AI Act EU compliance

Onestà: quasi nessuna PMI della Tuscia usa AI "high-risk" — ma quasi tutte, oggi, hanno un chatbot sul sito o pubblicano contenuti generati con l'AI, e per quelli l'obbligo di trasparenza è già in vigore dal 2 agosto 2026. NON sei impattato come high-risk se usi ChatGPT come tool di produttività o hai un chatbot semplice per le FAQ (ma il chatbot deve dichiarare di essere AI). SÌ sei impattato high-risk se: HR screening automatico CV, credit scoring clienti, software sanitario con AI diagnostica, sistemi che influenzano accesso a servizi pubblici/scuola/sanità/lavoro — in quel caso gli obblighi pieni scattano dal 2 dicembre 2027.

Calendario aggiornato dopo il pacchetto UE "Digital Omnibus" (approvato a giugno 2026): 2 febbraio 2025 = divieti sui sistemi a rischio inaccettabile (es. social scoring); 2 agosto 2025 = obblighi per i modelli general-purpose (chi sviluppa LLM grandi); 2 agosto 2026 = obblighi di trasparenza art. 50 (chatbot, deepfake, contenuti AI) — già in vigore; 2 dicembre 2027 = obblighi high-risk Allegato III (HR, credito, istruzione, biometria); 2 agosto 2028 = AI integrata in prodotti già regolamentati, Allegato I (dispositivi medici, macchinari). Le vecchie date "high-risk agosto 2026 / agosto 2027" non valgono più.

Tre verifiche concrete: (1) se hai un chatbot o assistente AI che interagisce con le persone, deve dichiarare di essere un'AI (a meno che non sia evidente); (2) se pubblichi immagini, video, audio o testi generati con l'AI, i contenuti vanno marcati come tali e i deepfake etichettati in modo visibile; (3) se usi AI per decisioni sulle persone (CV, credito, salute), classifica i sistemi e pianifica la conformità verso dicembre 2027 — il rinvio è tempo utile, non un condono.

L'Allegato III del Regolamento elenca 8 categorie: (1) biometria; (2) infrastrutture critiche; (3) educazione/valutazione studenti; (4) occupazione/HR (screening CV, monitoring lavoratori); (5) servizi essenziali pubblici/privati (incluso credit scoring); (6) law enforcement; (7) migrazione/frontiere; (8) giustizia/processi democratici. Categoria 4 e 5 sono le più frequenti per le PMI italiane. Per questi sistemi gli obblighi si applicano dal 2 dicembre 2027.

Tra gli altri: sistema di gestione del rischio documentato; governance dei dati (training set rappresentativi); documentazione tecnica dettagliata; registrazione UE database high-risk; supervisione umana; accuratezza/robustezza/cybersecurity; marcatura CE. È un setup serio: il rinvio a dicembre 2027 è il tempo per farlo bene, senza corse dell'ultimo minuto.

Le violazioni degli obblighi di trasparenza (art. 50) prevedono sanzioni fino a €15 milioni o al 3% del fatturato globale annuo (il tetto massimo dell'AI Act, €35M o 7%, riguarda le pratiche vietate). Per una PMI le sanzioni vengono commisurate al caso, ma il rischio più immediato è un altro: clienti enterprise e partner che chiedono evidenze e non le trovi.

Onestà: noi siamo tecnici IT, non avvocati. Facciamo: assessment tecnico di quali AI usate, classificazione rischio, gap analysis vs requisiti tecnici, setup operativo (DPIA, registro, documentazione tecnica, formazione team). NON facciamo: pareri legali, rappresentanza in cause, redazione contratti vincolanti. Lavoriamo in sinergia col vostro consulente legale o vi indirizziamo a uno specializzato in AI/GDPR.