I 4 livelli di rischio dell’AI Act spiegati con esempi per le piccole aziende

Le aziende industriali e le supply chain di oggi operano in un contesto di pressione costante. Tra l’aumento dei costi logistici, la carenza di personale qualificato e l’incertezza delle catene di approvvigionamento, l’Intelligenza Artificiale viene spesso presentata come la soluzione definitiva a ogni inefficienza. Come manager delle operations, probabilmente ricevi ogni settimana proposte per software “basati sull’AI” che promettono di ottimizzare il magazzino, prevedere la domanda o automatizzare il controllo qualità.

Tuttavia, introdurre l’AI in azienda non è solo una questione tecnologica o di processo. Con l’entrata in vigore dell’AI Act europeo (basato sulle direttive della digital-strategy.ec.europa.eu), la variabile normativa diventa un elemento cruciale del risk management aziendale. Ignorare questa normativa significa rischiare di investire decine di migliaia di euro in strumenti che, nel giro di pochi mesi, potrebbero diventare inutilizzabili o esporre l’azienda a sanzioni pesantissime.

L’obiettivo di questo articolo non è fare terrorismo psicologico, né perdersi in definizioni legali astratte. Al contrario, vogliamo fare chiarezza con il massimo pragmatismo. Esploreremo i livelli di rischio AI Act per aiutarti a mappare esattamente dove si posizionano gli strumenti che usi o che intendi acquistare, traducendo il linguaggio normativo in impatti operativi reali per la tua fabbrica, il tuo magazzino o il tuo ufficio acquisti.

L’approccio basato sul rischio

L’Unione Europea ha scelto un approccio estremamente pragmatico per regolamentare l’Intelligenza Artificiale. Il legislatore non ha cercato di normare la tecnologia in sé — non troverai regole specifiche su come deve essere scritta una rete neurale o un modello linguistico — ma si è concentrato sull’uso che se ne fa. L’impatto e il potenziale danno determinano le regole.

In ambito operations e lean management, questo concetto ci è molto famigliare. Valutiamo le categorie rischio intelligenza artificiale esattamente come valutiamo i rischi per la sicurezza sul lavoro (D.Lgs. 81/08) o i colli di bottiglia in una linea produttiva. Un taglierino usato per aprire scatole in magazzino ha un profilo di rischio diverso rispetto a un braccio robotico automatizzato. Lo stesso vale per il software.

L’AI Act struttura questa classificazione in una piramide composta da 4 livelli di rischio dell’AI Act:

• Rischio inaccettabile: pratiche che vanno contro i diritti fondamentali e sono semplicemente bandite.
• Alto rischio: sistemi permessi, ma soggetti a regole ferree, documentazione e controlli continui.
• Rischio di trasparenza: sistemi che interagiscono con le persone, per i quali è obbligatorio dichiarare che si tratta di macchine.
• Rischio minimo: la stragrande maggioranza delle applicazioni aziendali, che non subiscono nuove restrizioni.

Comprendere questa piramide cambia radicalmente il modo in cui prendi decisioni operative. Prima di firmare un contratto per un nuovo software AI, la prima domanda da fare al fornitore non deve essere “Qual è il ROI?”, ma “In quale fascia dell’AI Act ricade questa soluzione?”.

Rischio inaccettabile: le pratiche vietate

Alla base della tutela europea ci sono le pratiche vietate AI Act. Si tratta di utilizzi dell’Intelligenza Artificiale considerati una minaccia inaccettabile per la sicurezza, i mezzi di sussistenza e i diritti delle persone. Per queste applicazioni non esistono scappatoie, certificazioni o adeguamenti: sono semplicemente illegali.

L’impatto operativo di questo livello è immediato. Le disposizioni relative ai divieti entrano in vigore molto presto, a partire dal 2 febbraio 2025. Se la tua azienda sta sperimentando o utilizzando sistemi che rientrano in questa categoria, devi pianificarne la dismissione immediata.

Gli 8 usi vietati

La normativa individua 8 pratiche specifiche che costituiscono un rischio inaccettabile. Sebbene alcune sembrino lontane dalla realtà di una PMI (come il social scoring governativo), altre sono insidiosamente vicine alle tentazioni di molti manager industriali in cerca di iper-controllo. Ecco i divieti principali:

• Social scoring: classificazione delle persone basata sul comportamento sociale o sulle caratteristiche personali.
• Scraping facciale non mirato: la creazione di database di riconoscimento facciale raccogliendo immagini in modo indiscriminato da internet o dalle telecamere a circuito chiuso (CCTV).
• Riconoscimento delle emozioni sul posto di lavoro e nelle scuole: dedurre lo stato emotivo o la stanchezza di un lavoratore tramite sensori o telecamere.
• Categorizzazione biometrica: dedurre opinioni politiche, credo religioso, orientamento sessuale o razza dai dati biometrici.
• Manipolazione comportamentale subliminale: usare tecniche che aggirano la consapevolezza per alterare il comportamento.
• Sfruttamento delle vulnerabilità: colpire persone in base a età, disabilità o situazione socio-economica.
• Polizia predittiva basata su profili: valutare il rischio che una persona commetta un reato basandosi solo su tratti della personalità.
• Identificazione biometrica remota in tempo reale in spazi pubblici: vietata per le aziende private e limitata a casi gravissimi per le forze dell’ordine.

