Regfortis

AI Act UE Allegato III: guida ai sistemi IA ad alto rischio per le PMI

L'Allegato III elenca otto categorie di casi d'uso IA soggetti agli obblighi più esigenti dell'AI Act UE. Se la tua azienda utilizza l'IA in uno di questi ambiti, gli obblighi completi del deployer del Capitolo III — incluse le valutazioni di impatto sui diritti fondamentali e la registrazione nel database IA UE — si applicano dal 2 dicembre 2027.

Ultima revisione normativa: 14 agosto 2026 · Regulation (EU) 2024/1689 come modificato dal Regulation (EU) 2026/1744

Cos'è l'Allegato III?

L'Allegato III del Regulation (EU) 2024/1689 elenca i casi d'uso IA che acquisiscono la classificazione «ad alto rischio» ai sensi dell'Articolo 6. I sistemi IA utilizzati per questi scopi devono conformarsi al Capitolo III del Regolamento — un insieme completo di requisiti che copre la gestione del rischio, la governance dei dati, la trasparenza, la supervisione umana e la precisione. Per i deployer (aziende che utilizzano piuttosto che sviluppano l'IA), l'obbligo chiave è l'Articolo 26.

Scadenza modificata. La data di applicazione originale per gli obblighi del Capitolo III era il 2 agosto 2026. Il Regulation (EU) 2026/1744 l'ha modificata al 2 dicembre 2027. Le aziende che utilizzano IA dell'Allegato III hanno più tempo per prepararsi — ma la preparazione dovrebbe iniziare ora.

Le otto categorie IA ad alto rischio dell'Allegato III

Ogni categoria include un indicatore di rilevanza per le PMI per aiutarti a stabilire le priorità.

Rilevanza per le PMI:

Identificazione e categorizzazione biometrica

Bassa — la maggior parte delle PMI non opera sistemi di identificazione biometrica

Sistemi IA utilizzati per l'identificazione biometrica remota in tempo reale o post-evento di persone fisiche in spazi pubblicamente accessibili. Include sistemi biometrici di autenticazione se utilizzati a fini di verifica dell'identità conseguente su larga scala.

Gestione delle infrastrutture critiche

Bassa — si applica agli operatori di servizi pubblici, trasporti e infrastrutture

IA destinata a essere componente di sicurezza nella gestione e nell'operazione di infrastrutture digitali critiche, traffico stradale e fornitura di acqua, gas, riscaldamento o elettricità.

Istruzione e formazione professionale

Media — si applica ai provider di formazione che utilizzano la valutazione IA

IA utilizzata per determinare l'accesso agli istituti di istruzione e formazione professionale, per valutare o classificare gli studenti, per rilevare comportamenti vietati durante le valutazioni e per raccomandare il livello di istruzione appropriato per un individuo.

Occupazione, gestione dei lavoratori e lavoro autonomo

Alta — ampiamente utilizzata nelle HR e nella selezione del personale nelle PMI

IA utilizzata per il reclutamento o la selezione di persone fisiche (incluso lo screening CV, il targeting lavorativo e l'analisi dei colloqui), per la valutazione delle prestazioni, le decisioni di promozione, l'assegnazione dei compiti e il monitoraggio del comportamento e delle prestazioni in contesti occupazionali. Questa è la categoria più comunemente rilevante per le PMI.

Servizi privati e pubblici essenziali

Media — si applica ai servizi finanziari, alle assicurazioni e ai servizi pubblici

IA utilizzata per valutare l'idoneità e concedere benefici pubblici, per valutare il merito creditizio, per determinare i premi assicurativi e per il dispacciamento dei servizi di emergenza. Include lo scoring creditizio IA e la sottoscrizione di prestiti assistita dall'IA.

Applicazione della legge

Molto bassa — si applica alla polizia e alle autorità di applicazione della legge

IA utilizzata dalle autorità di applicazione della legge per valutare il rischio di criminalità, come poligrafi, per l'analisi dei deepfake nelle indagini criminali e per scopi correlati. Generalmente non si applica alle PMI del settore privato.

Migrazione, asilo e controllo delle frontiere

Molto bassa — si applica alle autorità dell'immigrazione e delle frontiere

IA utilizzata per valutare i rischi di migrazione irregolare, per assistere nell'esame delle domande di visto e asilo e per la gestione delle frontiere. Si applica alle autorità pubbliche competenti e ai grandi provider di servizi in questo settore.

Amministrazione della giustizia e processi democratici

Molto bassa — si applica ai tribunali e all'amministrazione elettorale

IA utilizzata per assistere le autorità giudiziarie nella ricerca e nell'interpretazione dei fatti e della legge e nell'applicazione della legge a fatti concreti, e IA utilizzata per influenzare l'esito delle elezioni.

Articolo 26 — Obblighi del deployer per l'IA dell'Allegato III

Se distribuisci un sistema IA ad alto rischio dell'Allegato III, l'Articolo 26 richiede che tu:

Implementi misure di supervisione umana

Garantisca un'adeguata supervisione umana per il funzionamento e gli output del sistema IA, incluse procedure chiare per quando è richiesto l'intervento umano o la sostituzione.

Monitori il funzionamento e segnali gli incidenti

Monitori il sistema IA per i rischi e, ove richiesto, segnali gli incidenti gravi alla pertinente autorità di vigilanza del mercato.

