L’intelligenza artificiale si sta rapidamente spostando dal software autonomo ai prodotti fisici. Macchine, dispositivi medici, apparecchiature industriali, robot, veicoli, sistemi di sicurezza e prodotti connessi utilizzano sempre più l’IA per rilevare, prevedere, controllare, classificare o prendere decisioni.
Ai sensi del Regolamento UE sull’intelligenza artificiale — Regolamento (UE) 2024/1689, questa evoluzione pone ai fabbricanti un’importante questione normativa:
Se l’intelligenza artificiale svolge una funzione di sicurezza all’interno del Suo prodotto, il sistema di IA stesso potrebbe essere soggetto ai requisiti di conformità UE per l’IA ad alto rischio?
Per alcuni prodotti, la risposta è sì.
L’AI Act crea un collegamento diretto tra la governance dell’intelligenza artificiale e il consolidato quadro europeo di conformità dei prodotti. I fabbricanti potrebbero quindi dover considerare gestione del rischio dell’IA, documentazione tecnica, governance dei dati, supervisione umana, cybersecurity e monitoraggio post-commercializzazione accanto ai requisiti di sicurezza del prodotto che già gestiscono.
Quando l’IA in un prodotto diventa ad alto rischio?
L’AI Act dell’UE stabilisce diverse categorie di sistemi di IA ad alto rischio.
Una categoria particolarmente importante per i fabbricanti riguarda i sistemi di IA associati a prodotti disciplinati dalla legislazione europea di prodotto esistente.
Ai sensi dell’articolo 6, paragrafo 1, dell’AI Act, un sistema di IA può essere classificato ad alto rischio quando sono soddisfatte due condizioni:
Il sistema di IA è destinato a essere utilizzato come componente di sicurezza di un prodotto, oppure il sistema di IA è esso stesso un prodotto disciplinato dalla pertinente normativa di armonizzazione dell’UE.
Il prodotto, o il sistema di IA in quanto prodotto, deve essere sottoposto a una valutazione della conformità da parte di terzi prima dell’immissione sul mercato UE o della messa in servizio.
Quando entrambe le condizioni sono soddisfatte, il sistema di IA è considerato ad alto rischio ai sensi dell’AI Act.
I fabbricanti non possono stabilire l’applicabilità dell’AI Act semplicemente chiedendosi se un prodotto contiene intelligenza artificiale. La funzione prevista dell’IA, il suo rapporto con la sicurezza del prodotto e la legislazione UE di prodotto sottostante devono essere esaminati congiuntamente.
Quali prodotti potrebbero essere interessati?
I prodotti dotati di IA si stanno diffondendo rapidamente nei mercati industriali e di consumo.
A seconda della legislazione di settore applicabile e del ruolo svolto dal sistema di IA, le categorie di prodotto potenzialmente rilevanti possono includere:
Nell’illustrare il quadro di classificazione ad alto rischio, la Commissione europea ha citato espressamente esempi legati ai prodotti, come i sistemi di IA che azionano robot, droni e dispositivi medici.
Non ogni funzione di IA rende un prodotto ad alto rischio
La presenza di intelligenza artificiale in un prodotto non significa automaticamente che il prodotto rientri nella categoria dell’IA ad alto rischio.
La valutazione normativa dipende dalla finalità prevista del sistema di IA e dal ruolo che svolge.
L’IA può ottimizzare impostazioni, fornire raccomandazioni, personalizzare l’esperienza dell’utente o svolgere funzioni che non incidono in modo sostanziale sulla sicurezza del prodotto.
L’IA influenza o svolge una funzione il cui guasto potrebbe compromettere la salute o la sicurezza delle persone, e il prodotto associato è soggetto al pertinente regime di valutazione della conformità da parte di terzi.
La destinazione d’uso del prodotto diventa decisiva
Uno dei principi centrali della valutazione della conformità UE è la definizione, da parte del fabbricante, della destinazione d’uso del prodotto.
Lo stesso principio diventa particolarmente importante quando l’intelligenza artificiale è integrata in un prodotto.
I fabbricanti devono comprendere:
- quale funzione svolge il sistema di IA;
- se la funzione di IA incide sulla sicurezza del prodotto;
- come l’IA interagisce con utenti, operatori e altri sistemi;
- quali decisioni o output l’IA può generare;
- che cosa accade se l’IA si comporta in modo errato;
- se l’intervento umano resta possibile;
- quale legislazione UE di prodotto si applica; e
- se tale legislazione richiede una valutazione della conformità da parte di terzi.
