# Autovalutazione AI Act per aziende e studi professionali > In che classe di rischio cade il tuo sistema di intelligenza artificiale per l'AI Act, cosa devi fare e da quando: date aggiornate al regolamento 2026/1744. Strumento gratuito nel browser (nessun upload): https://www.mauriziofonte.it/strumenti/autovalutazione-ai-act-pmi Rispondi a poche domande sul sistema di intelligenza artificiale che usi o che sviluppi. Lo strumento ti dice in quale classe di rischio lo colloca il **regolamento (UE) 2024/1689**, quali obblighi ti riguardano e da che data, già con i rinvii decisi dal **regolamento (UE) 2026/1744**. ## Come si usa 1. **Scegli il tuo ruolo** - Indica se il sistema lo usate e basta o se lo sviluppate voi. Gli obblighi cambiano molto tra le due posizioni. 2. **Descrivi a cosa serve** - Scegli l'uso principale tra gli ambiti dell'allegato III. Se rientra in uno di questi, rispondi anche alla domanda sul peso del sistema nella decisione. 3. **Spunta i casi che ti riguardano** - Chatbot, contenuti generati, dati personali, dipendenti, studio professionale, ente pubblico: ogni spunta aggiunge gli obblighi collegati. 4. **Controlla le pratiche vietate** - La lista dell'articolo 5 serve a escluderle. Di solito non se ne spunta nessuna. 5. **Leggi il risultato** - Trovi la classe di rischio, gli obblighi con articolo e data di applicazione, le note sul tuo caso e le sanzioni massime. Puoi copiarlo per condividerlo. ## Perché partire dalla classificazione L'AI Act non chiede le stesse cose a tutti. Un'azienda che usa un assistente per scrivere le email ha un obbligo generale di formazione e poco altro. La stessa azienda, se usa un software che filtra i curriculum, è deployer di un sistema ad alto rischio, con obblighi su sorveglianza umana, log e informazione dei candidati. Capire in quale caso sei viene prima di qualsiasi documento. Le domande seguono l'ordine del regolamento: prima le pratiche vietate dell'articolo 5, poi l'alto rischio (articolo 6 con gli allegati I e III, compresa la deroga del paragrafo 3), poi la trasparenza dell'articolo 50, infine gli obblighi che valgono per tutti, come la formazione dell'articolo 4. Accanto al regolamento europeo lo strumento considera il GDPR, che si applica ogni volta che ci sono dati personali, e la legge italiana 132/2025. Le date sono quelle in vigore dopo il regolamento (UE) 2026/1744, che ha rinviato al 2 dicembre 2027 gli obblighi dei sistemi ad alto rischio dell'allegato III e al 2 agosto 2028 quelli dei prodotti dell'allegato I. Molte guide scritte prima dell'estate 2026 riportano ancora il 2 agosto 2026: per l'alto rischio quella data non vale più. ## Glossario - **Sistema di IA**: Sistema automatizzato che funziona con livelli di autonomia variabili e deduce dall'input come generare output quali previsioni, contenuti, raccomandazioni o decisioni (articolo 3, punto 1). - **Fornitore**: Chi sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio, a pagamento o gratis (articolo 3, punto 3). - **Deployer**: Chi usa un sistema di IA sotto la propria autorità, tranne l'uso personale non professionale (articolo 3, punto 4). - **Allegato III**: Elenco degli ambiti in cui un sistema di IA è ad alto rischio: biometria, infrastrutture critiche, istruzione, lavoro, servizi essenziali, polizia, migrazione, giustizia e processi democratici. - **Valutazione d'impatto sui diritti fondamentali**: Analisi che alcuni deployer fanno prima di usare un sistema ad alto rischio (articolo 27): enti pubblici, privati che forniscono servizi pubblici, e chi valuta il merito di credito o prezza assicurazioni vita e salute. - **Digital Omnibus sull'IA**: Nome corrente del regolamento (UE) 2026/1744, che modifica l'AI Act: rinvia gli obblighi dell'alto rischio, aggiunge due divieti e semplifica alcuni adempimenti per PMI e piccole mid-cap. - **Piccola mid-cap**: Impresa che supera le soglie delle PMI ma resta entro quelle della raccomandazione (UE) 2025/1099. Il regolamento 2026/1744 le estende alcune semplificazioni pensate per le PMI. ## Domande frequenti ### L'AI Act riguarda anche chi usa ChatGPT, Claude o Copilot in azienda? Sì, ma in modo leggero se l'uso è quello comune: scrivere, riassumere, tradurre, cercare informazioni. In quel caso