Conformità all’AI Act dell’UE: la scadenza di agosto 2026 e il divario nella governance

Il divario di governance dell’agosto 2026

L’AI Act dell’UE sta passando dal dibattito sulle politiche alla realtà operativa. Per le imprese che sviluppano, acquistano, implementano o integrano sistemi di IA connessi all’Unione europea, la domanda centrale non è più se la governance dell’IA sia importante. È se l’organizzazione sia in grado di dimostrare che i propri sistemi di IA sono classificati, documentati, monitorati e gestiti in modo coerente con il rischio che generano.

L’AI Act è entrato in vigore il 1° agosto 2024. I suoi requisiti si applicano per fasi. Le disposizioni generali, gli obblighi di alfabetizzazione sull’IA e le pratiche di IA vietate hanno iniziato ad applicarsi il 2 febbraio 2025. Le norme per i modelli di IA per finalità generali hanno iniziato ad applicarsi il 2 agosto 2025. L’atto diventerà generalmente applicabile il 2 agosto 2026, con alcune eccezioni e tempistiche successive per determinate categorie di sistemi ad alto rischio, compresi alcuni sistemi integrati in prodotti regolamentati.

Questa tempistica è importante perché agosto 2026 è abbastanza vicino da rendere necessario iniziare già ora il lavoro. Per molte aziende, la parte più difficile non sarà leggere il regolamento. Sarà individuare ogni sistema di IA in uso, classificare il rischio, comprendere le dipendenze dai fornitori, documentare il comportamento tecnico e costruire processi di governance in grado di resistere al contatto con le operazioni reali.

Questo articolo non costituisce consulenza legale. Le organizzazioni dovrebbero collaborare con consulenti qualificati per interpretare l’AI Act dell’UE e i relativi obblighi. Tuttavia, molte delle attività di preparazione più difficili sono operative e tecniche; ciò significa che i team di ingegneria, prodotto, sicurezza, dati, approvvigionamento, conformità e le funzioni aziendali hanno tutti del lavoro da svolgere.

Perché agosto 2026 è importante

Il 2 agosto 2026 è la data in cui la maggior parte delle disposizioni rimanenti dell’AI Act diventerà applicabile. Per molti sistemi di IA ad alto rischio, questo è il momento in cui gli obblighi relativi a gestione del rischio, governance dei dati, documentazione tecnica, registrazione, trasparenza, supervisione umana, accuratezza, robustezza, cybersicurezza e responsabilità dei deployer diventeranno operativamente rilevanti.

L’AI Act impone inoltre a ogni Stato membro dell’UE di istituire almeno uno spazio di sperimentazione normativa per l’IA entro il 2 agosto 2026. Questi spazi sono pensati per fornire ambienti controllati in cui i fornitori e i potenziali fornitori possano sviluppare, testare e convalidare sistemi di IA sotto supervisione normativa. Non sostituiscono la conformità, ma fanno parte della più ampia architettura di attuazione che l’UE sta costruendo attorno alla governance dell’IA.

Il punto importante per le aziende è che il lavoro di conformità non può iniziare alla scadenza. Un’azienda che aspetti agosto 2026 per cominciare probabilmente scoprirà che il problema reale non è l’assenza di una singola policy, ma la mancanza di visibilità.

Potrebbe non sapere quali strumenti interni includano funzionalità di IA. Potrebbe non sapere quali fornitori SaaS trattino dati attraverso sistemi di IA. Potrebbe non sapere se un flusso di lavoro sia passato dal supporto alle decisioni all’influenza sulle decisioni. Potrebbe non sapere quali sistemi rientrino nelle categorie ad alto rischio. Potrebbe non disporre di registri, documentazione tecnica, monitoraggio o flussi di revisione umana adeguati al modo in cui tali sistemi vengono effettivamente utilizzati.

Il problema della classificazione ad alto rischio

La classificazione ad alto rischio è una delle parti più importanti della preparazione all’AI Act. Gli obblighi dipendono in larga misura da ciò che il sistema di IA fa, dal contesto in cui viene utilizzato, da chi lo utilizza e dall’impatto che può avere sulle persone.

