Le ai act pratiche vietate sono un insieme tassativo di utilizzi dell’intelligenza artificiale che il Regolamento UE 2024/1689 proibisce in modo assoluto, perché considerati incompatibili con i diritti fondamentali e la sicurezza delle persone. Si tratta di sistemi di IA che manipolano il comportamento umano, sfruttano vulnerabilità, attuano forme di social scoring o impiegano tecniche biometriche invasive. Per le aziende che sviluppano o adottano soluzioni di IA, conoscere il perimetro di questi divieti non è facoltativo: le sanzioni possono raggiungere i 35 milioni di euro o il 7 % del fatturato mondiale annuo, e il divieto è operativo dal 2 febbraio 2025.
AI Act pratiche vietate
In questo articolo, il team di Orosfera chiarisce cosa sono le pratiche vietate dall’AI Act, quali rischi comportano e come impostiamo governance e compliance per adottare l’IA in modo sostenibile. L’obiettivo non è generare allarme, ma offrire una lettura strategica della norma — orientata a chi prende decisioni — e mostrare come un approccio strutturato alla conformità AI Act trasformi un vincolo regolatorio in un vantaggio competitivo durevole.
Vuoi capire se i sistemi di IA che la tua azienda utilizza o sta valutando rientrano tra le pratiche vietate? Il nostro team è a disposizione per un primo confronto riservato: richiedi un assessment preliminare.
Governance dell’IA e conformità AI Act: il quadro normativo europeo per le imprese.
Perché l’AI Act introduce pratiche vietate: obiettivi e logica di tutela
Il Regolamento (UE) 2024/1689 — comunemente noto come AI Act — rappresenta il primo quadro normativo organico al mondo dedicato all’intelligenza artificiale. In vigore dal 1° agosto 2024, si applica per fasi successive e adotta un approccio basato sul rischio: più un sistema di IA può incidere su diritti fondamentali, salute o sicurezza, più stringenti sono i requisiti che deve rispettare. Al vertice di questa piramide si collocano le pratiche vietate, ossia impieghi dell’IA considerati talmente pericolosi da non ammettere alcuna forma di mitigazione.
La ratio è chiara: l’Unione Europea intende favorire l’innovazione tecnologica senza rinunciare alla tutela delle persone. Il legislatore ha individuato categorie di utilizzo che, per la loro stessa natura, generano rischi inaccettabili — dalla manipolazione subliminale alla sorveglianza di massa — e le ha escluse dal mercato europeo in modo assoluto. Questo impianto normativo ha un impatto diretto sulle strategie di digital marketing e, più in generale, su ogni decisione aziendale che coinvolga sistemi di intelligenza artificiale.
Per le imprese, comprendere la logica di tutela non è un esercizio accademico: significa saper classificare correttamente i propri casi d’uso, evitare investimenti su tecnologie che ricadono nel perimetro dei divieti e costruire una governance dell’IA coerente con il quadro europeo. L’AI Act ha portata extraterritoriale, esattamente come il GDPR: si applica anche a fornitori stabiliti fuori dall’UE che immettono sistemi di IA sul mercato europeo. Nessun operatore che interagisca con il mercato comunitario può considerarsi escluso.
Definizioni utili: sistema di IA, ruoli e responsabilità nella catena del valore
Prima di entrare nel merito delle ai act pratiche vietate, è utile allineare il lessico. Il Regolamento definisce “sistema di intelligenza artificiale” un sistema basato su macchina, progettato per operare con diversi livelli di autonomia, che può generare output — previsioni, raccomandazioni, decisioni, contenuti — capaci di influenzare ambienti fisici o virtuali. Questa definizione è volutamente ampia e copre tanto i modelli di IA generativa (i cosiddetti foundation models) quanto i sistemi predittivi, i chatbot, gli algoritmi di raccomandazione e i motori decisionali automatizzati.
L’AI Act distingue con precisione due figure chiave nella catena del valore:
| Ruolo | Definizione | Responsabilità principali |
|---|---|---|
| Provider (fornitore) | Sviluppa o immette sul mercato il sistema di IA | Conformità tecnica, documentazione, valutazione del rischio, marcatura CE (per sistemi ad alto rischio) |
| Deployer (utilizzatore) | Utilizza il sistema di IA in ambito professionale | Uso conforme, supervisione umana, segnalazione di incidenti, trasparenza verso gli utenti finali |
Questa distinzione è cruciale per le aziende italiane: un’impresa che integra un modello di IA generativa di terze parti nel proprio customer care, ad esempio, opera come deployer e ha obblighi specifici, diversi da quelli del provider che ha sviluppato il modello. Allo stesso tempo, un’azienda che addestra un proprio algoritmo di scoring creditizio è provider a tutti gli effetti. In molti scenari reali, la stessa organizzazione può ricoprire entrambi i ruoli su sistemi differenti, e la corretta mappatura delle responsabilità è il primo passo di qualsiasi percorso di compliance AI Act.
