istruzione)
• Controllo qualità e ottimizzazione dei processi di produzione assistiti dall'IA
• Strumenti di traduzione linguistica basati sull'IA (quando non generano contenuti rivolti al pubblico)
• Robotic process automation (RPA) con componenti di IA per attività amministrative di routine

Cosa significa realmente "nessun obbligo specifico":

• Nessun obbligo di documentazione, valutazione della conformità o registrazione ai sensi dell'AI Act
• La Commissione europea incoraggia (ma non impone) ai fornitori di IA a rischio minimo di applicare volontariamente i principi dell'IA affidabile e di aderire a codici di condotta volontari
• Si applicano comunque altre normative . il GDPR, le normative settoriali, le regole sulla sicurezza dei prodotti e il diritto del lavoro continuano a disciplinare questi sistemi indipendentemente dall'AI Act
• La classificazione può cambiare , se un sistema a rischio minimo viene riconvertito per un caso d'uso ad alto rischio (ad esempio, adattando un'IA di ottimizzazione dell'inventario al monitoraggio delle prestazioni dei dipendenti), ciò attiva una riclassificazione

EU AI Act, articolo 95 , Codici di condotta per l'applicazione volontaria, considerando 28 , approccio basato sul rischio, testo consolidato finale