AI Act: come evitare errori e fare la giusta gap analysis
La nuova normativa UE sull’IA impone obblighi solo a sistemi a rischio alto o limitato. Scopri perché una mappatura accurata è più utile di una gap analysis tradizionale e come proteggere la tua azienda.
Il 24 agosto 2026 l’Unione Europea ha introdotto l’AI Act, la prima normativa a livello globale sull’intelligenza artificiale. La legge mira a garantire sicurezza, trasparenza e tutela dei diritti fondamentali, ma i suoi obblighi si applicano solo a sistemi a rischio alto o limitato. Per le imprese italiane questo significa che una semplice gap analysis, come quella usata per altre norme, può essere fuorviante.
Contesto: cosa cambia con l’AI Act
- Obblighi riservati a sistemi di AI classificati come ad alto rischio (es. assistenza sanitaria, sistemi di credito) o a rischio limitato (es. strumenti di marketing).
- Le aziende devono prima mappare tutti i sistemi AI presenti, inclusi quelli “shadow AI” e componenti embedded.
- La normativa non prevede requisiti per sistemi generativi non critici; la maggior parte dei prodotti AI rientra in questa categoria.
- Le linee guida UE, aggiornate periodicamente, forniscono criteri di classificazione e procedure di valutazione.
Perché la gap analysis tradizionale è insufficiente
Una gap analysis standard confronta la situazione attuale con i requisiti di una norma. Per l’AI Act, però, non esistono precedenti normativi da cui trarre confronto. Se si documenta solo lo stato di fatto, si rischia di evidenziare una non conformità a norme già esistenti, ma non a quella nuova. Il rischio è di investire in misure inutili se l’azienda non possiede sistemi a rischio alto o limitato.
Come proteggere la tua azienda in Italia
Il percorso consigliato è:
- Mappatura completa: identificare tutti i sistemi AI, compresi quelli non dichiarati (shadow AI) e componenti embedded.
- Classificazione: applicare i criteri dell’AI Act e delle linee guida UE per determinare se un sistema è a rischio alto, limitato o non soggetto a obblighi.
- Valutazione continua: aggiornare la mappatura e la classificazione ad ogni nuovo progetto o acquisizione.
- Procedure di mitigazione: per sistemi a rischio alto, implementare controlli di sicurezza, audit e meccanismi di trasparenza; per sistemi a rischio limitato, monitorare la compliance con requisiti minori.
- Formazione interna: sensibilizzare il personale sulle differenze tra sistemi AI critici e non critici.
In pratica, se la tua azienda non utilizza sistemi a rischio alto o limitato, la maggior parte delle attività di conformità può essere ridotta a una semplice mappatura periodica. Evitare una gap analysis costosa e lunga è quindi una scelta sensata.
Domande frequenti
Ho già implementato un sistema AI generativo, devo fare la gap analysis?
No, se il sistema non rientra tra i rischi alto o limitato, non è soggetto agli obblighi dell’AI Act. È sufficiente mantenerne la documentazione aggiornata.
Come verifico se un componente hardware è “embedded AI”?
Controlla le specifiche tecniche: se il componente utilizza algoritmi di machine learning per funzioni critiche (es. riconoscimento facciale in dispositivi di sicurezza), è considerato embedded AI e deve essere classificato.
Qual è il costo medio di adeguamento per un’azienda con sistemi a rischio alto?
Il costo varia, ma studi indicano che può oscillare tra 50.000€ e 200.000€ per la mappatura, classificazione e implementazione di controlli di sicurezza.
Devo informare i clienti sull’uso dell’AI?
Sì, per i sistemi a rischio alto è obbligatorio fornire trasparenza sull’uso dell’IA e sui dati trattati, secondo le linee guida UE.
Per approfondire l’impatto dell’AI Act sul settore informatico, visita la nostra sezione informatica.