Quando un sistema di IA tratta dati personali, AI Act e GDPR si applicano contemporaneamente: non si sostituiscono a vicenda. Questo significa che la valutazione del rischio IA deve integrarsi con le valutazioni d’impatto sulla protezione dei dati (DPIA) già previste dal regolamento sulla privacy, creando un framework di governance unitario.
AI Act: elenco ragionato delle pratiche vietate (con esempi di impatto business)
L’articolo 5 del Regolamento (UE) 2024/1689 elenca le ai act pratiche vietate in modo tassativo. Questi divieti si applicano dal 2 febbraio 2025 e riguardano tanto i provider quanto i deployer: nessun soggetto della catena del valore può sviluppare, immettere sul mercato o utilizzare un sistema di IA che ricada in queste categorie. Il team di Orosfera analizza ciascuna categoria con un taglio orientato alle implicazioni aziendali, perché la comprensione del perimetro è il presupposto di ogni strategia di conformità efficace.
Manipolazione e tecniche ingannevoli: quando l’IA altera il comportamento delle persone
L’AI Act vieta i sistemi di IA che impiegano tecniche subliminali, manipolative o ingannevoli per distorcere materialmente il comportamento di una persona, inducendola a prendere decisioni che altrimenti non avrebbe preso e causandole un danno significativo. Il divieto copre anche le tecniche che, pur non essendo subliminali in senso stretto, sfruttano meccanismi psicologici per alterare la capacità decisionale.
Per le aziende, questo divieto ha implicazioni concrete su diversi ambiti: dalla progettazione delle interfacce utente alle strategie di comunicazione digitale, fino ai sistemi di raccomandazione e personalizzazione. Un algoritmo di pricing dinamico che sfrutta pattern ingannevoli per indurre acquisti impulsivi, ad esempio, potrebbe ricadere nel perimetro del divieto se il suo funzionamento integra tecniche manipolative basate su IA. Allo stesso modo, un chatbot progettato per simulare empatia al fine di orientare decisioni finanziarie potrebbe configurare una pratica vietata.
La valutazione del rischio IA in quest’area richiede un’analisi approfondita dell’esperienza utente (UX) e dell’usabilità del sito web, per verificare che i sistemi di IA integrati nelle interfacce digitali non oltrepassino il confine tra personalizzazione legittima e manipolazione vietata. Il rischio reputazionale, in questi casi, può essere persino più rilevante di quello sanzionatorio: un’azienda associata a pratiche manipolative subisce un danno di fiducia difficile da recuperare.
Sfruttamento di vulnerabilità: minori e soggetti vulnerabili
Il Regolamento vieta espressamente i sistemi di IA che sfruttano le vulnerabilità di specifiche categorie di persone — in ragione dell’età, della disabilità o di una particolare condizione sociale o economica — per distorcerne il comportamento in modo tale da causare un danno significativo. Questa disposizione riflette una tutela rafforzata per i soggetti che, per la loro condizione, hanno una minore capacità di resistere a tecniche persuasive o manipolative.
Le implicazioni per le aziende che operano nel digitale sono significative. Un sistema di raccomandazione che propone contenuti o prodotti a minori sfruttando la loro minore capacità critica, un algoritmo di marketing che identifica e targettizza persone in condizioni di fragilità economica per proporre prodotti finanziari ad alto rischio, o un’applicazione di gaming che utilizza l’IA per massimizzare il tempo di permanenza di utenti minorenni: tutti questi scenari possono configurare pratiche vietate.
Per le organizzazioni che gestiscono prodotti o servizi digitali rivolti a un pubblico ampio, diventa essenziale una analisi del target accurata, che consenta di identificare la presenza di segmenti vulnerabili e di implementare le opportune salvaguardie. La governance su target e segmentazione non è più solo una questione di efficacia commerciale: è un requisito di conformità.
Mappare i casi d’uso IA rispetto alle pratiche vietate richiede competenze trasversali — legali, tecniche e strategiche. Il team di Orosfera è pronto ad affiancare la tua organizzazione con un assessment strutturato.