La valutazione della conformità dell’IA diventa parte della conformità del prodotto
Una delle caratteristiche più importanti dell’AI Act è il tentativo di evitare la creazione di sistemi di valutazione della conformità inutilmente duplicati.
Quando un sistema di IA ad alto rischio è integrato in un prodotto disciplinato dalla pertinente normativa di armonizzazione dell’Unione, i requisiti dell’AI Act vengono integrati nella procedura di valutazione della conformità prevista per tale prodotto.
Ciò significa che i fabbricanti potrebbero dover dimostrare sempre più la conformità a entrambi:
Requisiti di sicurezza, prestazione, meccanici, elettrici, funzionali o di altro tipo specifici del settore stabiliti dalla legislazione UE di prodotto applicabile.
Gestione del rischio, governance dei dati, documentazione tecnica, registrazioni, trasparenza, supervisione umana, accuratezza, robustezza e cybersecurity.
Che cosa devono dimostrare i sistemi di IA ad alto rischio?
I sistemi di IA ad alto rischio sono soggetti a un insieme strutturato di requisiti volti a sostenere un uso affidabile e controllato dell’intelligenza artificiale.
Prima che un tale sistema sia immesso sul mercato UE o messo in servizio, il fornitore deve garantire che i requisiti applicabili siano stati soddisfatti e che la pertinente procedura di valutazione della conformità sia stata completata.
Istituire e mantenere un processo sistematico per identificare, valutare, controllare e monitorare i rischi legati all’IA.
Garantire, ove pertinente, adeguati controlli di governance e qualità per i dati di addestramento, convalida e prova.
Mantenere una documentazione in grado di dimostrare progettazione, finalità prevista, funzionamento e conformità del sistema.
Consentire, ove richiesto, un’adeguata registrazione (logging) e tracciabilità del funzionamento del sistema di IA.
Fornire informazioni sufficienti affinché i deployer possano comprendere e utilizzare adeguatamente il sistema.
Progettare meccanismi adeguati che consentano alle persone di sorvegliare, interpretare o intervenire nel funzionamento del sistema.
Stabilire livelli adeguati di prestazione, coerenza, resilienza e tolleranza ai guasti.
Proteggere il sistema di IA ad alto rischio dalle minacce di cybersecurity e dalle manipolazioni pertinenti.
La gestione del rischio diventa un processo lungo il ciclo di vita
La gestione del rischio dell’IA non può essere trattata come un unico documento preparato immediatamente prima della certificazione.
Ai sensi dell’AI Act, la gestione del rischio deve operare come un processo continuo e iterativo lungo l’intero ciclo di vita del sistema di IA ad alto rischio.
Fabbricanti e fornitori di IA dovrebbero quindi considerare come i rischi vengono identificati durante lo sviluppo, come vengono controllati prima dell’immissione sul mercato e come vengono individuati nuovi rischi una volta che i prodotti sono in uso.
La qualità dei dati può diventare una questione di conformità del prodotto
La conformità tradizionale dei prodotti si è generalmente concentrata sulle caratteristiche e sulle prestazioni del prodotto fisico.
L’intelligenza artificiale introduce un’ulteriore dimensione: i dati utilizzati per sviluppare, convalidare e provare il sistema possono influenzare l’affidabilità delle prestazioni del prodotto.
Per i sistemi di IA ad alto rischio, la governance dei dati diventa quindi parte del quadro normativo.
I fabbricanti che integrano sistemi di IA sviluppati esternamente potrebbero quindi aver bisogno di molte più informazioni da sviluppatori software e fornitori di tecnologia rispetto a quelle tradizionalmente richieste ai fornitori di componenti.
La supervisione umana deve essere progettata nel prodotto
I sistemi di IA ad alto rischio necessitano di adeguate modalità di supervisione umana.
Il livello appropriato di supervisione dipenderà dall’uso previsto, dal livello di automazione, dai rischi associati e dalla capacità di utenti o operatori di comprendere e influenzare il comportamento del sistema.
- se gli operatori sono in grado di comprendere gli output dell’IA;
- se avvertenze o limitazioni sono comunicate chiaramente;
- se le persone possono escludere o arrestare la funzione di IA;
- se un eccessivo affidamento sugli output automatizzati potrebbe generare rischi;
- quale competenza è richiesta agli operatori; e
- come vengono convalidati i meccanismi di supervisione durante le prove del prodotto.
Cybersecurity e sicurezza dell’IA sono sempre più interconnesse
I prodotti dotati di IA possono generare rischi di cybersecurity che incidono direttamente sul comportamento del prodotto.
