AI Act 2 dicembre 2027: come capire se sei un deployer ad alto rischio (e i 3 documenti da preparare)
Guida pratica per freelancer e PMI che usano AI nel lavoro: scopri se rientri nell'Annex III e cosa fare concretamente entro il 2 dicembre 2027.
--- Dal 2 dicembre 2027, tra 500 giorni, entrano in vigore gli obblighi documentali dell'AI Act per chi usa AI in categorie ad alto rischio. Prima di capire cosa fare, serve capire se sei nel perimetro.
Sei un provider o un deployer?
L'AI Act divide chi usa l'AI in due categorie:
- I provider: chi sviluppa o mette sul mercato un sistema AI
- I deployer: chi usa un sistema AI di terzi nel proprio contesto professionale
Se usi Claude, Copilot, Gemini o qualsiasi modello AI nel lavoro, per scrivere documenti, analizzare dati, gestire candidati o valutare clienti, sei un deployer.
La domanda concreta non è se usi AI. La domanda è: la usi in un contesto ad alto rischio secondo l'Annex III?
Le 8 categorie Annex III
Dal 2 dicembre 2027 scattano gli obblighi documentali per chi usa AI in queste aree:
- Biometria: riconoscimento facciale, analisi emotiva, classificazione per caratteristiche fisiche
- Infrastrutture critiche: reti idriche, energetiche, di trasporto
- Istruzione e formazione: sistemi che determinano l'accesso a percorsi formativi o le valutazioni
- Lavoro e HR: screening CV, recruitment, performance management, licenziamento
- Servizi essenziali: scoring creditizio, valutazione assicurativa, accesso a prestiti
- Forze dell'ordine: valutazione rischio criminale, analisi predittiva
- Immigrazione e asilo: valutazione domande di visto
- Giustizia: assistenza in sentenze o profiling processuale
Se sei un freelancer che usa Claude per scrivere contenuti o analizzare documenti, quasi certamente non sei in Annex III. Se usi AI per valutare candidati, fare scoring di clienti o gestire accessi a servizi, stai entrando nel perimetro.
I 3 documenti da preparare
Anche a bassa esposizione, una base documentale minima ti protegge in caso di audit o di richiesta da parte di un cliente.
1) Il registro degli strumenti AI
Un documento con:
- Nome dello strumento
- Fornitore
- Scopo di utilizzo
- Tipo di dati elaborati (personali o di terzi)
- Data di inizio utilizzo
Costo: 30 minuti. Un foglio Google con questi campi risponde a qualsiasi richiesta di trasparenza in 10 secondi.
2) La valutazione del rischio
Una pagina che risponde a:
- Questo strumento elabora dati personali? Come li proteggo?
- Influenza decisioni che impattano persone? Ho supervisione umana?
- Rientra in una categoria Annex III? Ho i documenti richiesti?
Non serve un consulente per iniziare. Bastano risposte scritte e oneste. Se in futuro arriva un audit, hai qualcosa da mostrare.
3) La procedura di supervisione umana
Se l'output dell'AI va verso clienti o influenza decisioni, documenta:
- Chi controlla l'output prima che esca
- Come si segnala un errore dell'AI
- Dove si trovano i log delle operazioni
Anche una procedura informale scritta vale più di nessuna procedura.
Le sanzioni
Per violazioni degli obblighi high-risk, l'AI Act prevede sanzioni fino a 15 milioni di euro o il 3% del fatturato annuo globale (Art. 99 del Regolamento EU 2024/1689).
Il rischio reale per una PMI o un freelancer non è la multa immediata. E' non avere nulla da mostrare se un cliente o un'autorità chiede come gestisci l'AI che usi nei loro confronti.
Come tengo traccia degli aggiornamenti
Ho un tracker automatico sulla Gazzetta Ufficiale italiana che monitora ogni aggiornamento normativo sull'AI Act. Ogni giorno parte un check su tre fonti: se escono nuovi atti rilevanti, ricevo un alert.
Non è un sistema complicato. E' un Apify Actor che gira da solo. Il punto è non dover ricordare di controllare ogni giorno.
Il passo successivo
Se vuoi capire se la tua situazione specifica rientra nell'Annex III e cosa fare concretamente entro il 2 dicembre 2027, l'AI Setup Compliant include il self-check su misura per la tua attività. Parte da 490 euro. ---