Social scoring e valutazioni generalizzate: perché è vietato e cosa evitare
Tra le ai act pratiche vietate, il social scoring rappresenta forse il divieto più emblematico. L’AI Act proibisce i sistemi di IA utilizzati da autorità pubbliche — o per loro conto — per valutare o classificare persone fisiche sulla base del loro comportamento sociale o di caratteristiche personali, quando tale classificazione produce un trattamento sfavorevole in contesti non correlati a quelli in cui i dati sono stati raccolti, oppure un trattamento sproporzionato rispetto alla gravità del comportamento.
Il divieto si estende anche ai sistemi che, pur non configurando un social scoring in senso stretto, producono effetti analoghi attraverso la combinazione di dati provenienti da fonti diverse per generare punteggi generalizzati sulle persone. Per le aziende, questo significa che qualsiasi sistema di scoring o profilazione automatizzata deve essere progettato e utilizzato con estrema attenzione alla proporzionalità e alla finalità del trattamento.
Il collegamento con la data governance è immediato: un sistema di IA che aggrega dati comportamentali da più touchpoint — navigazione web, interazioni social, storico acquisti, dati di geolocalizzazione — per produrre un punteggio complessivo sulla “affidabilità” di un individuo si avvicina pericolosamente al perimetro del divieto. La connessione con il GDPR è altrettanto diretta, poiché la profilazione automatizzata con effetti significativi sulle persone è già soggetta a vincoli stringenti ai sensi dell’articolo 22 del Regolamento sulla protezione dei dati.
Il rischio di discriminazione e bias è intrinseco a questi sistemi: se i dati di addestramento riflettono pregiudizi storici — di genere, etnia, condizione socioeconomica — il punteggio prodotto dall’algoritmo perpetua e amplifica tali distorsioni, con conseguenze concrete sull’accesso a servizi, credito, opportunità lavorative.
Biometria e identificazione: aree ad alta sensibilità e rischio
L’AI Act interviene con particolare rigore sulla biometria, vietando diverse applicazioni di sistemi di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico per finalità di contrasto, salvo eccezioni tassative e soggette ad autorizzazione giudiziaria. Il divieto si estende ai sistemi di categorizzazione biometrica che classificano le persone sulla base di dati biometrici per dedurne caratteristiche sensibili — come razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o orientamento sessuale — e ai sistemi di riconoscimento delle emozioni nei luoghi di lavoro e negli istituti di istruzione, salvo finalità mediche o di sicurezza.
Per le aziende, le implicazioni riguardano molteplici ambiti: dai sistemi di controllo accessi basati su riconoscimento facciale alle soluzioni di videosorveglianza intelligente, fino agli strumenti di analisi delle emozioni utilizzati in contesti HR (colloqui di selezione, monitoraggio del benessere dei dipendenti). Anche la creazione e l’alimentazione di database di riconoscimento facciale attraverso lo scraping non mirato di immagini da internet o da sistemi di videosorveglianza rientra tra le ai act pratiche vietate.
Le implicazioni in termini di privacy e sicurezza sono evidenti: i dati biometrici sono per definizione dati particolari ai sensi del GDPR e richiedono un livello di protezione rafforzato. La necessità di valutazioni d’impatto e controlli rigorosi è tanto più urgente quanto più questi sistemi operano in contesti dove le persone non hanno una reale possibilità di sottrarsi al trattamento.
Profilazione e discriminazione: come preveniamo bias e impatti su persone e brand
Il tema della discriminazione algoritmica attraversa trasversalmente tutte le categorie di ai act pratiche vietate e si estende ai sistemi ad alto rischio. I bias nei modelli di IA non sono un’eventualità remota: sono una conseguenza strutturale di dati di addestramento che riflettono squilibri storici, di scelte architetturali che privilegiano determinate metriche di performance e di processi di validazione insufficienti.
In ambito HR, un sistema di IA utilizzato per lo screening dei curricula può penalizzare sistematicamente candidati appartenenti a determinati gruppi demografici. Nel credito, un algoritmo di scoring può negare l’accesso al finanziamento a persone residenti in aree geografiche svantaggiate. Nel marketing, un sistema di personalizzazione può escludere intere categorie di utenti da offerte vantaggiose sulla base di proxy discriminatori.
Orosfera affronta questo tema integrando controlli di qualità e monitoraggio continuo nei processi di governance dell’IA. L’approccio prevede la verifica della rappresentatività dei dati di addestramento, l’analisi delle metriche di fairness dei modelli, il monitoraggio delle performance disaggregate per gruppi demografici e la documentazione delle scelte progettuali che incidono sull’equità degli output. Questo tipo di governance non è solo un requisito di conformità: è un investimento sulla fiducia del mercato e sulla sostenibilità a lungo termine dell’adozione dell’IA.
