L'Allegato III del Regolamento UE sull'IA definisce 8 categorie di sistemi AI ad alto rischio autonomi. Fornitori e deployer devono conformarsi entro il 2 dicembre 2027 (prorogato dall'agosto 2026 dall'omnibus 2026). Questo copre i sistemi AI per il reclutamento, lo scoring creditizio, la categorizzazione biometrica, i sistemi AI per le infrastrutture critiche e altri.
Cosa copre l'Allegato III — 8 categorie di IA ad alto rischio
L'Allegato III del Regolamento UE sull'IA definisce i sistemi AI ad alto rischio autonomi in 8 aree. La scadenza per la conformità è il 2 dicembre 2027 (prorogata dall'omnibus digitale 2026 rispetto all'originale 2 agosto 2026).
"Autonomo" significa che il sistema AI non è un componente di sicurezza di un prodotto regolamentato dell'Allegato I — è esso stesso immesso sul mercato o messo in servizio come prodotto o servizio principale.
Le 8 categorie dell'Allegato III
1. Identificazione biometrica e categorizzazione Sistemi di identificazione biometrica remota in tempo reale e post-hoc, sistemi basati sull'IA per la categorizzazione di persone fisiche mediante dati biometrici in gruppi basati su caratteristiche sensibili (etnia, opinioni politiche, religione, ecc.).
Nota: l'identificazione biometrica remota in tempo reale di persone fisiche in spazi accessibili al pubblico da parte delle forze dell'ordine è vietata ai sensi dell'Art. 5, non solo ad alto rischio.
2. Infrastrutture critiche Sistemi AI utilizzati come componenti di sicurezza nella gestione e nel funzionamento di infrastrutture critiche — traffico stradale, approvvigionamento idrico, gas, riscaldamento, rete elettrica.
3. Istruzione e formazione professionale IA che determina l'accesso agli istituti scolastici, assegna gli studenti, valuta i risultati degli esami, monitora gli studenti durante gli esami o valuta i risultati dell'apprendimento che incidono sulle opportunità.
4. Occupazione, gestione dei lavoratori, lavoro autonomo IA utilizzata per il reclutamento e la selezione (screening dei curricula, test della personalità, filtraggio delle candidature di lavoro), decisioni su promozione, licenziamento, valutazione delle prestazioni, assegnazione dei compiti nel lavoro tramite piattaforma e monitoraggio del comportamento dei dipendenti.
5. Servizi privati e pubblici essenziali IA utilizzata per la valutazione del merito creditizio, lo scoring del credito, la valutazione e la tariffazione del rischio assicurativo, lo scoring del rischio sanitario per le assicurazioni, la valutazione dell'ammissibilità a prestazioni e servizi pubblici, le decisioni di invio dei servizi di emergenza.
6. Attività di contrasto IA per la valutazione del rischio individuale (rischio di recidiva, probabilità di reato), rilevamento delle menzogne, valutazione dell'affidabilità delle prove, profilazione nelle indagini penali, previsione dei reati per aree geografiche.
7. Migrazione, asilo, controllo delle frontiere IA per la valutazione del rischio dei richiedenti asilo, la verifica dei documenti di viaggio, l'esame delle domande di asilo, visto o permesso di soggiorno, il rilevamento di modelli di migrazione irregolare.
8. Amministrazione della giustizia e processi democratici IA per la ricerca e l'interpretazione di fatti e diritto nei procedimenti giudiziari, IA che influenza le elezioni, IA utilizzata nei sistemi di voto.
Obblighi del fornitore entro il 2 dicembre 2027
| Obbligo | Articolo | Descrizione |
|---|---|---|
| Gestione del rischio | Art. 9 | Processo continuo durante l'intero ciclo di vita dell'IA |
| Governance dei dati | Art. 10 | Requisiti di qualità dei dati di addestramento/validazione/test |
| Documentazione tecnica | Art. 11 | Documentazione completa prima dell'immissione sul mercato |
| Trasparenza | Art. 13 | Istruzioni per i deployer; capacità di registrazione automatica |
| Supervisione umana | Art. 14 | Misure di progettazione che consentono il monitoraggio e l'intervento umano |
| Accuratezza e robustezza | Art. 15 | Livelli di prestazione adeguati; resilienza agli errori |
| Gestione della qualità | Art. 17 | SGQ che copre dalla progettazione al monitoraggio post-commercializzazione |
| Valutazione della conformità | Art. 43 | Auto-valutazione (la maggior parte dei sistemi) o terza parte (biometrica, infrastrutture critiche) |
| Registrazione | Art. 71 | Registrazione nella banca dati AI dell'UE prima dell'immissione sul mercato |
| Marcatura CE | Art. 48 | Obbligatoria prima dell'immissione sul mercato UE |
Obblighi del deployer entro il 2 dicembre 2027
Le organizzazioni che utilizzano (dispiegano) sistemi AI dell'Allegato III — anche se non li hanno sviluppati — devono:
- Utilizzare il sistema in conformità con le istruzioni del fornitore
- Attuare misure di supervisione umana
- Monitorare le prestazioni del sistema e segnalare gli incidenti gravi
- Per gli enti pubblici: completare una Valutazione dell'Impatto sui Diritti Fondamentali (FRIA)
- Informare i lavoratori o i loro rappresentanti quando l'IA incide sulle decisioni occupazionali
- Non utilizzare il sistema per scopi diversi da quelli valutati come ad alto rischio
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
L'Allegato III del Regolamento UE sull'IA elenca 8 aree di sistemi AI ad alto rischio autonomi. Questi sono sistemi AI che, quando utilizzati come previsto, presentano rischi significativi per la salute, la sicurezza o i diritti fondamentali. I fornitori di sistemi dell'Allegato III devono completare le valutazioni della conformità e rispettare una serie completa di obblighi entro il 2 dicembre 2027.
Sì. I sistemi AI utilizzati per le decisioni di reclutamento — incluso lo screening dei curricula, la classificazione dei candidati, l'analisi video dei colloqui e le decisioni sui contratti di lavoro — rientrano nell'Allegato III, punto 4 (occupazione, gestione dei lavoratori e accesso al lavoro autonomo). Tuttavia, si applica l'eccezione dell'Art. 6(3): il sistema deve presentare un rischio significativo di danno per essere ad alto rischio.
La maggior parte dei sistemi dell'Allegato III utilizza la valutazione interna della conformità (auto-valutazione da parte del fornitore rispetto alle norme armonizzate). La categorizzazione biometrica e i sistemi AI per le infrastrutture critiche richiedono la valutazione da parte di terzi. La valutazione deve essere documentata e il sistema registrato nella banca dati AI dell'UE prima di essere immesso sul mercato.
Sì, ai sensi dell'Art. 6(3). Un sistema AI in un'area dell'Allegato III non è ad alto rischio se non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali. I fornitori devono documentare questa valutazione. Gli strumenti di supporto decisionale ad ambito limitato utilizzati sotto supervisione umana, con basso impatto sulle persone fisiche, possono essere idonei all'esclusione.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.