L'AI Act non regola "l'intelligenza artificiale". Regola gli usi dell'intelligenza artificiale, e li mette su una piramide a quattro piani. Lo stesso identico modello può stare al piano più innocuo o al piano vietato, a seconda di cosa ci fai.
Questa è la cosa che chi legge i riassunti non capisce mai, e per cui poi mi arrivano messaggi tipo "quindi ChatGPT è ad alto rischio?". No. Dipende da cosa ci fai. Saliamo la piramide partendo dall'alto.
Piano quattro: rischio inaccettabile, cioè vietato
Qui non ci sono adempimenti, non c'è documentazione, non c'è marcatura. C'è il divieto. Sono le pratiche dell'articolo 5, vietate dal 2 febbraio 2025: il punteggio sociale generalizzato, i sistemi che sfruttano le vulnerabilità di età o disabilità, il riconoscimento delle emozioni sul posto di lavoro e a scuola, la raccolta indiscriminata di immagini facciali da internet o dalle telecamere per costruire database biometrici, la categorizzazione biometrica per dedurre convinzioni religiose, orientamento sessuale o opinioni politiche.
Il Digital Omnibus del luglio 2026 ha aggiunto nuovi divieti su deepfake sessuali non consensuali e materiale di abuso su minori generato con IA, applicabili dal 2 dicembre 2026.
Le sanzioni qui arrivano a 35 milioni di euro o al 7% del fatturato mondiale. Ed è l'unico piano della piramide che non ha mai preso un rinvio.
Piano tre: alto rischio
Il piano pesante. Si divide in due famiglie che seguono strade diverse.
L'Allegato III elenca gli impieghi ad alto rischio in sé: selezione e gestione del personale, valutazione del merito creditizio, accesso a servizi pubblici essenziali, istruzione e valutazione degli studenti, alcuni usi biometrici, giustizia, migrazione, infrastrutture critiche. Applicabile dal 2 dicembre 2027 dopo il rinvio.
L'Allegato I riguarda l'IA incorporata in prodotti già coperti da altre normative europee: macchine industriali, dispositivi medici, ascensori, giocattoli, aviazione. Applicabile dal 2 agosto 2028.
Cosa comporta stare qui? Sistema di gestione dei rischi, governance dei dati di addestramento, documentazione tecnica, log automatici, istruzioni per l'uso, sorveglianza umana, accuratezza e robustezza, valutazione di conformità. Non è roba che improvvisi il mese prima.
Piano due: rischio limitato, cioè trasparenza
Qui ci finisce la maggior parte di quello che usi in azienda, ed è il piano dove sei già dentro dal 2 agosto 2026.
La regola dell'articolo 50 è semplice: le persone devono sapere quando hanno a che fare con l'IA. Il chatbot dichiara di essere un chatbot, salvo che sia già evidente dal contesto. I contenuti generati o manipolati sono riconoscibili, in formato leggibile anche da una macchina. I deepfake vanno dichiarati come artificiali. I testi generati dall'IA e pubblicati per informare il pubblico su questioni di interesse generale vanno etichettati, salvo che ci sia stata revisione editoriale umana con un responsabile.
Sanzione fino a 15 milioni o al 3% del fatturato. Costo dell'adempimento: una frase scritta bene e un po' di metadati. Il rapporto rischio-fatica più squilibrato dell'intero regolamento.
Piano uno: rischio minimo
Filtri antispam, correttori grammaticali, sistemi di raccomandazione dei prodotti, l'IA dentro i videogiochi. Nessun obbligo specifico oltre quelli generali che valgono comunque — su tutti l'alfabetizzazione IA dell'articolo 4, che si applica trasversalmente a chiunque usi l'IA in ambito professionale.
È il piano più affollato. Ed è anche quello dove sta il 90% delle aziende italiane che nel frattempo si è spaventata leggendo dei 35 milioni.
Come collocarsi in pratica
Fai l'elenco dei sistemi che usi. Per ognuno scrivi la finalità concreta, non il nome del prodotto: non "usiamo ChatGPT", ma "usiamo un modello linguistico per bozze di email commerciali". Poi confronta la finalità con l'Allegato III. Se non c'è dentro e non è una pratica vietata, sei nella zona trasparenza o nel rischio minimo, e ti serve molto meno di quanto ti hanno raccontato.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
La piramide non guarda il software. Guarda cosa ci fai. Ed è una notizia ottima per quasi tutti.
Domande frequenti
ChatGPT in che categoria sta?
Come modello per finalità generali segue le regole GPAI, in vigore dal 2 agosto 2025 e a carico di OpenAI. L'uso che ne fai tu si colloca invece nella piramide in base alla finalità: quasi sempre rischio limitato o minimo, alto rischio solo se lo impieghi in un ambito dell'Allegato III.
Un chatbot di assistenza clienti è ad alto rischio?
Di norma no: rientra negli obblighi di trasparenza dell'articolo 50. Diventa una faccenda diversa se lo usi per decidere l'accesso a servizi essenziali o per valutare persone.
Chi decide in quale categoria sta il mio sistema?
La classificazione la fa chi immette il sistema sul mercato, sotto la propria responsabilità. Il Digital Omnibus ha ripristinato l'obbligo di registrazione nella banca dati europea anche per i fornitori che ritengono che il proprio sistema non sia ad alto rischio: la valutazione va motivata, non solo dichiarata.