AI Act Self-Assessment Tool - Regolamento UE 2024/1689
Accedi al Regolamento UE 2024/1689 (AI Act) ufficiale:
🇮🇹 Testo AI Act in Italiano (PDF)Pubblicato nella Gazzetta Ufficiale dell'Unione Europea
Benvenuti nella guida completa all'uso dell'AI Act Self-Assessment Tool, uno strumento progettato per aiutare le organizzazioni a comprendere se e come il Regolamento UE 2024/1689 (AI Act) si applica ai loro sistemi di intelligenza artificiale.
Lo strumento utilizza un approccio strutturato in 8 domande chiave che coprono tutti gli aspetti fondamentali dell'AI Act:
Determina se il sistema rientra nella definizione di "AI system" secondo l'Art. 3(1) dell'AI Act.
Identifica il vostro ruolo nella catena del valore (provider, deployer, importer, ecc.).
Verifica se il sistema ricade in una delle 8 categorie vietate (Art. 5).
Determina se si tratta di un General Purpose AI model (Art. 51-56).
Verifica se il sistema rientra negli Allegati I o III (sistemi ad alto rischio).
Identifica obblighi di trasparenza specifici (Art. 50).
Determina l'applicabilità territoriale dell'AI Act (Art. 2).
Lo strumento utilizza un sistema di pesi per calcolare il livello di rischio complessivo:
| Categoria | Peso | Classificazione |
|---|---|---|
| Pratiche Proibite | 100 | VIETATO |
| Alto Rischio (Allegati I/III) | 60 | Alto Rischio |
| GPAI Sistemico | 70 | GPAI Sistemico |
| GPAI Standard | 40 | GPAI |
| Trasparenza | 20 | Rischio Limitato |
| Altro | <20 | Rischio Minimo |
Base normativa: Art. 3(1) AI Act
Caratteristiche chiave di un AI system:
Base normativa: Art. 3 (definizioni) e Art. 22-27 (obblighi specifici)
Persona fisica o giuridica che sviluppa o fa sviluppare un sistema AI e lo immette sul mercato o lo mette in servizio sotto il proprio nome o marchio.
Persona fisica o giuridica che utilizza un sistema AI sotto la propria autorità, tranne che per attività personali non professionali.
Persona fisica o giuridica stabilita nell'UE che immette sul mercato un sistema AI che reca il nome o marchio di una persona stabilita fuori dall'UE.
Persona fisica o giuridica nella catena di fornitura che rende disponibile sul mercato un sistema AI senza esserne il provider o l'importer.
Persona giuridica stabilita nell'UE nominata per iscritto da un provider extra-UE per agire a suo nome.
Base normativa: Art. 5 AI Act
Le 8 categorie proibite:
Tecniche che operano oltre la consapevolezza della persona per distorcere il comportamento in modo da causare danno fisico o psicologico.
Sfrutta vulnerabilità specifiche dovute a età, disabilità o situazione socio-economica.
Valutazione o classificazione di persone fisiche basata su comportamento sociale o caratteristiche personali.
Valutazione del rischio di una persona fisica di commettere reati basata esclusivamente su profiling o assessment di tratti di personalità.
Creazione o espansione di database di riconoscimento facciale tramite scraping non mirato di immagini da internet o CCTV.
Inferire emozioni di persone fisiche sul posto di lavoro o in istituzioni educative.
Eccezioni: Motivi medici o di sicurezza.
Categorizzazione biometrica per inferire razza, opinioni politiche, appartenenza sindacale, orientamento sessuale, religione.
Identificazione biometrica remota in tempo reale in spazi pubblicamente accessibili per law enforcement.
Eccezioni strette (Art. 5(2-7)): Ricerca bambini scomparsi, prevenzione minacce terroristiche, ecc.
Base normativa: Art. 3(63), 51-56
Modelli foundation con capacità generali ma senza rischi sistemici.
Obblighi:
Modelli GPAI con capacità ad alto impatto. Presunzione se >10²⁵ FLOPS.
Obblighi aggiuntivi:
Base normativa: Allegato I + Art. 6(1)
L'Allegato I elenca prodotti già soggetti a legislazione UE di armonizzazione. Se l'AI è un componente di sicurezza di questi prodotti, diventa automaticamente ad alto rischio.
Categorie Allegato I:
Base normativa: Allegato III + Art. 6(2)
L'Allegato III identifica 8 aree dove i sistemi AI sono considerati ad alto rischio per diritti fondamentali e sicurezza.
Identificazione biometrica remota di persone fisiche (non real-time, che è vietato Art. 5), categorizzazione da dati biometrici.
