Classificazione del rischio: l'assessment dei tuoi sistemi

Senza una classificazione corretta, ogni adempimento successivo poggia su basi fragili. Il servizio di assessment di iusprivacy.eu ti dice esattamente a quale livello di rischio appartiene ciascun sistema di IA della tua azienda.

Perché la classificazione è il passaggio più delicato

Sapere quanti e quali sistemi di IA usa la tua azienda è solo il primo passo. Il passo decisivo è capire a quale livello di rischio dell'AI Act ciascun sistema appartiene, perché da questa qualificazione discende tutto il resto: gli obblighi che si applicano, la documentazione da produrre, le tempistiche da rispettare, i costi della compliance. Una classificazione errata può portare la tua azienda in due direzioni opposte, entrambe dannose: investire risorse su sistemi che non lo richiedono, oppure trascurare obblighi che invece sono dovuti.

Il rischio di classificazione errata non è teorico. Nella pratica, le aziende tendono a sottostimare il livello di rischio dei propri sistemi: pensano che un software HR di selezione automatica dei CV sia un semplice strumento gestionale, mentre l'AI Act lo qualifica come sistema ad alto rischio (Allegato III, punto 4). Altre volte, al contrario, si sopravvaluta il rischio per eccesso di prudenza, finendo per applicare obblighi pensati per sistemi ben più impegnativi.

Il metodo di classificazione di iusprivacy

Il servizio di classificazione di iusprivacy.eu è strutturato in fasi successive, ciascuna documentata, in modo da produrre un risultato motivato e opponibile in caso di controllo.

Fase 1: Censimento dei sistemi

Si parte con un'attività di mappatura dei sistemi di IA presenti in azienda. Attraverso interviste ai responsabili di funzione (HR, IT, marketing, customer care, controllo di gestione) e analisi della documentazione esistente (elenco software, contratti con i fornitori, registro dei trattamenti GDPR), si individuano tutti i sistemi che ricadono nella definizione di sistema di IA dell'art. 3 AI Act. Sono inclusi sia i sistemi installati on-premise sia quelli usati come servizio cloud, sia gli sviluppi interni sia gli acquisti da terzi.

Fase 2: Qualificazione del ruolo aziendale

Per ciascun sistema individuato si determina il ruolo dell'azienda: fornitore, deployer, importatore, distributore. Questa qualificazione, analizzata in dettaglio in una pagina apposita di questa sezione, è il presupposto della classificazione del rischio: gli obblighi sono diversi a seconda del ruolo, e in alcuni casi una stessa azienda è simultaneamente fornitore di un sistema e deployer di un altro.

Fase 3: Valutazione del livello di rischio

Per ciascun sistema si applicano i criteri dell'AI Act in modo sistematico. Si verifica se il sistema rientra nelle pratiche vietate dell'articolo 5; in caso negativo, se è ad alto rischio (componente di sicurezza di prodotto regolato dall'Allegato I, o sistema dell'Allegato III); se non è ad alto rischio, se è soggetto agli obblighi di trasparenza dell'articolo 50; altrimenti il sistema è classificato come a rischio minimo. Ogni passaggio è motivato per iscritto: non basta dire che un sistema è a rischio limitato, occorre spiegare perché lo è e quali sono le caratteristiche rilevanti.

Fase 4: Documento di classificazione

Il risultato dell'assessment è un documento di classificazione strutturato che, per ciascun sistema, riporta: descrizione del sistema e del suo funzionamento, qualificazione del ruolo aziendale, motivazione della classificazione di rischio, elenco degli obblighi che ne derivano, piano di adeguamento con priorità e tempistiche, suggerimenti operativi per la prima attuazione. Questo documento diventa il riferimento per tutti gli adempimenti successivi e la base di dialogo con le autorità in caso di controllo.

Casi tipici che incontriamo

Alcuni casi ricorrono con particolare frequenza. Il primo è quello del software HR per la selezione del personale: praticamente tutte le aziende strutturate ne hanno uno, spesso senza sapere che si tratta di un sistema ad alto rischio ai sensi dell'Allegato III, punto 4. Il secondo è quello del chatbot sul sito web: quasi sempre a rischio limitato (obblighi di trasparenza art. 50), ma occorre verificare che non abbia funzioni di profilazione automatica che possono spostarlo verso l'alto rischio. Il terzo è quello dell'uso di IA generativa per attività interne, che pone problemi più di GDPR e organizzazione che di classificazione, ma richiede comunque un'analisi accurata.

Un caso particolarmente delicato riguarda i sistemi di customer care, scoring del rischio finanziario, valutazione del personale, riconoscimento immagini in linee produttive. Per ciascuno di questi sistemi la classificazione richiede un'analisi specifica che combina aspetti giuridici e tecnici, e in cui l'esperienza accumulata sulla varietà di casi reali fa una differenza concreta.

L'output che ti consegniamo

Al termine del progetto di classificazione il cliente riceve un documento strutturato che funziona come mappa di compliance per i mesi e anni successivi. Tutti i dati vengono inseriti nella piattaforma iusprivacy.eu, dove rimangono accessibili e modificabili nel tempo. Quando un nuovo sistema entra in azienda, è sufficiente aggiungerlo al registro e applicare lo stesso metodo di classificazione, mantenendo viva la mappa senza dover rifare ogni volta l'intero lavoro.