L’articolo 6 definisce le regole di classificazione per i sistemi di IA ad alto rischio, compresi i sistemi che costituiscono componenti di sicurezza di prodotti disciplinati da determinate normative dell’UE e i sistemi elencati nell’allegato III, salvo l’applicazione di eccezioni limitate. L’allegato III comprende ambiti quali biometria, infrastrutture critiche, istruzione, occupazione, accesso a servizi essenziali, applicazione della legge, migrazione e controllo delle frontiere e amministrazione della giustizia. [oai_citation:1‡Legge sull’intelligenza artificiale](https://artificialintelligenceact.eu/article/6/?utm_source=chatgpt.com)

È qui che la classificazione diventa più di una semplice etichetta. Un sistema che, considerato isolatamente, sembra a basso rischio può diventare ad alto rischio a causa del suo uso previsto. Uno strumento di IA che assegna un punteggio ai candidati, supporta la valutazione dei dipendenti, influenza l’accesso all’istruzione o contribuisce a prendere decisioni sui servizi essenziali presenta un profilo normativo diverso da quello di uno strumento che riassume note interne.

Le aziende non dovrebbero affidarsi a descrizioni superficiali come “è solo un assistente” o “la decisione finale spetta all’essere umano”. Queste affermazioni possono essere pertinenti, ma non sostituiscono un’analisi strutturata del caso d’uso, dei dati, dell’output, della supervisione umana e dell’impatto.

La conformità non è solo una questione legale

La preparazione all’AI Act dell’UE richiederà un’interpretazione giuridica, ma il lavoro non si esaurisce nell’ambito legale. Gli obblighi relativi ai sistemi di IA ad alto rischio riguardano la progettazione e le operazioni dei sistemi.

Il team legale può aiutare a interpretare gli obblighi. Tuttavia, i team di ingegneria e prodotto devono comprendere il funzionamento del sistema. I team dati devono spiegare da dove provengono i dati e come ne viene controllata la qualità. I team di sicurezza devono valutare accessi, monitoraggio e cybersicurezza. L’approvvigionamento deve comprendere gli obblighi e la documentazione dei fornitori. I responsabili aziendali devono definire l’uso previsto e il rischio accettabile. I team di conformità devono disporre di prove che dimostrino che il processo viene effettivamente seguito.

Per questo la governance dell’IA deve essere interfunzionale. Se un solo reparto si assume l’intera responsabilità dell’iniziativa, l’organizzazione quasi certamente trascurerà qualcosa di importante.

Cosa sta cambiando: dalle linee guida all’applicazione

L’AI Act sposta la governance dell’IA dalle migliori pratiche volontarie verso obblighi applicabili. Ciò non significa che ogni sistema di IA sarà soggetto allo stesso livello di oneri. L’atto è basato sul rischio. Tuttavia, per i sistemi che rientrano nelle categorie ad alto rischio, le organizzazioni devono prepararsi a molto più di una generica dichiarazione sull’IA responsabile.

I sistemi di IA ad alto rischio possono richiedere:

• Processi di gestione del rischio che identifichino, valutino e mitighino i rischi prevedibili
• Pratiche di governance dei dati che riguardino pertinenza, rappresentatività, qualità, distorsioni e uso appropriato dei dati
• Documentazione tecnica che spieghi la progettazione del sistema, la finalità prevista, le prestazioni, i limiti e i controlli
• Documentazione tecnica che spieghi la progettazione del sistema, la finalità prevista, le prestazioni, i limiti e i controlli
• Registrazione e conservazione dei dati per favorire la tracciabilità e la revisione
• Trasparenza e istruzioni per l’uso, affinché i deployer comprendano le capacità e i limiti del sistema
• Un controllo umano significativo, ove richiesto
• Controlli di accuratezza, robustezza e cybersicurezza

Questi requisiti hanno implicazioni tecniche dirette. Se un sistema non è stato progettato per registrare gli eventi rilevanti, supportare la revisione, documentare la provenienza dei dati, monitorare il comportamento del modello o spiegare il controllo umano, aggiungere queste funzionalità in un secondo momento può essere difficile.

Il divario di competenze nella governance dell’IA

Molte organizzazioni non dispongono ancora del mix di competenze interne necessario per prepararsi all’AI Act. Non si tratta semplicemente di un problema di assunzioni, ma di un problema di sviluppo delle capacità.

