I 4 livelli di rischio dell’AI Act, spiegati con esempi

A cura di Solucom · 1 Giugno 2026

La parola « rischio », accanto a « intelligenza artificiale », mette ansia. Ma l’AI Act usa quella parola in modo molto preciso, e capirlo ti toglie metà delle preoccupazioni. Il regolamento non tratta tutti gli usi dell’AI allo stesso modo: li ordina in quattro livelli di rischio, come una piramide. Più sali, più regole; ma la base della piramide — dove sta la stragrande maggioranza delle aziende — è quasi libera. Vediamo i quattro livelli con esempi concreti, così capisci dove ti collochi davvero. (Come sempre: qui c’è informazione, non una consulenza legale sul tuo caso.)

1. Rischio inaccettabile: gli usi vietati

In cima alla piramide ci sono gli usi considerati così pericolosi da essere vietati nell’Unione Europea (il divieto è in vigore dal febbraio 2025). Qui non si parla di obblighi da rispettare: queste cose, semplicemente, non si possono fare.

Qualche esempio: il punteggio sociale dei cittadini in stile sorveglianza di massa, i sistemi che manipolano le persone sfruttando vulnerabilità (età, disabilità), il riconoscimento delle emozioni sul posto di lavoro o a scuola, la raccolta indiscriminata di volti per costruire database di riconoscimento facciale. Per una normale PMI è una buona notizia: sono pratiche lontanissime dall’uso quotidiano. Difficilmente ti riguardano, a meno che tu non stia valutando qualcosa di davvero spinto.

2. Alto rischio: usi delicati, obblighi seri

Il secondo livello è quello che richiede più attenzione. Sono usi leciti ma delicati, perché incidono sui diritti o sulla sicurezza delle persone. Qui scattano obblighi pesanti: documentazione, supervisione umana, gestione della qualità dei dati, tracciabilità. (Ricorda: per questi obblighi le scadenze sono state rinviate al 2027-2028, come spiego nelle date che contano.)

Esempi che possono toccare anche una PMI: AI usata per selezionare il personale (screening automatico dei curriculum), per valutare l’affidabilità creditizia di un cliente, per decidere l’accesso a servizi essenziali, o l’AI integrata in prodotti regolati come dispositivi medici. Il punto da ricordare: se usi l’AI per prendere — o anche solo influenzare in modo automatico — decisioni importanti sulle persone, probabilmente sei qui.

3. Rischio limitato: basta la trasparenza

Scendendo, troviamo gli usi a rischio limitato. Qui non servono procedure complesse: serve essere trasparenti. La regola di fondo è che le persone devono sapere quando stanno interagendo con un’AI o guardando un contenuto generato.

Esempi molto concreti per un’azienda: un chatbot sul sito deve far capire che si sta parlando con un’AI, non con una persona; le immagini, i testi o i video generati dall’AI e pubblicati vanno segnalati come tali nei casi previsti (l’obbligo pieno di trasparenza si applica dall’agosto 2026). È il livello in cui ricade buona parte degli usi « visibili » dell’AI nelle PMI: nulla di drammatico, solo onestà dichiarata.

4. Rischio minimo: la stragrande maggioranza

Alla base della piramide c’è tutto il resto: gli usi a rischio minimo, che non comportano obblighi specifici dall’AI Act. Qui sta la maggior parte di ciò che le aziende fanno ogni giorno con l’AI.

Esempi: usare l’AI per scrivere bozze di testi, riassumere documenti, organizzare appunti, tradurre, fare ricerche interne, filtrare lo spam, suggerire prodotti. Tutte attività a basso impatto sui diritti delle persone. Servono buon senso e attenzione ai dati, ma non un apparato di compliance dedicato.

Il punto che quasi tutti sbagliano: conta l’uso, non lo strumento

Ecco la chiave per non confondersi. Il livello di rischio non dipende dallo strumento, ma da come lo usi. Lo stesso identico modello di AI generica può stare a rischio minimo o ad alto rischio a seconda del compito.