La manipolazione dei dati di input, l’interferenza con i modelli, l’accesso non autorizzato al sistema o componenti software compromessi potrebbero alterare gli output dell’IA e quindi compromettere sicurezza o prestazioni.
L’AI Act include di conseguenza la cybersecurity tra i requisiti obbligatori per i sistemi di IA ad alto rischio.
La certificazione di cybersecurity o le dichiarazioni di conformità rilasciate nell’ambito di determinati sistemi europei di certificazione della cybersecurity possono inoltre creare una presunzione di conformità ai corrispondenti requisiti di cybersecurity dell’AI Act, nella misura in cui tali requisiti siano coperti.
La documentazione tecnica deve spiegare l’IA
La documentazione tecnica diventa particolarmente importante perché autorità e organismi di valutazione della conformità devono comprendere come il sistema di IA è stato progettato, convalidato e controllato.
A seconda del sistema e dei requisiti applicabili, la documentazione potrebbe dover trattare aspetti quali:
Ciò richiede uno stretto coordinamento tra gli sviluppatori dell’IA e il fabbricante responsabile dell’immissione sul mercato del prodotto finale.
I sistemi di gestione della qualità diventano parte della conformità dell’IA
I fornitori di sistemi di IA ad alto rischio sono tenuti a istituire un sistema di gestione della qualità a supporto della conformità all’AI Act.
Ciò è particolarmente rilevante per i fabbricanti che già dispongono di sistemi di gestione consolidati, poiché la governance dell’IA potrebbe dover essere integrata nei processi esistenti di progettazione, sviluppo, fornitori, verifica, azioni correttive e post-commercializzazione.
Integrare i requisiti sull’IA nei processi di sviluppo del prodotto e di controllo delle modifiche.
Definire requisiti tecnici e di conformità per sistemi di IA, modelli e software sviluppati esternamente.
Disporre di evidenze che la funzionalità di IA operi come previsto in condizioni appropriate.
Mantenere le registrazioni tecniche, di rischio, di prova e di conformità a supporto della valutazione della conformità.
Gestire carenze, incidenti e non conformità individuati durante lo sviluppo o l’esercizio post-commercializzazione.
Monitorare le prestazioni del sistema e i rischi emergenti dopo la messa in servizio del prodotto.
Quando interviene un organismo notificato?
Non tutti i sistemi di IA ad alto rischio seguono lo stesso percorso di valutazione della conformità.
Per i sistemi di IA ad alto rischio collegati a prodotti disciplinati dalla normativa di armonizzazione dell’Unione elencata nell’allegato I dell’AI Act, la procedura di valutazione della conformità segue quella prevista dalla legislazione di prodotto applicabile. I requisiti dell’AI Act diventano parte di tale valutazione.
Quando la legislazione di prodotto sottostante richiede l’intervento di un organismo notificato, i pertinenti requisiti sull’IA possono quindi diventare parte di tale valutazione della conformità da parte di terzi.
Il fabbricante segue la procedura di valutazione della conformità stabilita dalla pertinente legislazione UE di prodotto.
Lo stesso quadro di conformità integra i requisiti applicabili dell’AI Act relativi al sistema di IA ad alto rischio.
La marcatura CE collega i due mondi normativi
I fornitori di sistemi di IA ad alto rischio soggetti all’AI Act devono completare la valutazione della conformità applicabile e redigere una dichiarazione di conformità UE prima dell’immissione sul mercato.
Per l’IA ad alto rischio legata ai prodotti, questo quadro si interfaccia con il consolidato sistema europeo della marcatura CE.
Ne risulta un modello di conformità sempre più integrato, in cui il fabbricante potrebbe dover dimostrare sia la conformità tradizionale del prodotto sia la conformità del sistema di IA nell’ambito di un’unica strategia complessiva di accesso al mercato.
La domanda non è più semplicemente se una macchina o un dispositivo sia conforme ai requisiti europei di sicurezza dei prodotti. I fabbricanti devono comprendere sempre più se l’intelligenza che controlla tale prodotto generi a sua volta obblighi normativi propri.
Una modifica sostanziale può comportare una nuova valutazione
I sistemi di intelligenza artificiale possono evolvere rapidamente.
Aggiornamenti software, modifiche del modello, riaddestramento, set di dati modificati o cambiamenti della finalità prevista possono alterare il comportamento del sistema.
Ai sensi dell’AI Act, una modifica sostanziale può richiedere una nuova valutazione della conformità prima che il sistema modificato sia immesso sul mercato o messo in servizio.
