Una guida chiara ai sistemi di IA ad alto rischio previsti dall’Allegato III del Regolamento UE 2024/1689, noto come AI Act: biometria, lavoro, istruzione, servizi essenziali, giustizia e processi democratici.

Il Regolamento (UE) 2024/1689, noto come AI Act, stabilisce regole armonizzate sull’intelligenza artificiale nell’Unione europea. Il testo è stato pubblicato nella Gazzetta ufficiale dell’Unione europea il 12 luglio 2024 ed è entrato in vigore il 1° agosto 2024.

L’obiettivo del regolamento è creare un quadro comune per lo sviluppo, l’immissione sul mercato e l’uso dei sistemi di IA, tutelando salute, sicurezza e diritti fondamentali.

L’AI Act adotta un approccio basato sul rischio. Non tutti i sistemi di intelligenza artificiale sono trattati allo stesso modo: alcuni presentano rischi minimi, altri sono soggetti a obblighi di trasparenza, altri ancora sono considerati ad alto rischio, mentre alcune pratiche sono vietate perché ritenute incompatibili con i diritti fondamentali

Cosa significa “sistema di IA ad alto rischio”?

Un sistema di IA “ad alto rischio” non è necessariamente vietato. Significa, piuttosto, che il suo utilizzo può incidere in modo rilevante sulla vita delle persone: accesso al lavoro, all’istruzione, al credito, ai servizi pubblici, alla giustizia o alla partecipazione democratica.

Per questo motivo, i sistemi ad alto rischio devono rispettare requisiti rafforzati, tra cui gestione dei rischi, qualità dei dati, documentazione tecnica, registrazione dei log, informazioni chiare agli utilizzatori, supervisione umana, accuratezza, robustezza e cybersicurezza.

L’articolo 6 dell’AI Act prevede due grandi categorie di sistemi ad alto rischio: quelli collegati a prodotti soggetti a specifica normativa UE e quelli elencati nell’Allegato III. Per i sistemi dell’Allegato III esiste però una possibile deroga: un sistema può non essere considerato ad alto rischio se non comporta un rischio significativo per salute, sicurezza o diritti fondamentali e se ricorrono determinate condizioni. Tuttavia, quando il sistema effettua profilazione di persone fisiche, resta sempre considerato ad alto rischio.

Perché l’elenco riportato nell’allegato III è importante per imprese, enti pubblici e professionisti?

L’Allegato III è una mappa pratica dei contesti in cui l’IA può incidere su diritti, opportunità e decisioni fondamentali. Per aziende, pubbliche amministrazioni, scuole, banche, assicurazioni, datori di lavoro e fornitori tecnologici, il primo passaggio è capire se un sistema di IA rientra in uno di questi ambiti.

Una valutazione corretta dovrebbe partire da tre domande:

1. Qual è la finalità prevista del sistema di IA?
   La classificazione dipende dall’uso previsto, non solo dalla tecnologia utilizzata.
2. Il sistema rientra in uno degli ambiti dell’Allegato III?
   Se sì, va analizzato come potenziale sistema ad alto rischio.
3. Il sistema incide concretamente su decisioni o diritti delle persone?
   L’articolo 6 prevede una possibile esclusione per alcuni sistemi che non comportano un rischio significativo, ma il fornitore deve documentare la valutazione prima dell’immissione sul mercato o della messa in servizio.

Scadenze applicative

L’AI Act si applica progressivamente. Le pratiche vietate e gli obblighi di alfabetizzazione sull’IA sono entrati in applicazione dal 2 febbraio 2025, mentre le regole sui modelli di IA per finalità generali sono diventate applicabili dal 2 agosto 2025.

Per i sistemi ad alto rischio, è opportuno monitorare gli aggiornamenti ufficiali. A seguito dell’accordo politico sull’AI Omnibus, la Commissione europea ha indicato una nuova tempistica per alcune regole sui sistemi ad alto rischio: 2 dicembre 2027 per sistemi usati in specifiche aree ad alto rischio e 2 agosto 2028 per sistemi integrati in prodotti come ascensori o giocattoli.

Per concludere

L’Allegato III dell’AI Act è uno dei passaggi più importanti del nuovo quadro europeo sull’intelligenza artificiale. Non si limita a disciplinare la tecnologia in astratto, ma guarda agli effetti concreti dell’IA nei contesti in cui le decisioni automatizzate possono incidere su diritti, libertà e opportunità delle persone.