Esempio chiarissimo: usare un assistente AI per scrivere la bozza di un’offerta commerciale è rischio minimo. Usare lo stesso assistente per decidere automaticamente quali candidati scartare in un’assunzione è alto rischio. Stesso strumento, due mondi normativi diversi. Per questo non ha senso chiedere « ChatGPT è ad alto rischio? »: la domanda giusta è « per cosa lo sto usando? ». Lo stesso vale per un agente AI: è l’uso a determinarne il livello.

Fornitore o utilizzatore? Anche il ruolo conta

C’è un secondo elemento, oltre al livello di rischio, che decide quanti obblighi hai: il ruolo che giochi rispetto al sistema di AI. L’AI Act distingue soprattutto due figure, e la differenza è sostanziale.

• Il fornitore è chi sviluppa un sistema di AI e lo immette sul mercato, o lo mette in uso con il proprio nome. Su di lui ricadono gli obblighi più pesanti, soprattutto se il sistema è ad alto rischio.
• L’utilizzatore professionale (il « deployer ») è chi usa un sistema di AI nella propria attività. Qui gli obblighi sono in genere più leggeri: usare il sistema come previsto, garantire una supervisione umana dove richiesta, non stravolgerne lo scopo.

Per la quasi totalità delle PMI la posizione è la seconda: usi strumenti fatti da altri, non li costruisci. Ottima notizia, perché ti tiene lontano dagli obblighi più gravosi. Ma c’è un’eccezione da conoscere: se personalizzi profondamente un sistema ad alto rischio, lo rimarchi con il tuo nome o ne cambi la destinazione d’uso, agli occhi del regolamento puoi diventare tu stesso un « fornitore », con tutto ciò che ne consegue. Non capita spesso, ma vale la pena saperlo prima di mettere il proprio logo su una soluzione di terzi e rivenderla come propria.

Errori comuni

• « AI uguale alto rischio ». Falso: la maggior parte degli usi sta in fondo alla piramide, a rischio minimo o limitato.
• Non accorgersi di un uso ad alto rischio. L’AI per selezione del personale o valutazione del credito è facile da introdurre « senza pensarci », ma cambia tutto. È il caso da sorvegliare.
• Ignorare la trasparenza. Il rischio limitato sembra « niente », ma dichiarare un chatbot o un contenuto generato è un obbligo concreto, oltre che una questione di fiducia.
• Guardare lo strumento invece dell’uso. È l’errore di fondo da cui nascono tutti gli altri.

Il primo passo, concreto

Riprendi l’elenco degli usi dell’AI nella tua azienda (se non ce l’hai, bastano dieci minuti per scriverlo). Accanto a ciascuno, prova ad assegnare un livello: vietato, alto, limitato o minimo. Per la maggior parte finirai a « minimo » o « limitato », e va benissimo. Quello che cerchi davvero è il singolo uso che, magari di nascosto, ricade in « alto rischio »: è lì che vale la pena fermarsi e farsi seguire. In un foglio hai la tua mappa del rischio, ed è il modo più rapido per dormire tranquillo.

La regola da tenere a mente

I quattro livelli dell’AI Act sono una piramide: pochi usi vietati in cima, alcuni usi delicati ad alto rischio, una fascia di trasparenza per gli usi visibili e una larghissima base a rischio minimo dove ricade quasi tutto. La regola d’oro è una sola: il rischio sta nell’uso, non nello strumento. Tienila a mente e l’AI Act smette di essere un’incognita.

Domande frequenti

C’è un uso dell’AI in azienda che non sai dove collocare? Mandami l’elenco dei tuoi usi principali e ti aiuto a metterli nel livello giusto, segnalandoti gli unici su cui conviene davvero approfondire. Scopri come affrontiamo l’AI Act o scrivici i tuoi usi.