Pratiche vietate vs sistemi ad alto rischio: differenze e implicazioni di compliance
Una delle aree di maggiore confusione interpretativa riguarda la distinzione tra le ai act pratiche vietate e i sistemi di IA classificati come “ad alto rischio” ai sensi dell’Allegato III del Regolamento. La differenza è sostanziale e ha conseguenze operative dirette.
Le pratiche vietate sono utilizzi dell’IA che il legislatore ha ritenuto inaccettabili in modo assoluto: non esistono requisiti di conformità che possano renderli leciti. Sono semplicemente proibiti. I sistemi ad alto rischio, invece, sono utilizzi dell’IA che presentano rischi significativi ma gestibili: possono essere immessi sul mercato e utilizzati, a condizione di rispettare un insieme articolato di requisiti — valutazione del rischio, documentazione tecnica, supervisione umana, trasparenza, accuratezza, robustezza e cybersecurity.
| Caratteristica | Pratiche vietate (art. 5) | Sistemi ad alto rischio (Allegato III) |
|---|---|---|
| Regime | Divieto assoluto | Ammessi con requisiti stringenti |
| Applicazione | Dal 2 febbraio 2025 | Rinviata a dicembre 2027 (Digital Omnibus) |
| Sanzioni massime | 35 milioni € o 7 % fatturato | 15 milioni € o 3 % fatturato |
| Documentazione | Non pertinente (uso vietato) | Documentazione tecnica, registrazione, monitoraggio post-market |
| Esempi tipici | Social scoring, manipolazione subliminale, scraping biometrico | IA in HR, credito, istruzione, infrastrutture critiche |
È importante notare che, con l’accordo politico sul cosiddetto “Digital Omnibus” del 7 maggio 2026 (la cui adozione formale è attesa per luglio 2026), le scadenze per i sistemi ad alto rischio sono state rinviate a dicembre 2027, concedendo alle imprese un margine temporale aggiuntivo per l’adeguamento. Le pratiche vietate, invece, sono già pienamente operative.
Per le aziende che integrano intelligenza artificiale per il sito web o in altri processi aziendali, la classificazione corretta di ogni caso d’uso è il fondamento della strategia di compliance. Un errore di classificazione — trattare come “ad alto rischio” un sistema che in realtà ricade tra le pratiche vietate — può avere conseguenze molto serie.
Cosa cambia in azienda: policy, procurement, controlli e responsabilità
L’entrata in vigore delle ai act pratiche vietate e, più in generale, dell’intero impianto del Regolamento, richiede alle aziende un ripensamento strutturale del modo in cui l’intelligenza artificiale viene adottata, gestita e governata. Non si tratta di aggiungere un layer burocratico ai processi esistenti, ma di integrare la compliance AI Act nella strategia aziendale come componente nativa.
Il primo ambito di intervento riguarda la policy IA in azienda: un documento di governance che definisca principi, criteri di classificazione dei sistemi, ruoli e responsabilità, processi di approvazione e meccanismi di escalation. Questa policy deve essere coerente con le politiche di protezione dei dati, di sicurezza informatica e di gestione del rischio già in essere, creando un framework integrato.
Il secondo ambito è il procurement e la gestione dei fornitori. Quando un’azienda adotta un sistema di IA sviluppato da terzi, opera come deployer e deve poter dimostrare di aver verificato la conformità del sistema prima della sua messa in produzione. Questo implica clausole contrattuali specifiche, accesso alla documentazione tecnica del provider, e processi di due diligence strutturati. L’integrazione di un chatbot personalizzato per aziende o di un chatbot WhatsApp Business, ad esempio, richiede una verifica preventiva che il sistema non implementi funzionalità riconducibili alle pratiche vietate.
Il terzo ambito è la tracciabilità, l’audit e il monitoraggio. L’AI Act richiede che le aziende siano in grado di documentare le decisioni prese in relazione ai sistemi di IA, i risultati delle valutazioni del rischio, le misure di mitigazione adottate e i controlli effettuati nel tempo. Questo presuppone un’infrastruttura di analisi dei dati adeguata, che consenta di tracciare il ciclo di vita di ogni sistema di IA e di produrre evidenze in caso di ispezione o contenzioso.
L’analisi del sito e dei touchpoint digitali diventa parte integrante di questo processo, perché molti sistemi di IA operano proprio sulle interfacce digitali dell’azienda — dal sito web alle applicazioni mobile, dai sistemi di customer care automatizzato alle piattaforme di e-commerce. La marketing attribution e misurazione deve tenere conto del fatto che i sistemi di IA utilizzati nelle campagne e nella personalizzazione sono soggetti ai vincoli del Regolamento.