Gestione e operazione di infrastrutture critiche: acqua, gas, elettricità, trasporti, reti digitali.
Determinare accesso, ammissione a istituzioni educative; valutazione studenti; monitoraggio esami; rilevamento plagio.
Recruiting, screening CV, selezione; valutazione performance; decisioni su promozioni, contratti; monitoraggio lavoratori.
Benefici assistenza sociale pubblici e privati; scoring creditizio; valutazione assicurativa; dispatch servizi emergenza (911).
Risk assessment probabilità crimine/recidiva; poligrafi; valutazione affidabilità prove; profiling per investigazioni criminali.
Risk assessment per migranti; esame domande asilo; rilevamento persone illegalmente presenti; verifica autenticità documenti viaggio.
Assistenza ricerca e interpretazione fatti/leggi; decisioni giudiziarie; alternative dispute resolution (ADR).
Base normativa: Art. 50
Alcuni sistemi AI devono informare gli utenti della loro natura artificiale, anche se non sono ad alto rischio.
Deployer di AI systems che interagiscono con persone devono informarle che stanno interagendo con AI.
Eccezione: Se è ovvio dal contesto e dalle circostanze.
Deployer di AI che generano o manipolano contenuti immagine/audio/video devono marcarli come artificially generated/manipulated.
Deployer di AI che generano/manipolano text content destinato a informare il pubblico devono disclosure che il contenuto è artificially generated/manipulated.
Eccezioni: Se necessario per rilevare attività illecite, o se il contenuto ha subito revisione umana sostanziale.
Quando emotion recognition o biometric categorization sono utilizzate in contesti leciti (non lavoro/scuola), richiedono trasparenza.
Base normativa: Art. 2 (Scope)
L'AI Act si applica a:
L'AI Act si basa su un approccio risk-based, classificando i sistemi AI in categorie con obblighi proporzionati al rischio.
| Categoria | Rischio | Obblighi | Applicabilità |
|---|---|---|---|
| VIETATO | Inaccettabile | Divieto assoluto | 2 Feb 2025 |
| Alto Rischio | Alto | Conformità CE, documentazione, registrazione | 2 Ago 2026 |
| GPAI Sistemico | Sistemico | Art. 53 + Art. 55 | 2 Ago 2025 |
| GPAI Standard | Moderato | Art. 53 | 2 Ago 2025 |
| Rischio Limitato | Basso | Trasparenza (Art. 50) | 2 Ago 2026 |
| Rischio Minimo | Minimo | Nessun obbligo specifico | - |
Processo continuo iterativo per tutto il ciclo di vita:
Dataset di training, validation e testing devono essere:
Documentazione completa (conservata 10 anni) deve includere:
Registrazione automatica eventi (log):
Istruzioni uso chiare, comprensibili, devono includere:
Misure per garantire human oversight efficace:
Livello appropriato di:
Sistema di gestione qualità che copre:
Valutazione conformità prima di placing on market:
Provider registra sistema prima del placing on market. Informazioni pubbliche:
Sistema PMM documentato per raccogliere e analizzare dati su performance in real-life use:
Notifica a market surveillance authorities entro 15 giorni se:
Obbligatorio per deployer che sono:
Contenuto FRIA:
| Data | Applicabilità |
|---|---|
| 2 Febbraio 2025 | Divieti Art. 5 (pratiche proibite) |
| 2 Agosto 2025 | Obblighi GPAI (Art. 53, 55) |
| 2 Agosto 2026 | Applicazione generale (alto rischio, trasparenza) |
| 2 Agosto 2027 | Sistemi esistenti alto rischio (36 mesi transizione) |
| Violazione | Sanzione Massima |
|---|---|
| Pratiche proibite (Art. 5) | 35.000.000 EUR o 7% fatturato globale |
| Violazioni GPAI (Art. 53, 55) | 15.000.000 EUR o 3% fatturato globale |
| Altre violazioni (Art. 9-15, 26, 50, 72) | 7.500.000 EUR o 1.5% fatturato globale |
Fattori attenuanti/aggravanti (Art. 99(2)):
Il sistema ricade in una o più delle 8 pratiche proibite (Art. 5). Non può essere immesso sul mercato o utilizzato nell'UE dal 2 febbraio 2025. Sanzioni fino a 35M EUR.