La governance dell’IA si colloca tra diverse discipline. Servono persone che comprendano la normativa, ma anche l’architettura, le pipeline di dati, il machine learning, gli acquisti SaaS, la sicurezza, la progettazione dei prodotti, i flussi di lavoro degli utenti e il monitoraggio operativo. Servono persone capaci di tradurre un requisito di conformità in un controllo tecnico e poi dimostrare che tale controllo funziona.

Questa combinazione è ancora poco comune. Un team legale può comprendere la legge, ma non l’architettura del sistema. Un team di ingegneria può comprendere il sistema, ma non le implicazioni normative. Un responsabile aziendale può comprendere il flusso di lavoro, ma non i dati o il comportamento del modello. La governance funziona solo quando queste prospettive si integrano.

Per questo la governance interfunzionale dell’IA non è teatro aziendale. È una necessità pratica.

Cosa dovrebbero fare ora le organizzazioni

Il primo passo non è acquistare una piattaforma di governance. Il primo passo è comprendere l'attuale presenza dell'IA.

• Crea un inventario dell'IA: Identifica i sistemi sviluppati internamente, gli strumenti dei fornitori, le funzionalità SaaS, le API dei modelli, i flussi di lavoro di supporto alle decisioni, gli strumenti di analisi, i chatbot, gli assistenti per sviluppatori e le automazioni che utilizzano l'IA.
• Classifica i sistemi in base al rischio: Determina se ciascun sistema presenta un rischio inaccettabile, elevato, limitato, minimo o rientra nell'ambito di esclusione, quindi documenta le motivazioni.
• Mappa i ruoli aziendali: Identifica se l'organizzazione agisce come fornitore, utilizzatore, importatore, distributore, produttore di prodotti o integratore a valle per ciascun sistema.
• Identifica i potenziali sistemi ad alto rischio: Dai priorità ai sistemi utilizzati nell'occupazione, nell'istruzione, nei servizi essenziali, nelle infrastrutture critiche, nei prodotti sensibili per la sicurezza, nell'assistenza sanitaria, nella finanza o in altri contesti sensibili.
• Esamina le dipendenze dai fornitori: Determina quali fornitori forniscono funzionalità di IA, quale documentazione offrono, come gestiscono i dati e quale supporto forniscono per le evidenze di conformità.
• Valuta la governance dei dati: Comprendi le fonti dei dati, i controlli di qualità, le regole di accesso, la conservazione, la provenienza, la verifica dei bias e il monitoraggio.
• Progetta la supervisione umana: Definisci chi esamina gli output, quando è necessaria la revisione, quale autorità hanno i revisori e come funzionano le escalation.
• Crea flussi di lavoro per la documentazione e il monitoraggio: Sviluppa processi per la documentazione tecnica, la registrazione dei log, la revisione post-distribuzione, la gestione degli incidenti e la gestione delle modifiche.

Questo non deve necessariamente iniziare come un enorme programma di trasformazione aziendale. Un'attività mirata di inventario e classificazione del rischio può rivelare dove si concentra l'esposizione effettiva e quali sistemi meritano per primi un'analisi più approfondita.

L'IA dei fornitori crea un'esposizione nascosta

Molte aziende non sviluppano sistemi di IA da zero. Abilitano funzionalità di IA all'interno di piattaforme esistenti, acquistano prodotti SaaS con IA integrata, utilizzano API di modelli, adottano assistenti per la programmazione o integrano automazioni fornite dai vendor nei flussi di lavoro interni.

Questo crea un problema pratico di governance. Un'azienda potrebbe non considerarsi un fornitore di IA, ma potrebbe comunque essere un utilizzatore. Potrebbe fare affidamento sulle dichiarazioni del fornitore, ma deve comunque comprendere come lo strumento viene utilizzato internamente. Potrebbe ritenere che il fornitore sia proprietario del modello, ma l'azienda potrebbe comunque essere responsabile del flusso di lavoro, della supervisione umana, della gestione dei dati e dell'impatto su dipendenti, clienti, candidati o utenti.

