AI Act 2 dicembre 2027: come capire se sei un deployer ad alto rischio (e i 3 documenti da preparare)

--- Dal 2 dicembre 2027 si applicano gli obblighi dell'AI Act per chi usa AI in categorie ad alto rischio dell'Allegato III. Prima di capire cosa fare, serve capire se sei nel perimetro.

Sei un provider o un deployer?

L'AI Act divide chi usa l'AI in due categorie:

1. I provider: chi sviluppa o mette sul mercato un sistema AI
2. I deployer: chi usa un sistema AI di terzi nel proprio contesto professionale

Se usi Claude, Copilot, Gemini o qualsiasi modello AI nel lavoro, per scrivere documenti, analizzare dati, gestire candidati o valutare clienti, sei un deployer.

La domanda concreta non è se usi AI. La domanda è: la usi in un contesto ad alto rischio secondo l'Annex III?

Le 8 categorie Annex III

Dal 2 dicembre 2027 si applicano gli obblighi per chi usa AI in queste aree:

1. Biometria: riconoscimento facciale, analisi emotiva, classificazione per caratteristiche fisiche
2. Infrastrutture critiche: reti idriche, energetiche, di trasporto
3. Istruzione e formazione: sistemi che determinano l'accesso a percorsi formativi o le valutazioni
4. Lavoro e HR: screening CV, recruitment, performance management, licenziamento
5. Servizi essenziali: scoring creditizio, valutazione assicurativa, accesso a prestiti
6. Forze dell'ordine: valutazione rischio criminale, analisi predittiva
7. Immigrazione e asilo: valutazione domande di visto
8. Giustizia: assistenza in sentenze o profiling processuale

Se sei un freelancer che usa Claude per scrivere contenuti o analizzare documenti, quasi certamente non sei in Annex III. Se usi AI per valutare candidati, fare scoring di clienti o gestire accessi a servizi, stai entrando nel perimetro.

I 3 documenti da preparare

Anche a bassa esposizione, una base documentale minima ti protegge in caso di audit o di richiesta da parte di un cliente.

1) Il registro degli strumenti AI

Un documento con:

• Nome dello strumento
• Fornitore
• Scopo di utilizzo
• Tipo di dati elaborati (personali o di terzi)
• Data di inizio utilizzo

Costo: 30 minuti. Un foglio Google con questi campi risponde a qualsiasi richiesta di trasparenza in 10 secondi.

2) La valutazione del rischio

Una pagina che risponde a:

• Questo strumento elabora dati personali? Come li proteggo?
• Influenza decisioni che impattano persone? Ho supervisione umana?
• Rientra in una categoria Annex III? Ho i documenti richiesti?

Non serve un consulente per iniziare. Bastano risposte scritte e oneste. Se in futuro arriva un audit, hai qualcosa da mostrare.

3) La procedura di supervisione umana

Se l'output dell'AI va verso clienti o influenza decisioni, documenta:

• Chi controlla l'output prima che esca
• Come si segnala un errore dell'AI
• Dove si trovano i log delle operazioni

Anche una procedura informale scritta vale più di nessuna procedura.

Le sanzioni

Per violazioni degli obblighi high-risk, l'AI Act prevede sanzioni fino a 15 milioni di euro o il 3% del fatturato annuo globale (Art. 99 del Regolamento EU 2024/1689).

Il rischio reale per una PMI o un freelancer non è la multa immediata. E' non avere nulla da mostrare se un cliente o un'autorità chiede come gestisci l'AI che usi nei loro confronti.

Come tenersi aggiornati

Le date e i testi dell'AI Act sono cambiati più di una volta, quindi non conviene affidarsi alla memoria. In Gazzetta Ufficiale, sul sito di AGID e su quello della Commissione Europea escono atti e linee guida che cambiano il quadro.

Basta un controllo periodico fissato in calendario su queste tre fonti. Il punto è non dover ricordare di controllare a caso.

Il passo successivo

Se il tuo team usa l'AI e vuoi che lo faccia con regole chiare su dati e controllo delle risposte, faccio formazione aziendale: giovanniliguori.it/formazione-aziendale. ---