AI Act in azienda: come classificare gli algoritmi che sviluppi e i tool che adotti.
Sull'AI Act è stato scritto molto: scadenze, rinvii, il Digital Omnibus che ha spostato al 2027 e al 2028 gli obblighi più pesanti sui sistemi ad alto rischio. Se lavori in produzione, in R&S o stai portando l'AI dentro la tua azienda, probabilmente hai già letto queste date almeno una volta. La domanda che conta davvero, però, non è quando scatta un obbligo, ma a quale categoria appartiene il sistema che stai costruendo — o che stai per adottare.
Se stai sviluppando un algoritmo
Non tutta l'AI applicata alla produzione pesa allo stesso modo:
- Ottimizzazione di processo, manutenzione predittiva, controllo qualità automatizzato — se il sistema lavora su dati di macchina e non prende decisioni su persone, resta nell'area a rischio minimo. Gli obblighi sono già gestibili con una buona documentazione tecnica.
- Gestione o monitoraggio dei lavoratori — scoring delle performance, allocazione turni, sistemi di selezione: qui si rientra nell'Allegato III, categoria "occupazione". Il rinvio al 2 dicembre 2027 è reale, ma progettare oggi senza tenerne conto significa dover rifare il lavoro domani.
- Componenti di sicurezza integrati in un macchinario — visione artificiale collegata a un arresto di emergenza, per esempio — ricadono nell'Allegato I, con applicazione fissata al 2 agosto 2028, e si intrecciano con la Direttiva Macchine e con il Cyber Resilience Act (di cui abbiamo parlato di recente sul blog).
- Tool costruiti sopra modelli fondazionali (GPAI) — chatbot interni, assistenti di produzione, sistemi RAG — hanno obblighi di trasparenza e documentazione già attivi dall'agosto 2025, indipendentemente da tutto il resto.
Classificare il proprio sistema prima di scriverne una riga di codice è, oggi, parte del lavoro tanto quanto la scelta dell'architettura.
Se stai introducendo l'AI in azienda
Chi adotta strumenti di AI — anche acquistati da terzi, anche "solo" un gestionale con moduli predittivi — non è esonerato. Come utilizzatore, il Regolamento chiede comunque di:
- garantire un livello adeguato di alfabetizzazione AI a chi usa questi strumenti (obbligo già attivo);
- informare in modo riconoscibile le persone che interagiscono con un sistema di AI, quando previsto (obbligo attivo dal 2 agosto 2026);
- verificare, insieme al fornitore, in quale categoria di rischio ricade lo strumento che si sta introducendo — non è una domanda che si può delegare del tutto a chi lo ha costruito.
È il punto in cui molte PMI si scoprono meno "esonerate" di quanto pensassero: non serve sviluppare AI in casa per avere responsabilità da gestire.
Un tema, due competenze che si intrecciano
Per un centro che fa ricerca applicata, sviluppa strumenti AI ad hoc e allo stesso tempo affianca le imprese nell'introdurli, l'AI Act non è terreno per soli legali: è una variabile di progetto, da mettere sul tavolo insieme a dati, algoritmi e casi d'uso fin dalla fase di sviluppo. È lo stesso approccio con cui affrontiamo la tracciabilità dei dati di prodotto con il Digital Product Passport: non norme da subire a fine progetto, ma requisiti da progettare fin dall'inizio.