Esempio operativo e un errore comune:
Immagina di gestire un polo logistico con ritmi serrati. Un fornitore ti propone un sistema di telecamere intelligenti da installare sopra le postazioni di imballaggio. Il software promette di “analizzare le micro-espressioni facciali e la postura” per avvisare il capoturno se un operatore è troppo stanco o stressato, vendendotelo come un sistema innovativo per la “sicurezza sul lavoro”.

L’errore: Acquistare questa tecnologia pensando di fare un favore alla sicurezza. In realtà, questo rientra esattamente nel divieto di riconoscimento delle emozioni sul posto di lavoro. Dal 2 febbraio 2025, usare questo sistema sarà illegale. La soluzione corretta? Applicare i principi Lean: se gli operatori sono stanchi, devi rivedere l’ergonomia della postazione (5S), bilanciare i carichi di lavoro (Heijunka) e basarti sul feedback umano, non spiare le loro emozioni con un algoritmo.

Alto rischio: obblighi e settori

Scendendo di un gradino nella piramide troviamo i sistemi ad alto rischio. Questi non sono vietati, ma poiché possono avere un impatto significativo sulla vita, la salute o le opportunità delle persone, sono soggetti a obblighi molto severi prima di poter essere messi sul mercato o utilizzati.

Per le aziende che utilizzano questi sistemi (i “deployer”), le regole di conformità entreranno in vigore in due fasi: il 2 dicembre 2027 e il 2 agosto 2028, a seconda della specifica categoria del sistema. Tuttavia, chi sviluppa e chi acquista oggi deve già progettare i processi tenendo conto di queste scadenze.

Quando un sistema è ad alto rischio

L’AI Act definisce ad alto rischio i sistemi utilizzati in infrastrutture critiche, componenti di sicurezza dei prodotti, servizi pubblici essenziali, ma soprattutto in due aree che toccano quasi tutte le aziende strutturate: l’occupazione (Risorse Umane) e l’accesso al credito.

Se utilizzi l’AI per queste finalità, dovrai garantire standard rigorosi che includono:

• Gestione del rischio: un sistema continuo per identificare e mitigare i rischi.
• Qualità dei dati: garanzia che i dati di addestramento siano rappresentativi e privi di bias (pregiudizi).
• Tracciabilità e Log: registrazione automatica degli eventi per garantire la tracciabilità dei risultati (esattamente come la tracciabilità di lotto in produzione).
• Trasparenza: fornire istruzioni chiare agli utilizzatori.
• Sorveglianza umana: la macchina non può avere l’ultima parola; un essere umano deve sempre poter intervenire, supervisionare e annullare la decisione dell’AI.

Esempio operativo e un errore comune:
Un’azienda manifatturiera deve assumere 50 operatori stagionali per far fronte a un picco di domanda. Le Risorse Umane ricevono 2.000 CV e decidono di usare un software AI per fare un primo screening automatico, scartando l’80% dei candidati e passando ai recruiter solo i migliori.

Questo è un sistema di AI ad alto rischio, perché impatta sull’accesso all’occupazione.

L’errore: Implementare il concetto di “Sorveglianza umana” in modo fittizio. Molte aziende credono che basti far cliccare a un addetto HR il pulsante “Approva la lista generata dall’AI” per essere in regola. Questo è un errore grave. La sorveglianza umana richiede che l’operatore comprenda le logiche del sistema, abbia il tempo e l’autorità per contestare le scelte dell’algoritmo e possa esaminare i CV scartati. In ottica Lean, è il principio del Jidoka (autonomazione): la macchina fa il lavoro pesante, ma l’intelligenza e la decisione finale (fermare la linea, assumere la persona) restano saldamente in mano all’uomo.

Rischio di trasparenza

Il terzo livello riguarda il rischio di manipolazione o inganno dovuto alla natura stessa dell’interazione con l’Intelligenza Artificiale. L’articolo 50 dell’AI Act stabilisce regole chiare sulla trasparenza, che diventeranno operative a partire dal 2 agosto 2026.

Il principio di base è semplice e inattaccabile: le persone hanno il diritto di sapere se stanno interagendo con una macchina o se un contenuto è stato generato artificialmente.

Chatbot e contenuti generati: cosa dichiarare

Questo livello di rischio tocca moltissime applicazioni pratiche che le aziende stanno già implementando per ridurre i costi generali e migliorare i tempi di risposta.

