AI Act, Allegato III: quando un uso è ad alto rischio

L'etichetta alto rischio spaventa, ma riguarda un perimetro preciso. Non dipende da quanto è potente il modello né da quanto costa lo strumento: dipende da cosa ci fai.

Lo stesso modello linguistico che riassume i verbali è a rischio minimo; se lo colleghi a un flusso che scarta i candidati, entra nella categoria più regolata. Per una PMI capire da che parte sta ogni strumento è il primo passo, perché da lì dipendono gli obblighi successivi e le domande da fare al fornitore.

Cosa dice la norma

Il regolamento considera ad alto rischio due gruppi di sistemi ². Il primo sono i sistemi di AI che fanno da componente di sicurezza in prodotti già regolati da norme europee, come macchine, giocattoli o ascensori. Il secondo è l'elenco dell'Allegato III, che individua ambiti d'uso sensibili.

Tra gli ambiti dell'Allegato III ci sono la biometria, le infrastrutture critiche, l'istruzione e la formazione professionale, l'occupazione e la gestione dei lavoratori, l'accesso a servizi essenziali come il credito e alcune assicurazioni, oltre ad ambiti pubblici come polizia, migrazione e giustizia ². Per una PMI i casi più probabili sono il personale e, per chi fa formazione, la valutazione di allievi e corsisti.

Il regolamento prevede anche che un sistema dell'elenco possa non essere considerato ad alto rischio quando svolge un compito procedurale limitato e non incide in modo rilevante sulla decisione ². È una valutazione da motivare e documentare, non da dare per scontata. Gli obblighi più pesanti, cioè gestione del rischio, documentazione tecnica e verifica di conformità, sono del fornitore. Chi usa il sistema ha obblighi propri, più leggeri ma reali.

A chi si applica

• Imprese che usano software per selezionare curriculum, assegnare turni o compiti, valutare prestazioni o decidere promozioni e licenziamenti.
• Enti di formazione e scuole private che usano l'AI per ammissioni, valutazioni o sorveglianza degli esami.
• Chi usa l'AI per valutare il merito di credito delle persone o per i rischi e i prezzi di alcune assicurazioni.
• Produttori di macchine o dispositivi che integrano componenti di sicurezza basati su AI.

Da quando

Secondo la Commissione europea, gli obblighi per i sistemi dell'Allegato III si applicano dal 2 dicembre 2027, e quelli per l'AI dentro prodotti già regolati dal 2 agosto 2028 ¹. In origine dovevano scattare nell'agosto 2026 ², e il rinvio è arrivato con il Regolamento (UE) 2026/1744, l'Omnibus digitale sull'IA, pubblicato il 24 luglio 2026 e in vigore dal 27 luglio 2026 ^{1, 4}. Il tempo in più serve a scegliere bene gli strumenti, non a rimandare la mappatura.

Cosa fare in pratica

1. Per ogni strumento di AI scrivi in una riga a quale decisione contribuisce e su quali persone.
2. Confronta l'elenco con gli ambiti dell'Allegato III, a partire da personale e formazione.
3. Per gli strumenti che rientrano chiedi al fornitore come li classifica e quale documentazione fornirà.
4. Stabilisci chi, in azienda, supervisiona le decisioni e con quale potere di correggerle.
5. Se il fornitore sostiene che il suo sistema è escluso, fatti dare la motivazione per iscritto.

Gli errori da evitare

• Giudicare il rischio dalla tecnologia e non dall'uso.
• Pensare che un piccolo software di screening dei CV sia escluso perché l'azienda è piccola.
• Considerare il rinvio come una cancellazione degli obblighi.
• Lasciare che il sistema decida da solo, senza una persona che possa intervenire.

Le altre norme spiegate senza burocratese sono in Regole.