L'EU AI Act spiegato per le PMI: si applica alla Sua azienda?

Che cos'è l'EU AI Act?

L'EU AI Act (ufficialmente: Regolamento (UE) 2024/1689) è la prima legge europea completa che disciplina l'uso dell'intelligenza artificiale. È entrato in vigore nell'agosto 2024. La maggior parte degli obblighi si applica a partire dall'agosto 2026.

La legge adotta un approccio basato sul rischio: maggiore è il rischio che un sistema di IA rappresenta per la salute, la sicurezza o i diritti fondamentali, più severi sono i requisiti. Esistono quattro categorie di rischio: rischio inaccettabile (vietato), rischio elevato (requisiti severi), rischio limitato (obblighi di trasparenza) e rischio minimo (nessun obbligo).

A chi si applica l'EU AI Act?

La legge si rivolge a quattro tipi di soggetti:

Fornitori (provider) — aziende che sviluppano sistemi di IA e li immettono sul mercato. Si pensi a una software house che vende uno strumento di IA.

Utilizzatori (deployer) — aziende che utilizzano sistemi di IA sviluppati da altri nei propri processi aziendali. Si pensi a un ufficio HR che utilizza uno strumento di IA per lo screening dei CV.

Importatori e distributori — aziende che importano sistemi di IA da paesi terzi o li rivendono all'interno dell'UE.

Produttori di prodotti con IA integrata — si pensi a un costruttore di macchinari che integra una funzione di sicurezza basata sull'IA.

Se la Sua azienda non rientra in nessuna di queste categorie — non utilizza l'IA, non sviluppa l'IA e non vende prodotti con IA integrata — allora non Le si applica alcun obbligo ai sensi dell'EU AI Act.

L'EU AI Act si applica alla mia PMI?

Nella maggior parte dei casi, non direttamente. Un'impresa di installazioni, un'impresa edile, un trasportatore o un produttore che non sviluppa né vende sistemi di IA esula dall'ambito diretto della legge.

Ma esistono tre situazioni in cui l'EU AI Act può comunque riguardarLa:

Situazione 1 — Utilizza l'IA per decisioni sulle persone. Se impiega l'IA per decisioni sul personale (selezione, valutazione, licenziamento), per la valutazione del credito dei clienti o per valutazioni di sicurezza sul luogo di lavoro, ciò può rientrare nella categoria ad alto rischio. È allora un utilizzatore (deployer) con obblighi: trasparenza verso le persone interessate, sorveglianza umana e registrazione delle decisioni dell'IA.

Situazione 2 — Il Suo cliente richiede una dichiarazione ai sensi dell'AI Act. Se fornisce software o servizi tecnologici a un grande cliente che è a sua volta un utilizzatore di IA ad alto rischio, tale cliente può — attraverso la due diligence della propria catena di fornitura — chiederLe se i Suoi prodotti o servizi contengono IA e, in tal caso, a quale livello di rischio. Questo è paragonabile al modo in cui la CSRD trasmette le domande sulla sostenibilità lungo la catena.

Situazione 3 — Sviluppa funzionalità di IA nel Suo prodotto. Se la Sua azienda produce software e vi aggiunge l'IA — anche come piccola funzionalità — è un fornitore (provider) ai sensi della legge. Si applicano allora obblighi di documentazione tecnica, una valutazione della conformità per i sistemi ad alto rischio e la registrazione nella banca dati dell'UE.

Per la stragrande maggioranza delle PMI olandesi ed europee, la situazione 1, 2 o 3 non si applica. Un lattoniere, un elettricista o un grossista di materiali edili esula dall'ambito diretto.

Cosa sono le applicazioni di IA ad alto rischio?

L'Allegato III dell'EU AI Act elenca le applicazioni ad alto rischio. Per le PMI, le categorie più rilevanti sono:

Occupazione e gestione del personale — IA che effettua lo screening dei candidati, valuta le prestazioni, fornisce consulenza sulle promozioni o supporta la risoluzione dei contratti. Se utilizza uno strumento HR che impiega l'IA per queste decisioni, la Sua azienda è un utilizzatore di IA ad alto rischio.

Accesso all'istruzione e alla formazione professionale — IA che determina l'ammissione a un corso o valuta i risultati di apprendimento.

Componenti di sicurezza dei prodotti — IA in macchinari, veicoli o dispositivi medici che già rientrano nella normativa di sicurezza esistente.

