AI Act ad alto rischio: come capire se la tua PMI ci rientra

"Alto rischio" è un'etichetta che spaventa più del dovuto, o troppo poco, a seconda di chi la legge. L'AI Act (Regolamento UE 2024/1689) non classifica le aziende, classifica i processi. Un negozio che usa ChatGPT per scrivere descrizioni prodotto non rientra in nulla di particolare. Uno studio di selezione del personale che usa un software per filtrare i curriculum sì, quasi sempre.

La confusione nasce perché la maggior parte degli articoli sull'AI Act elenca le categorie in astratto: occupazione, credito, sanità, giustizia, infrastrutture critiche. Utile per un giurista, meno per chi deve decidere se il tool che usa il proprio ufficio HR va documentato o no. Questo articolo traduce l'elenco in casi concreti: cosa succede se usi l'AI per selezionare candidati, valutare l'affidabilità di un cliente o controllare l'operato dei dipendenti, e cosa comporta rientrarci davvero.

Cosa vuol dire davvero "alto rischio"

L'AI Act divide i sistemi AI in quattro categorie: rischio inaccettabile (vietati, come il social scoring), alto rischio, rischio limitato (obblighi di trasparenza, come i chatbot che devono dichiararsi tali) e rischio minimo (nessun obbligo specifico, come un filtro antispam).

I sistemi ad alto rischio sono elencati all'articolo 6 e negli allegati I e III del Regolamento. Non sono definiti per settore ma per funzione: riguardano decisioni che incidono sui diritti fondamentali delle persone. Per questo un'azienda manifatturiera che usa l'AI solo per ottimizzare la produzione resta fuori, mentre lo stesso ufficio HR di quell'azienda, se usa l'AI per filtrare i curriculum, ci rientra in pieno.

Questa distinzione conta perché sposta la domanda giusta. Non "il mio settore è a rischio?" ma "questo specifico processo, con questo specifico strumento, incide su una decisione che riguarda una persona?".

Caso 1: selezione del personale

È il caso più citato in tutte le fonti disponibili, e anche il più diffuso nelle PMI italiane che usano l'AI senza saperlo. Rientra nell'alto rischio qualsiasi strumento che automatizzi o assista lo screening dei candidati: filtri automatici sui curriculum, punteggi generati da software per ordinare le candidature, sistemi che suggeriscono domande di colloquio basandosi sul profilo del candidato.

Non conta se il sistema decide da solo o solo assiste il recruiter: la classificazione scatta comunque. Le fonti raccolte segnalano che i processi di risorse umane, in particolare screening curriculum e domande di colloquio, sono tra le aree dove le aziende, anche piccole, si trovano ad aver già implementato sistemi ad alto rischio senza rendersene conto.

Per chi si occupa di HR e valutazione dei dipendenti, il tema si collega anche al Modello 231: le aree più esposte a rischio organizzativo includono proprio la gestione delle risorse umane e i processi di selezione.

Caso 2: valutazione del credito e scoring

I sistemi di scoring creditizio o di valutazione dell'affidabilità dei clienti sono classificati ad alto rischio, con obblighi di trasparenza verso la persona valutata e diritto di contestazione. Questo riguarda non solo banche e finanziarie, ma anche PMI che usano strumenti automatizzati per decidere se concedere dilazioni di pagamento, fido commerciale o condizioni di vendita a rate basate su un punteggio calcolato da un algoritmo.

Banca d'Italia, Consob e Ivass esercitano funzioni di vigilanza sui sistemi ad alto rischio usati dagli intermediari finanziari. Ma il punto per una PMI non finanziaria è un altro: se usi un tool di scoring fornito da terzi per valutare un cliente prima di fatturare a rate, resti responsabile come "deployer", cioè come chi utilizza il sistema, anche se non l'hai sviluppato tu.

Caso 3: controllo e valutazione dei dipendenti

Meno discusso ma altrettanto concreto: i sistemi AI usati per monitorare o valutare le prestazioni dei dipendenti rientrano nell'alto rischio quando incidono su decisioni che li riguardano, come promozioni, richiami disciplinari o valutazioni periodiche automatizzate. L'articolo 37 del D.Lgs. 81/2008 impone già la formazione dei lavoratori sui rischi specifici del proprio ambiente di lavoro: introdurre un sistema di controllo AI senza aggiornare questa formazione è una violazione autonoma, indipendente dall'AI Act.

L'AI Act aggiunge un livello: il datore di lavoro, definito "deployer", ha obblighi di sorveglianza umana effettiva e di trasparenza verso i lavoratori. La responsabilità non si scarica sul fornitore del software. Se introduci un sistema che modifica l'organizzazione del lavoro, sei tenuto anche ad aggiornare il documento di valutazione dei rischi (DVR) ai sensi degli articoli 17 e 28 dello stesso decreto.

Cosa comporta rientrarci: gli obblighi concreti

Se un tuo processo rientra nell'alto rischio, gli obblighi principali sono: documentazione tecnica del sistema, valutazione d'impatto sui diritti fondamentali (FRIA), governance dei dati di addestramento, protocolli di supervisione umana con responsabili identificati e frequenza di controllo definita, e registrazione in un database europeo per i fornitori.

Le scadenze sono state in parte riviste dal Digital Omnibus (Regolamento UE 2026/1744, in vigore dal 27 luglio 2026): i sistemi ad alto rischio autonomi hanno ora tempo fino al 2 dicembre 2027, quelli integrati in prodotti fino al 2 agosto 2028. Ma il rinvio non è una sospensione generale: l'obbligo di alfabetizzazione AI (articolo 4) è attivo dal 2 febbraio 2025 e il regime sanzionatorio per le pratiche vietate opera già dal 2 agosto 2025. Le sanzioni per i sistemi ad alto rischio arrivano fino a 15 milioni di euro o al 3% del fatturato globale annuo; per le pratiche vietate si sale fino a 35 milioni o al 7%.

In pratica, prima di ogni valutazione formale, serve un audit AI aziendale: censire quali sistemi AI sono già in uso in azienda, anche quelli adottati senza autorizzazione formale, e classificarli. È il primo passo, indipendentemente dal risultato finale della classificazione.

Come si capisce se ci rientri davvero

Le PMI italiane restano quasi sempre fuori dall'alto rischio quando l'AI è usata per scrivere testi, organizzare appunti, generare bozze o rispondere a clienti tramite chatbot (che ricadono nel rischio limitato, con solo obblighi di trasparenza). Un artigiano, un negozio, uno studio di consulenza generica che usa l'AI per il proprio lavoro quotidiano resta quasi sempre fuori da questa categoria.

Il campanello d'allarme scatta quando il sistema AI produce un output che incide direttamente su una decisione riguardante una persona specifica: assumerla o no, concederle credito o no, valutarla o no. In quel momento la domanda cambia: non più "stiamo usando l'AI?" ma "stiamo usando l'AI per decidere qualcosa su qualcuno?"

Per chi non ha certezza, la strada più solida è un audit interno che mappi processi e strumenti prima di scriverne la policy d'uso. È il tipo di lavoro che rientra nella consulenza e formazione AI: capire cosa è già in uso, classificarlo correttamente e definire chi decide cosa, prima che lo chieda un'autorità di controllo.

Se il tuo team usa l'AI per selezionare candidati, valutare l'affidabilità di un cliente o monitorare i dipendenti, vale la pena capire subito se rientri nell'alto rischio, prima che la questione arrivi da un controllo esterno invece che da una scelta tua. Un audit sull'uso dell'AI in azienda è il modo più diretto per saperlo con certezza.