Conduca una valutazione di impatto sui diritti fondamentali (FRIA)

Prima di distribuire determinati sistemi IA dell'Allegato III (in particolare quelli che interessano grandi popolazioni o prendono decisioni consequenziali), prepari una FRIA che documenti il potenziale impatto sui diritti fondamentali e le misure di mitigazione in atto.

Registri il sistema IA nel database IA UE

I deployer di specifici sistemi IA dell'Allegato III devono registrarli nel database pubblico IA a livello UE prima del deployment.

Informi i dipendenti

Quando il sistema IA riguarda o prende decisioni sui dipendenti, garantisca che quei dipendenti siano informati che sono soggetti al funzionamento del sistema IA.

Come prepararsi ora per dicembre 2027

Costruisci il tuo inventario dei sistemi IA — identifica ogni strumento IA che la tua azienda utilizza e valuta ciascuno rispetto alle categorie dell'Allegato III
Per ogni IA potenzialmente ad alto rischio, ottieni la documentazione tecnica e le informazioni di conformità del fornitore
Inizia a definire il perimetro della tua valutazione di impatto sui diritti fondamentali per ogni sistema dell'Allegato III
Identifica le misure di supervisione umana di cui hai bisogno e inizia a implementarle
Monitora le linee guida dell'Ufficio europeo per l'intelligenza artificiale man mano che vengono pubblicate — le aspettative di vigilanza vengono definite nel 2026

→ Inizia con un inventario dei sistemi IA — la nostra guida spiega cosa includere

Domande frequenti

L'utilizzo di uno strumento IA di screening CV soggetta la mia azienda agli obblighi ad alto rischio dell'Allegato III?

Sì. L'IA utilizzata per il reclutamento e la selezione di persone fisiche, incluso lo screening CV, la classificazione dei candidati e l'analisi dei colloqui, rientra nel punto 4 dell'Allegato III (occupazione, gestione dei lavoratori e accesso al lavoro autonomo). Come deployer di tale sistema, gli obblighi dell'Articolo 26 si applicheranno alla tua azienda dal 2 dicembre 2027. Non è necessario aspettare dicembre 2027 per iniziare a prepararsi.

Lo strumento IA che utilizzo per le HR è fornito da un importante fornitore di software. Le sue misure di conformità sono sufficienti per me?

No — non automaticamente. Il fornitore ha obblighi (come rendere disponibile la documentazione tecnica), ma come deployer, mantieni doveri specifici ai sensi dell'Articolo 26 che non possono essere delegati al fornitore. Questi includono la conduzione della tua valutazione di impatto sui diritti fondamentali, l'implementazione di misure di supervisione umana appropriate al tuo contesto e la cooperazione con le autorità di vigilanza se richiesto. La conformità del tuo fornitore non sostituisce la tua.

Come faccio a sapere se un sistema IA che utilizzo è «ad alto rischio» ai sensi dell'Allegato III?

L'Allegato III elenca otto categorie di sistemi IA ad alto rischio. Per ogni sistema che utilizzi, valuta: (1) Corrisponde a uno degli otto casi d'uso elencati? (2) È inteso per essere utilizzato in un contesto ad alto rischio (es. decisioni occupazionali, valutazione creditizia, classificazione educativa o accesso a servizi essenziali)? Se sì a entrambi, il sistema è probabilmente ad alto rischio. Alcuni sistemi IA sono specificamente esclusi dall'ambito dell'Allegato III dall'Articolo 6(3) — IA a scopo limitato con impatto limitato sul processo decisionale. Verifica le condizioni complete dell'Articolo 6 se ritieni che possa applicarsi un'esclusione.

Cos'è una valutazione di impatto sui diritti fondamentali e come se ne fa una?

Una valutazione di impatto sui diritti fondamentali (FRIA) è una revisione strutturata — richiesta ai sensi dell'Articolo 26(9) per i deployer di determinati sistemi IA dell'Allegato III — che valuta come gli output del sistema IA potrebbero influenzare i diritti delle persone che colpisce. Copre lo scopo previsto, la popolazione delle persone interessate, la natura dei potenziali impatti su diritti quali la non discriminazione, la privacy e l'accesso ai servizi, e le misure di mitigazione in atto. L'Ufficio europeo per l'intelligenza artificiale dovrebbe pubblicare linee guida e modelli. Per ora, inizia documentando il sistema IA, il suo contesto decisionale e i diritti potenzialmente in gioco.

Possiamo continuare a utilizzare i nostri sistemi IA esistenti in categorie ad alto rischio dopo dicembre 2027 senza conformarci al Capitolo III?

No. Dal 2 dicembre 2027, distribuire un sistema IA ad alto rischio dell'Allegato III senza soddisfare gli obblighi dell'Articolo 26 espone la tua azienda ad azioni normative. I sistemi già in uso a quella data non sono automaticamente esentati — le disposizioni transitorie sono limitate. Inizia la preparazione alla conformità ben prima della scadenza.

Scopri se utilizzi IA ad alto rischio

La valutazione di Regfortis mappa i tuoi casi d'uso IA rispetto a tutte le categorie dell'Allegato III e ti indica quali obblighi si applicano alla tua azienda.

Avvia valutazione gratuita

Costruisci il tuo inventario IA →

Fonti ufficiali

Solo informativo — non costituisce consulenza legale.