Per chi sviluppa, acquista o utilizza sistemi di IA, il messaggio è chiaro: prima di adottare uno strumento, occorre comprenderne la finalità, il contesto d’uso e l’impatto sulle persone. Nei settori elencati dall’Allegato III, l’innovazione resta possibile, ma deve essere accompagnata da trasparenza, responsabilità, controllo umano e gestione documentata dei rischi.

Avvertenza: questo articolo ha finalità informative e non sostituisce una valutazione legale e/o tecnica

Questo post è stato scritto con il supporto del Ragionamento PRO di CHAT GPT 5.5

---

Testo fedele all’allegato III del Regolamento:

ALLEGATO III

Sistemi di IA ad alto rischio di cui all’articolo 6, paragrafo 2

I sistemi di IA ad alto rischio a norma dell’articolo 6, paragrafo 2, sono i sistemi di IA elencati in uno dei settori indicati di seguito.

1.

Biometria, nella misura in cui il pertinente diritto dell’Unione o nazionale ne permette l’uso: a) i sistemi di identificazione biometrica remota. Non vi rientrano i sistemi di IA destinati a essere utilizzati per la verifica biometrica la cui unica finalità è confermare che una determinata persona fisica è la persona che dice di essere; b) i sistemi di IA destinati a essere utilizzati per la categorizzazione biometrica in base ad attributi o caratteristiche sensibili protetti basati sulla deduzione di tali attributi o caratteristiche; c) i sistemi di IA destinati a essere utilizzati per il riconoscimento delle emozioni.

2.	Infrastrutture critiche: i sistemi di IA destinati a essere utilizzati come componenti di sicurezza nella gestione e nel funzionamento delle infrastrutture digitali critiche, del traffico stradale o nella fornitura di acqua, gas, riscaldamento o elettricità.

3.

Istruzione e formazione professionale: a) i sistemi di IA destinati a essere utilizzati per determinare l’accesso, l’ammissione o l’assegnazione di persone fisiche agli istituti di istruzione e formazione professionale a tutti i livelli; b) i sistemi di IA destinati a essere utilizzati per valutare i risultati dell’apprendimento, anche nei casi in cui tali risultati sono utilizzati per orientare il processo di apprendimento di persone fisiche in istituti di istruzione o formazione professionale a tutti i livelli; c) i sistemi di IA destinati a essere utilizzati per valutare il livello di istruzione adeguato che una persona riceverà o a cui potrà accedere, nel contesto o all’interno di istituti di istruzione o formazione professionale a tutti i livelli; d) i sistemi di IA destinati a essere utilizzati per monitorare e rilevare comportamenti vietati degli studenti durante le prove nel contesto o all’interno di istituti di istruzione e formazione professionale a tutti i livelli.

4.

Occupazione, gestione dei lavoratori e accesso al lavoro autonomo: a) i sistemi di IA destinati a essere utilizzati per l’assunzione o la selezione di persone fisiche, in particolare per pubblicare annunci di lavoro mirati, analizzare o filtrare le candidature e valutare i candidati; b) i sistemi di IA destinati a essere utilizzati per adottare decisioni riguardanti le condizioni dei rapporti di lavoro, la promozione o cessazione dei rapporti contrattuali di lavoro, per assegnare compiti sulla base del comportamento individuale o dei tratti e delle caratteristiche personali o per monitorare e valutare le prestazioni e il comportamento delle persone nell’ambito di tali rapporti di lavoro.

5.

Accesso a servizi privati essenziali e a prestazioni e servizi pubblici essenziali e fruizione degli stessi: a) i sistemi di IA destinati a essere utilizzati dalle autorità pubbliche o per conto di autorità pubbliche per valutare l’ammissibilità delle persone fisiche alle prestazioni e ai servizi di assistenza pubblica essenziali, compresi i servizi di assistenza sanitaria, nonché per concedere, ridurre, revocare o recuperare tali prestazioni e servizi; b) i sistemi di IA destinati a essere utilizzati per valutare l’affidabilità creditizia delle persone fisiche o per stabilire il loro merito di credito, a eccezione dei sistemi di IA utilizzati allo scopo di individuare frodi finanziarie; c) i sistemi di IA destinati a essere utilizzati per la valutazione dei rischi e la determinazione dei prezzi in relazione a persone fisiche nel caso di assicurazioni sulla vita e assicurazioni sanitarie; d) i sistemi di IA destinati a essere utilizzati per valutare e classificare le chiamate di emergenza effettuate da persone fisiche o per inviare servizi di emergenza di primo soccorso o per stabilire priorità in merito all’invio di tali servizi, compresi polizia, vigili del fuoco e assistenza medica, nonché per i sistemi di selezione dei pazienti per quanto concerne l’assistenza sanitaria di emergenza;

6.

