Quando è uscito il Digital Omnibus, il commento più diffuso è stato "meno male, abbiamo tempo". Il secondo più diffuso, tre giorni dopo, è stato silenzio. Perché chi lavora davvero su un sistema ad alto rischio sa che sedici mesi non sono una vacanza: sono il tempo minimo per fare le cose bene.
Ricapitoliamo: i sistemi dell'Allegato III partono il 2 dicembre 2027, quelli dell'Allegato I il 2 agosto 2028. Se il tuo prodotto ci finisce dentro, questa pagina è per te.
Perché il rinvio non ti salva
Gli obblighi ad alto rischio non sono documenti da preparare la settimana prima. Sono proprietà del sistema, e alcune si costruiscono a monte.
La governance dei dati chiede che i dataset di addestramento, validazione e test siano pertinenti, rappresentativi e con esame dei possibili bias. Se hai addestrato su dati raccolti senza tracciabilità, non è un problema documentale: è un problema di dati, e si risolve solo rifacendo.
La registrazione automatica degli eventi — i log — chiede che il sistema li produca. Se l'architettura non li prevede, si mette mano al codice.
La sorveglianza umana chiede che il sistema sia progettato per essere efficacemente supervisionato. Se l'interfaccia non espone niente su cui l'operatore possa intervenire, si riprogetta l'interfaccia.
Tutte cose che nel dicembre 2027 non improvvisi.
Il piano nei prossimi sedici mesi
Adesso. Verifica seriamente se sei nell'Allegato III. Molti si autoclassificano fuori con troppa disinvoltura: il Digital Omnibus ha ripristinato la registrazione in banca dati UE anche per chi ritiene di non essere ad alto rischio, quindi la valutazione va scritta e motivata, non pensata.
Prossimi tre mesi. Metti in piedi il sistema di gestione dei rischi: identificazione, stima, mitigazione, test. Non serve un impianto da multinazionale, serve un processo documentato che qualcuno segue davvero.
Entro sei mesi. Sistema la governance dei dati: provenienza, criteri di raccolta, rappresentatività, verifica dei bias. Qui il nuovo articolo 4-bis introdotto dall'Omnibus ti dà finalmente una base giuridica per trattare categorie particolari di dati proprio a fini di rilevazione e correzione dei bias.
Entro dodici mesi. Documentazione tecnica completa, istruzioni per l'uso destinate al deployer, misure di accuratezza, robustezza e cibersicurezza, log funzionanti.
Ultimi quattro mesi. Valutazione di conformità nel percorso che ti compete, marcatura, registrazione, e — se sei anche deployer in certi contesti — valutazione d'impatto sui diritti fondamentali.
La domanda da fare al fornitore, se compri
Se il sistema ad alto rischio non lo costruisci ma lo compri, il lavoro pesante è di chi te lo vende. Il tuo lavoro è contrattuale, e va fatto adesso che hai potere negoziale.
Mettilo per iscritto: il fornitore si impegna a rendere il sistema conforme entro il 2 dicembre 2027, fornisce le istruzioni per l'uso previste dal regolamento, garantisce log e strumenti per la sorveglianza umana, e risponde in caso di inadempimento. Se il contratto lo firmi oggi e scade nel 2029, questa clausola vale più di uno sconto.
Il rischio di leggere solo il titolo
Nella pratica vedo già l'effetto collaterale del rinvio: progetti fermi con la scusa che "tanto è slittato". Poi però il software di screening dei CV continua a girare, e nel frattempo — attenzione — il GDPR si applica oggi, con l'articolo 22 sulle decisioni automatizzate e con un Garante che in Italia ha già sanzionato la gestione algoritmica dei lavoratori nel 2021 nei casi Foodinho e Deliveroo.
Il rinvio riguarda l'AI Act. Non riguarda tutto il resto.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Sedici mesi passano in fretta. Chi comincia a novembre 2027 non arriva, e lo sa già adesso.
Domande frequenti
Posso continuare a usare il sistema fino al 2027?
Gli obblighi specifici sull'alto rischio diventano esigibili dalle nuove date, ma restano applicabili da subito i divieti dell'articolo 5, gli obblighi di trasparenza e tutta la normativa privacy e giuslavoristica.
Come faccio a sapere se sono nell'Allegato III?
Confrontando la finalità concreta del sistema con l'elenco: occupazione e gestione dei lavoratori, merito creditizio, istruzione, servizi essenziali, biometria, giustizia, migrazione, infrastrutture critiche. La valutazione va documentata per iscritto.
Chi fa la valutazione di conformità?
A seconda del caso è una valutazione interna del fornitore o coinvolge un organismo notificato. In Italia AgID è l'autorità di notifica e accreditamento degli organismi di valutazione.