La catena di fornitura diventa più complessa
Molti fabbricanti non svilupperanno internamente tutti i sistemi di IA.
I prodotti possono integrare modelli di terze parti, software sviluppato esternamente, componenti dotati di IA, servizi cloud o sistemi forniti da aziende tecnologiche specializzate.
Ciò pone nuove questioni nella catena di fornitura.
- chi agisce legalmente come fornitore dell’IA;
- chi controlla la finalità prevista del sistema di IA;
- quali informazioni tecniche deve fornire lo sviluppatore dell’IA;
- quali diritti ha il fabbricante di esaminare o sottoporre ad audit la tecnologia di IA;
- come vengono comunicate le modifiche al modello o al software;
- chi gestisce incidenti e azioni correttive;
- come vengono ripartite le responsabilità di cybersecurity; e
- come vengono mantenute le evidenze di conformità lungo tutta la catena di fornitura.
Che cosa dovrebbero fare ora i fabbricanti
I fabbricanti che integrano l’intelligenza artificiale nei prodotti dovrebbero iniziare comprendendo esattamente dove si trova l’IA nel proprio portafoglio prodotti e quale ruolo svolge.
Identificare i prodotti che contengono IA e documentare le funzioni svolte da tali sistemi.
Identificare la normativa di armonizzazione UE applicabile a ciascun prodotto dotato di IA.
Stabilire se l’IA svolge una funzione di sicurezza e se il prodotto richiede una valutazione della conformità da parte di terzi.
Confrontare i controlli esistenti di sviluppo, prova, rischio e qualità con i requisiti applicabili dell’AI Act.
Assicurarsi di poter dimostrare progettazione dell’IA, finalità prevista, dati, gestione del rischio, convalida e modalità di supervisione.
Garantire l’accesso alle informazioni tecniche e alle notifiche di modifica necessarie da parte dei fornitori di tecnologia di IA.
Collegare la governance dell’IA con controllo della progettazione, gestione dei fornitori, verifica, azioni correttive e monitoraggio post-commercializzazione.
Stabilire come i requisiti dell’AI Act si integrano con il percorso esistente di certificazione del prodotto e con l’organismo notificato.
La classificazione ad alto rischio sta diventando una decisione critica
Una corretta classificazione è una delle decisioni iniziali più importanti ai sensi dell’AI Act.
Nel maggio 2026 la Commissione europea ha pubblicato progetti di orientamenti volti ad aiutare fornitori, deployer e autorità a stabilire se i sistemi di IA rientrano nelle categorie ad alto rischio previste dall’articolo 6. Gli orientamenti affrontano specificamente sia l’IA integrata in prodotti regolamentati sia i sistemi di IA che rientrano nei casi d’uso dell’allegato III.
I fabbricanti dovrebbero quindi evitare di basarsi esclusivamente su descrizioni informali come «dotato di IA» o «prodotto intelligente».
La classificazione deve basarsi sull’AI Act, sulla finalità prevista del sistema, sulla legislazione di prodotto applicabile e sul ruolo effettivo dell’IA all’interno del prodotto.
Dalla sicurezza del prodotto all’assurance dei prodotti intelligenti
L’AI Act dell’UE rappresenta un’importante evoluzione della conformità dei prodotti.
La regolamentazione tradizionale dei prodotti si è concentrata principalmente sulle caratteristiche fisiche, meccaniche, elettriche e funzionali.
I prodotti dotati di IA introducono un ulteriore livello: i fabbricanti potrebbero dover dimostrare sempre più che anche la tecnologia decisionale all’interno del prodotto è adeguatamente governata, provata, documentata e monitorata.
Ciò crea una nuova intersezione tra certificazione di prodotto, assurance del software, governance dell’intelligenza artificiale, cybersecurity, gestione della qualità e accesso al mercato.
L’IA nel Suo prodotto è pronta per la valutazione della conformità?
I fabbricanti non dovrebbero attendere la fase finale di certificazione per stabilire se un sistema di IA integrato comporta obblighi normativi aggiuntivi.
Una revisione tempestiva può chiarire la classificazione ad alto rischio, la legislazione di prodotto applicabile, i requisiti di documentazione dell’IA, le esigenze di prova, le responsabilità dei fornitori e il percorso di valutazione della conformità appropriato.
Per molti fabbricanti la domanda più difficile posta dall’AI Act potrebbe non essere se utilizzano l’intelligenza artificiale, ma stabilire quando tale intelligenza diventa parte dell’architettura di sicurezza regolamentata del prodotto.