La gestione dei fornitori deve diventare parte della governance dell'IA. Prima dell'adozione, gli acquisti dovrebbero porre domande migliori:

• Quali funzionalità di IA sono incluse?
• Quali dati vengono elaborati, conservati o utilizzati per il miglioramento?
• Dove vengono elaborati i dati?
• Quale documentazione è disponibile?
• Come vengono comunicate le modifiche al modello?
• Quali log o tracce di audit sono disponibili?
• Il cliente può configurare la supervisione umana, i controlli di accesso e la conservazione?
• Cosa succede se lo strumento viene utilizzato in un contesto ad alto rischio?

Queste domande vanno poste all'inizio del processo di acquisto, non dopo che uno strumento è diventato parte integrante delle operazioni quotidiane.

Come Ridiculous Engineering considera il divario di governance

In Ridiculous Engineering, affrontiamo la preparazione all'AI Act come un problema pratico di governance e implementazione. L'interpretazione giuridica è importante e le organizzazioni dovrebbero collaborare con consulenti qualificati. Ma il lavoro difficile riguarda anche i sistemi: inventario, classificazione, flussi di dati, documentazione, monitoraggio, integrazione dei fornitori, controllo degli accessi e supervisione umana.

Aiutiamo le organizzazioni a tradurre gli obiettivi di governance in una realtà operativa e tecnica. Ciò può significare mappare i sistemi di IA, documentare i casi d'uso, identificare i potenziali sistemi ad alto rischio, esaminare le pipeline di dati, valutare le dipendenze dai fornitori, progettare flussi di lavoro di governance o sviluppare i controlli tecnici necessari per supportare la verificabilità e la supervisione.

L'obiettivo non è creare documenti fine a se stessi. L'obiettivo è costruire un modello operativo dell'IA che la leadership possa comprendere, che i team possano seguire e di cui clienti o autorità di regolamentazione possano fidarsi.

Per molte organizzazioni, il primo passo utile è un inventario strutturato dell'IA e una revisione dei rischi. Ciò offre alla leadership una visione più chiara di dove l'IA viene già utilizzata, quali sistemi richiedono un'analisi più approfondita e dove l'organizzazione dovrebbe concentrarsi sulle azioni correttive prima che le scadenze creino pressioni inutili.

La conformità dovrebbe creare fiducia, non solo evidenze

L'AI Act dell'UE è uno dei segnali più chiari che i sistemi di IA stanno entrando in una fase più matura. La domanda iniziale era se le organizzazioni potessero utilizzare l'IA. La domanda successiva è se possano utilizzarla responsabilmente, documentarla, monitorarla e spiegare i controlli che la riguardano.

Le organizzazioni che trattano l'AI Act come un'attività di conformità dell'ultimo minuto potrebbero riuscire a produrre documenti, ma avranno difficoltà se tali documenti non sono collegati al modo in cui i sistemi operano realmente.

La strada migliore è integrare ora la governance nel lavoro. Inventaria i sistemi. Classifica il rischio. Comprendi i dati. Mappa le responsabilità. Esamina i fornitori. Progetta la supervisione. Sviluppa il monitoraggio. Conserva registri che riflettano la realtà.

Se la tua organizzazione si sta preparando agli obblighi dell’AI Act dell’UE, cerca di comprendere la propria impronta dell’IA o vuole collegare i requisiti di governance alla reale implementazione tecnica, Ridiculous Engineering può essere d’aiuto. Collaboriamo con i clienti per trasformare la governance dell’IA da un documento programmatico in un modello operativo pratico.

La scadenza di agosto 2026 è importante. La questione più ampia è più duratura: ora la fiducia nell’IA deve essere progettata, gestita e dimostrata.

Fonti e ulteriori letture: Commissione europea: quadro normativo e cronologia dell’AI Act, Service Desk dell’AI Act della Commissione europea: cronologia dell’attuazione, Legge sull’intelligenza artificiale dell’UE: norme di classificazione dell’articolo 6 per i sistemi di IA ad alto rischio, Legge sull’intelligenza artificiale dell’UE: sandbox normative dell’articolo 57, Cloud Security Alliance: preparazione alla scadenza dell’AI Act dell’UE per i sistemi ad alto rischio, Holland & Knight: aziende statunitensi e la scadenza di agosto 2026 dell’AI Act dell’UE