L'AI Act adotta un approccio basato sul rischio: più un sistema di IA può incidere sulla sicurezza fisica o sui diritti fondamentali delle persone, più stringenti sono gli obblighi previsti. I sistemi ad Alto Rischio sono la categoria centrale del Regolamento — non vietati, ma soggetti a requisiti estesi prima e durante la loro immissione sul mercato o messa in servizio.

Come si diventa "Alto Rischio"

Un sistema di IA rientra in questa categoria in due modi: se è un componente di sicurezza di un prodotto già regolato da normativa di settore (Allegato I — es. dispositivi medici, macchinari, ascensori, giocattoli), oppure se rientra in uno degli ambiti d'uso elencati nell'Allegato III, indipendentemente dal settore industriale dell'azienda.

Gli ambiti dell'Allegato III

  • Biometria — identificazione biometrica remota (dove non vietata), categorizzazione biometrica, riconoscimento delle emozioni.
  • Infrastrutture critiche — componenti di sicurezza nella gestione di reti stradali, idriche, del gas, del riscaldamento, elettriche, e infrastrutture digitali critiche.
  • Istruzione e formazione professionale — decisioni di ammissione, valutazione dei risultati dell'apprendimento, monitoraggio di comportamenti vietati durante i test.
  • Occupazione e gestione dei lavoratori — selezione e reclutamento del personale, decisioni su promozione o cessazione del rapporto, assegnazione di compiti, monitoraggio e valutazione delle prestazioni.
  • Accesso a servizi essenziali — valutazione dell'idoneità a prestazioni pubbliche, credit scoring, valutazione del rischio per polizze vita e salute, gestione delle chiamate di emergenza.
  • Applicazione della legge (law enforcement) — valutazione del rischio di reato, affidabilità delle prove, profilazione nel contesto investigativo.
  • Migrazione, asilo e gestione delle frontiere — esame delle domande, valutazione del rischio, identificazione delle persone.
  • Amministrazione della giustizia e processi democratici — supporto alle autorità giudiziarie nella ricerca e interpretazione di fatti e norme, sistemi che possono influenzare l'esito di elezioni o il comportamento di voto.

Cosa comporta, in pratica

Per il provider di un sistema ad Alto Rischio: gestione del rischio lungo tutto il ciclo di vita, dataset di addestramento di qualità, documentazione tecnica dettagliata, logging automatico, progettazione che consenta sorveglianza umana, registrazione in un database UE prima dell'immissione sul mercato, marcatura CE dopo il superamento della valutazione di conformità.

Per il deployer: uso conforme alle istruzioni, sorveglianza umana concreta, monitoraggio e segnalazione di eventuali rischi al provider, informazione ai lavoratori coinvolti, e — per alcune categorie di deployer (enti pubblici, servizi essenziali, credito, assicurazioni) — una valutazione d'impatto sui diritti fondamentali (FRIA) prima della messa in servizio.

Il primo passo: mappare, non presumere

Molte aziende usano sistemi che rientrano nell'Allegato III senza saperlo, perché li hanno adottati come semplici tool SaaS (es. un software di selezione del personale con funzioni di scoring automatico). Prima di qualunque altra valutazione, vale la pena mappare i sistemi di IA effettivamente in uso e verificare, per ciascuno, se l'ambito d'uso rientra in uno di quelli elencati sopra.