Infrastrutture critiche — IA nelle reti energetiche, idriche o di trasporto.

Se il Suo utilizzo dell'IA non rientra in queste categorie — come un chatbot sul Suo sito web, un correttore ortografico o un sistema di raccomandazione dei prodotti — ha a che fare con un rischio minimo o limitato. Il rischio minimo non comporta alcun obbligo. Il rischio limitato comporta solo un obbligo di trasparenza: gli utenti devono sapere che stanno interagendo con un'IA.

Applicazioni di IA vietate — cosa non può mai fare

Indipendentemente dalle dimensioni dell'azienda, alcune applicazioni di IA sono vietate dal 2 febbraio 2025:

Social scoring — sistemi di IA che assegnano alle persone un punteggio generale basato sul comportamento e utilizzano tale punteggio per svantaggiarle in contesti non correlati.

Identificazione biometrica in tempo reale negli spazi pubblici — riconoscimento facciale per strada o nei negozi a fini di identificazione (con limitate eccezioni per le forze dell'ordine).

IA manipolativa — sistemi che influenzano gli utenti in modo subliminale in una maniera dannosa per i loro interessi.

Sfruttamento di gruppi vulnerabili — IA che sfrutta deliberatamente le vulnerabilità di bambini, anziani o persone con disabilità.

Per la maggior parte delle PMI, questi divieti non sono rilevanti per l'operatività quotidiana.

Cosa dovrebbe fare ora, in termini pratici?

Per la maggior parte delle PMI la risposta è semplice: faccia un inventario di quali strumenti di IA utilizza e per quale scopo.

Passo 1 — Faccia un elenco degli strumenti di IA in uso. Si pensi a: ChatGPT o strumenti analoghi per il lavoro sui testi, funzionalità di IA nel Suo software di contabilità, strumenti di screening dei CV, chatbot sul Suo sito web, sistemi di raccomandazione nel Suo negozio online.

Passo 2 — Valuti l'utilizzo. Utilizza questi strumenti per decisioni sulle persone (personale, clienti)? Allora è necessario un esame più approfondito. Li utilizza solo come supporto alla produttività (scrivere, tradurre, riassumere testi)? Allora rientra nella categoria a rischio minimo e non ci sono obblighi.

Passo 3 — Documenti la Sua conclusione. Anche se conclude che l'EU AI Act non si applica, è saggio documentare brevemente tale conclusione. Se il Suo cliente dovesse mai chiederlo, può dare una risposta chiara.

Passo 4 — Segua gli sviluppi. L'EU AI Act è nuovo e la sua applicazione pratica verrà ulteriormente definita nei prossimi anni attraverso atti delegati e linee guida dell'Ufficio europeo per l'IA. Ne tenga traccia se impiega l'IA in modo strutturale.

verified.supply L'aiuta a mantenere in ordine il Suo profilo di conformità — per la sostenibilità (standard VS), i diritti umani (CSDDD) e la cybersicurezza (NIS2). L'EU AI Act si colloca al di fuori della nostra piattaforma perché non è un obbligo di rendicontazione della catena di fornitura, ma La teniamo comunque informato sulla normativa rilevante.

E se il mio cliente richiede una dichiarazione ai sensi dell'AI Act?

Se un grande cliente Le chiede di dimostrare che i Suoi prodotti o servizi sono conformi all'EU AI Act, esistono due scenari:

Scenario A — Non fornisce sistemi di IA. È sufficiente una breve dichiarazione scritta: «I nostri prodotti e servizi non contengono sistemi di IA ai sensi del Regolamento (UE) 2024/1689. Non siamo un fornitore né un utilizzatore di sistemi di IA che rientrano nell'ambito dell'EU AI Act».

Scenario B — Fornisce funzionalità di IA. Allora, come fornitore (provider), ha degli obblighi: documentazione tecnica, una valutazione della conformità (per l'alto rischio) e la registrazione nella banca dati dell'UE per i sistemi ad alto rischio. Per questo scenario, consulti un consulente legale specializzato in normativa UE.

L'EU AI Act segue una logica paragonabile alla CSDDD: le grandi aziende devono mappare la propria catena e possono quindi rivolgere domande ai propri fornitori. Ma, a differenza di CSRD e CSDDD, non è stato definito alcun formato di rendicontazione standardizzato per i fornitori. Questo rende una semplice dichiarazione scritta la soluzione più pratica per ora.