Se la tua azienda utilizza un chatbot per il servizio clienti, un assistente virtuale per il portale fornitori, o genera immagini sintetiche per i cataloghi, rientri in questa categoria. Gli obblighi sono leggeri ma fondamentali:

• Interazione diretta: l’utente deve essere informato in modo chiaro e tempestivo che sta parlando con un’AI.
• Deepfake e contenuti sintetici: immagini, audio o video generati o manipolati dall’AI devono essere etichettati in modo evidente (watermark o diciture esplicite).

Esempio operativo e un errore comune:
Un’azienda B2B implementa un chatbot sul proprio portale per automatizzare le richieste di tracciamento degli ordini (ETA consegne, stato della spedizione). Per rendere il sistema “più amichevole” e spingere i clienti a usarlo invece di chiamare il centralino, l’azienda chiama il bot “Assistente Marco”, gli assegna la foto di un dipendente sorridente e lo programma per rispondere con frasi molto colloquiali.

L’errore: Mascherare l’identità dell’AI. Cercare di ingannare l’utente facendogli credere di parlare con un operatore umano reale viola gli obblighi di trasparenza. La soluzione pragmatica è essere onesti: “Ciao, sono il Virtual Assistant Logistico di [Nome Azienda]. Sono un’intelligenza artificiale addestrata per darti lo stato dei tuoi ordini in tempo reale. Inserisci il numero d’ordine”. La trasparenza non riduce l’adozione dello strumento se lo strumento funziona bene e risolve il problema velocemente.

Rischio minimo

Arriviamo infine alla base della piramide, la categoria in cui rientrano la stragrande maggioranza dei sistemi di Intelligenza Artificiale attualmente utilizzati nelle operations, nella logistica e nella produzione. Per i sistemi a rischio minimo, l’AI Act non impone alcun nuovo obbligo legale, lasciando le aziende libere di adottare codici di condotta volontari.

Questa è un’ottima notizia per chi si occupa di supply chain ed efficienza dei processi. Significa che puoi continuare a innovare senza il peso di una burocrazia paralizzante, a patto di scegliere i processi giusti da ottimizzare.

Rientrano in questa categoria:

• Filtri antispam e sistemi di categorizzazione delle email standard.
• Sistemi di Demand Planning: algoritmi che analizzano lo storico delle vendite, la stagionalità e i dati di mercato per prevedere le scorte necessarie in magazzino.
• Ottimizzazione dei percorsi (Routing): AI che calcola il giro consegne ottimale per i camion, riducendo il consumo di carburante.
• Manutenzione predittiva standard: sensori IoT sulle macchine CNC che prevedono l’usura dei cuscinetti (purché non impattino su sistemi critici di sicurezza vitale).
• Dimensionamento Kanban dinamico: algoritmi che ricalcolano i lotti di riordino in base ai lead time variabili dei fornitori.
• OCR avanzato: sistemi di lettura ottica intelligente per l’estrazione dati dalle fatture passive.

In questi ambiti, l’AI agisce come un potente calcolatore che supporta i processi fisici e informativi, senza toccare i diritti fondamentali delle persone. È qui che le aziende industriali dovrebbero concentrare l’80% dei loro investimenti in Intelligenza Artificiale: applicazioni a basso rischio normativo, ma ad altissimo ritorno sull’investimento (ROI) operativo.

Conclusione: prima i processi, poi la tecnologia

L’AI Act europeo è, nella sostanza, uno strumento di standardizzazione, non un ostacolo all’innovazione. Da consulenti che lavorano ogni giorno in operations e lean management, vediamo troppo spesso aziende farsi abbagliare dall’hype tecnologico e comprare software complessi prima ancora di aver messo ordine nei propri processi fisici.

La regola resta quella di sempre: prima si snellisce il processo, poi lo si digitalizza, infine lo si potenzia con l’AI. Applicare l’Intelligenza Artificiale a un processo caotico significa solo automatizzare lo spreco (Muda) più velocemente.

Oggi a questa regola si aggiunge un tassello in più: la conformità normativa. Conoscere i 4 livelli di rischio dell’AI Act serve a evitare investimenti sbagliati, tenersi lontani dalle pratiche vietate e gestire correttamente i sistemi ad alto rischio, per concentrare energie e budget sulle applicazioni a rischio minimo, quelle che portano vero valore al flusso.

I principi del buon management non cambiano, anche se la tecnologia sì. Il punto non è avere paura della normativa: è muoversi con metodo invece che alla cieca. Se stai valutando nuovi strumenti AI in supply chain o produzione, o vuoi sapere se quello che usi già è a norma per le scadenze in arrivo, il primo passo è mappare la situazione attuale.

Richiedi un assessment con i nostri esperti. Analizziamo i tuoi processi e le tecnologie in uso, li confrontiamo con i requisiti dell’AI Act, e ti diamo un piano d’azione chiaro e pragmatico. Niente teoria, solo cose che puoi applicare in fabbrica da subito.