Sistemi che ricadono in Allegato I o Allegato III. Richiedono:
Modelli foundation generali (Art. 53). Obblighi:
Modelli GPAI ad alto impatto (>10²⁵ FLOPS). Obblighi Art. 53 + Art. 55:
Un modello GPAI può essere integrato come componente di un sistema ad alto rischio. In questo caso:
Sistemi che richiedono solo trasparenza:
Sistemi AI che non ricadono in categorie precedenti. No obblighi specifici AI Act, ma:
Se il sistema AI opera esclusivamente fuori dall'UE senza output utilizzati in UE, l'AI Act non si applica.
Lo strumento calcola un punteggio di affidabilità basato sul completamento delle domande:
Scenario: Un'azienda retail sviluppa un chatbot AI per assistenza clienti sul proprio e-commerce.
Valutazione:
Risultato: Rischio Limitato - Obblighi Trasparenza (Art. 50)
Azioni richieste:
Scenario: Multinazionale USA utilizza piattaforma AI per screening CV e selezione candidati nelle filiali europee.
Valutazione:
Risultato: Alto Rischio
Azioni richieste:
Per il Provider (USA):
Per il Deployer (Multinazionale):
Timeline: Compliance entro 2 agosto 2026 (o 2 agosto 2027 se sistema già in uso)
Scenario: Startup italiana sviluppa app diagnostica medica che utilizza GPT-4 per analizzare sintomi e suggerire diagnosi.
Valutazione:
Risultato: GPAI Sistemico + Alto Rischio (Classificazione Cumulativa)
Azioni richieste:
Per GPT-4 (OpenAI come provider GPAI):
Per la Startup (provider del sistema medico):
Note:
Scenario: Un'azienda sviluppa sistema AI che assegna "punteggi di collaborazione" ai dipendenti basati su email, chat, partecipazione meeting.
Valutazione:
Risultato: VIETATO
Azioni richieste:
Scenario: Azienda manifatturiera utilizza AI per predictive maintenance di macchinari industriali.
Valutazione:
Analisi critica:
Raccomandazione: Analisi dettagliata del ruolo del sistema AI rispetto alla sicurezza dei macchinari. Se dubbio, approccio conservativo: trattare come alto rischio.
R: No. L'AI Act si applica solo ai sistemi AI utilizzati nell'UE o i cui output sono utilizzati nell'UE. Sistemi per uso personale non professionale sono esclusi (Art. 2(6)).
R: Progressivamente:
R: L'AI Act si applica. Devi nominare un Authorised Representative nell'UE (Art. 22-23) e rispettare tutti gli obblighi applicabili.
R: No, è vietato (Art. 5(1)(f)), salvo eccezioni mediche o di sicurezza rigorosamente limitate.
R: No. Vietato è il real-time remote biometric identification in spazi pubblici per law enforcement (Art. 5(1)(h)), con eccezioni strette (terrorismo, bambini scomparsi). Altri usi di riconoscimento facciale possono essere ad alto rischio (Allegato III) se usati per categorizzazione.
R:
R: Dipende dalla complessità del sistema. Costi tipici includono:
PMI possono beneficiare di supporto e deroghe limitate.
R: Non sempre. Dipende:
R: Dipende dal tuo ruolo:
R: Modelli GPAI con capacità eccezionali (presunzione se >10²⁵ FLOPS). Esempi: GPT-4, Claude 3 Opus, Gemini Ultra. Hanno obblighi aggiuntivi (Art. 55): adversarial testing, systemic risk mitigation.
R: Sì, se:
R: Dipende:
R: Sì, salvo se è ovvio dal contesto (Art. 50(1)). Best practice: sempre informare esplicitamente.
R: Due modi (Art. 50(2)):
R: Roadmap suggerita:
R: Per la maggior parte dei sistemi alto rischio, sì (internal control, Annex VI). Ma la documentazione deve essere rigorosa e potresti essere soggetto a audit da market surveillance authorities.
Questo strumento è fornito esclusivamente a scopo informativo e didattico.
L'assessment generato NON costituisce consulenza legale professionale e non può sostituire la valutazione di esperti qualificati in materia di conformità normativa all'AI Act (Regolamento UE 2024/1689).
Per una verifica ufficiale della conformità al Regolamento AI Act, si raccomanda vivamente di consultare professionisti qualificati specializzati in diritto delle tecnologie e AI compliance.
Per assistenza professionale sulla compliance AI Act:
Versione guida: 1.0.0
Data: Ottobre 2025
Basata su: Regolamento UE 2024/1689 (AI Act) - Testo ufficiale pubblicato nella Gazzetta Ufficiale dell'UE
© 2025 Studio Legale Fabiano - Avv. Nicola Fabiano
Tutti i diritti riservati.
Licenza: CC BY-NC-ND 4.0