sei deployer di un sistema che non è ad alto rischio e l'obbligo principale è la formazione di chi lo usa (articolo 4). Gli obblighi crescono se lo usi per decidere su persone in uno degli ambiti dell'allegato III, se pubblichi contenuti generati che sembrano reali o se costruisci sopra il modello un servizio con il tuo nome. ### La scadenza del 2 agosto 2026 vale ancora? In parte. Dal 2 agosto 2026 si applicano le regole generali, compresi gli obblighi di trasparenza dell'articolo 50. Gli obblighi dei sistemi ad alto rischio invece sono stati rinviati dal regolamento (UE) 2026/1744: al 2 dicembre 2027 per l'allegato III, al 2 agosto 2028 per i prodotti dell'allegato I. ### Quanto rischia un'azienda che non si adegua? L'articolo 99 fissa tre tetti: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate; fino a 15 milioni o al 3% per gli obblighi di fornitori, deployer e trasparenza; fino a 7,5 milioni o all'1% per informazioni inesatte date alle autorità. Per le PMI vale il più basso dei due importi. Sono massimi: la cifra concreta dipende da gravità, durata, dimensioni dell'impresa e comportamento dopo la violazione. ### Un software che filtra i curriculum è ad alto rischio? Di regola sì, perché la selezione del personale è al punto 4 dell'allegato III. Può non esserlo se svolge solo un compito limitato o preparatorio, per esempio mettere in ordine i documenti, e una persona valuta ogni candidato. Se assegna punteggi ai candidati o ne valuta le caratteristiche personali, profila e resta ad alto rischio. Chi lo usa ha gli obblighi del deployer dal 2 dicembre 2027. ### Che differenza c'è tra fornitore e deployer? Il fornitore sviluppa il sistema, o lo fa sviluppare, e lo mette sul mercato o in servizio con il proprio nome; il deployer lo usa nella propria attività. Un'azienda che costruisce il chatbot del proprio sito sul modello di un'altra società è fornitore di quel chatbot. Un deployer diventa fornitore di un sistema ad alto rischio se ci mette il proprio marchio, lo modifica in modo sostanziale o lo usa per uno scopo ad alto rischio non previsto (articolo 25). ### Il chatbot del sito deve dire che è un'intelligenza artificiale? Sì, dal 2 agosto 2026: le persone devono sapere che stanno parlando con un sistema di IA, a meno che sia evidente dal contesto (articolo 50, paragrafo 1). L'obbligo è di chi fornisce il chatbot, e se l'avete costruito voi il fornitore siete voi. ### Cosa vuol dire formazione sull'IA, in pratica? L'articolo 4 chiede a fornitori e deployer di prendere misure perché il personale che usa i sistemi ne conosca funzionamento, limiti e rischi, in proporzione al ruolo e al contesto. Dopo il regolamento 2026/1744 il testo dice in modo esplicito che non serve garantire un livello preciso di competenza per ogni persona. Una sessione pratica sugli strumenti in uso e qualche regola interna scritta su cosa si può fare sono un buon punto di partenza. ### Uno studio professionale ha obblighi in più? In Italia sì. L'articolo 13 della legge 132/2025 limita l'uso dell'IA nelle professioni intellettuali alle attività strumentali e di supporto, con il lavoro intellettuale che resta prevalente, e chiede di comunicare al cliente quali sistemi si usano, con un linguaggio chiaro, semplice ed esaustivo. ### Quando un sistema dell'allegato III non è ad alto rischio? Quando non presenta un rischio significativo per salute, sicurezza o diritti fondamentali e soddisfa almeno una delle condizioni dell'articolo 6, paragrafo 3: esegue un compito procedurale limitato, migliora il risultato di un'attività umana già completata, rileva schemi decisionali senza sostituire la valutazione umana, oppure prepara una valutazione. Se profila persone fisiche è sempre ad alto rischio. Il fornitore che si avvale della deroga la documenta e registra il sistema nella banca dati UE. ### Le risposte che inserisco vengono salvate? No. La classificazione viene calcolata in JavaScript nella pagina: le risposte non vengono mandate a un server per ottenere il risultato e lo strumento non le salva nel browser. Come il resto del sito, la pagina raccoglie statistiche di navigazione. --- Uno strumento di Maurizio Fonte, senior backend engineer. Tutti gli strumenti: https://www.mauriziofonte.it/strumenti/