Attività di contrasto, nella misura in cui il pertinente diritto dell’Unione o nazionale ne permette l’uso: a) i sistemi di IA destinati a essere utilizzati dalle autorità di contrasto o per loro conto, oppure da istituzioni, organi e organismi dell’Unione a sostegno delle autorità di contrasto o per loro conto, per determinare il rischio per una persona fisica di diventare vittima di reati; b) i sistemi di IA destinati a essere utilizzati dalle autorità di contrasto o per loro conto, oppure da istituzioni, organi e organismi dell’Unione a sostegno delle autorità di contrasto, come poligrafi e strumenti analoghi; c) i sistemi di IA destinati a essere utilizzati dalle autorità di contrasto o per loro conto, oppure da istituzioni, organi e organismi dell’Unione a sostegno delle autorità di contrasto per valutare l’affidabilità degli elementi probatori nel corso delle indagini o del perseguimento di reati; d) i sistemi di IA destinati a essere utilizzati dalle autorità di contrasto o per loro conto, oppure da istituzioni, organi e organismi dell’Unione a sostegno delle autorità di contrasto, per determinare il rischio di commissione del reato o di recidiva in relazione a una persona fisica non solo sulla base della profilazione delle persone fisiche di cui all’articolo 3, paragrafo 4, della direttiva (UE) 2016/680 o per valutare i tratti e le caratteristiche della personalità o il comportamento criminale pregresso di persone fisiche o gruppi; e) i sistemi di IA destinati a essere utilizzati dalle autorità di contrasto o per loro conto, oppure da istituzioni, organi e organismi dell’Unione a sostegno delle autorità di contrasto, per effettuare la profilazione delle persone fisiche di cui all’articolo 3, paragrafo 4, della direttiva (UE) 2016/680 nel corso dell’indagine, dell’accertamento e del perseguimento di reati.

7.

Migrazione, asilo e gestione del controllo delle frontiere, nella misura in cui il pertinente diritto dell’Unione o nazionale ne permette l’uso: a) i sistemi di IA destinati a essere utilizzati dalle autorità pubbliche competenti, o per loro conto, o da istituzioni, organi e organismi dell’Unione, come poligrafi o strumenti analoghi; b) i sistemi di IA destinati a essere utilizzati dalle autorità pubbliche competenti o per loro conto, oppure da istituzioni, organi e organismi dell’Unione, per valutare un rischio (compresi un rischio per la sicurezza, un rischio di migrazione irregolare o un rischio per la salute) posto da una persona fisica che intende entrare o è entrata nel territorio di uno Stato membro; c) i sistemi di IA destinati a essere usati dalle autorità pubbliche competenti o per loro conto, oppure da istituzioni, organi e organismi dell’Unione, per assistere le autorità pubbliche competenti nell’esame delle domande di asilo, di visto o di permesso di soggiorno e per i relativi reclami per quanto riguarda l’ammissibilità delle persone fisiche che richiedono tale status, compresa le valutazioni correlate dell’affidabilità degli elementi probatori; d) i sistemi di IA destinati a essere usati dalle autorità pubbliche competenti o per loro conto, o da istituzioni, organi e organismi dell’Unione, nel contesto della migrazione, dell’asilo o della gestione del controllo delle frontiere, al fine di individuare, riconoscere o identificare persone fisiche, a eccezione della verifica dei documenti di viaggio.

8.

Amministrazione della giustizia e processi democratici: a) i sistemi di IA destinati a essere usati da un’autorità giudiziaria o per suo conto per assistere un’autorità giudiziaria nella ricerca e nell’interpretazione dei fatti e del diritto e nell’applicazione della legge a una serie concreta di fatti, o a essere utilizzati in modo analogo nella risoluzione alternativa delle controversie; b) i sistemi di IA destinati a essere utilizzati per influenzare l’esito di un’elezione o di un referendum o il comportamento di voto delle persone fisiche nell’esercizio del loro voto alle elezioni o ai referendum. Sono esclusi i sistemi di IA ai cui output le persone fisiche non sono direttamente esposte, come gli strumenti utilizzati per organizzare, ottimizzare e strutturare le campagne politiche da un punto di vista amministrativo e logistico.