È utile ricordare che l’obbligo di alfabetizzazione AI, previsto dall’articolo 4 del Regolamento, è attivo dal 2 febbraio 2025: le aziende devono garantire che il personale coinvolto nell’uso di sistemi di IA abbia un livello di competenza adeguato. Questo non è un adempimento formale, ma un prerequisito per una governance efficace.
Costruire una governance dell’IA solida richiede visione strategica e competenze multidisciplinari. Confrontati con il nostro team per definire un percorso su misura per la tua organizzazione.
Rischi tipici collegati alle pratiche vietate: privacy, sicurezza, reputazione
Le ai act pratiche vietate si collocano all’intersezione di tre aree di rischio che, nella pratica aziendale, si alimentano reciprocamente: privacy e protezione dei dati, cybersecurity, reputazione e fiducia del mercato.
Sul fronte della privacy e protezione dati, i sistemi di IA che ricadono nelle pratiche vietate trattano quasi invariabilmente dati personali — spesso dati particolari come quelli biometrici, comportamentali o relativi alla salute. La violazione del divieto configura, nella maggior parte dei casi, anche una violazione del GDPR, con il rischio di procedimenti paralleli da parte delle autorità di protezione dei dati e delle autorità di vigilanza sull’IA. La raccolta dati e data governance deve essere progettata fin dall’origine per escludere trattamenti riconducibili alle pratiche vietate.
Sul fronte della cybersecurity, i sistemi di IA che operano su dati sensibili — biometrici, comportamentali, finanziari — rappresentano un bersaglio privilegiato per attacchi informatici. Un database di riconoscimento facciale alimentato tramite scraping, oltre a configurare una pratica vietata, espone l’azienda a rischi di data breach con conseguenze potenzialmente devastanti. La sicurezza informatica per le aziende deve integrarsi con la governance dell’IA per garantire che i sistemi siano protetti lungo l’intero ciclo di vita.
Sul fronte reputazionale, l’associazione di un brand a pratiche di IA considerate inaccettabili dal legislatore europeo — e, sempre più, dall’opinione pubblica — produce un danno di fiducia che trascende la dimensione sanzionatoria. In un mercato dove la trasparenza e l’etica dell’IA sono diventate criteri di scelta per consumatori, investitori e partner commerciali, la conformità non è un costo: è un asset strategico.
L’AI generativa introduce ulteriori complessità: i modelli generativi possono produrre deepfake, contenuti discriminatori o output che riflettono i bias dei dati di addestramento. L’obbligo di trasparenza e watermarking sui contenuti generati dall’IA, previsto dall’articolo 50 del Regolamento, si applica dal 2 dicembre 2026 per i sistemi generativi già sul mercato. Gli obblighi per i modelli di IA per finalità generali (GPAI) si applicano dal 2 agosto 2025. Questi adempimenti richiedono una pianificazione anticipata, non una reazione dell’ultimo momento.
Per le aziende che utilizzano AI generativa nel marketing, nel customer care o nella produzione di contenuti, il rischio di generare output che configurino manipolazione, discriminazione o violazione della privacy è concreto e richiede controlli specifici — dalla revisione degli output alla documentazione dei prompt, dal monitoraggio dei bias alla gestione dei reclami.
Come Orosfera supporta la conformità: assessment, roadmap e governance dell’IA
Orosfera affronta il tema delle ai act pratiche vietate e della compliance AI Act con un approccio consulenziale integrato, che combina competenze di digital marketing, data governance e strategia tecnologica. Il nostro intervento parte sempre da una comprensione profonda del contesto aziendale — settore, dimensione, maturità tecnologica, casi d’uso IA in essere e in progetto — per costruire un percorso di conformità realistico e sostenibile.
L’assessment iniziale prevede la mappatura completa dei sistemi di IA utilizzati o in fase di valutazione, la classificazione di ciascun caso d’uso rispetto alle categorie di rischio del Regolamento (pratiche vietate, alto rischio, rischio limitato, rischio minimo) e l’identificazione delle aree di non conformità o di incertezza interpretativa. Questo lavoro coinvolge le funzioni aziendali rilevanti — IT, legal, compliance, HR, marketing, operations — e produce un quadro chiaro delle priorità di intervento.
La gap analysis traduce i risultati dell’assessment in una roadmap di adeguamento, identificando le azioni necessarie per colmare le lacune — dalla revisione delle policy alla rinegoziazione dei contratti con i fornitori, dall’implementazione di controlli tecnici alla formazione del personale. Per le PMI e le mid-cap, il Regolamento prevede semplificazioni specifiche — linee guida, sandbox normative, documentazione standardizzata, sanzioni proporzionate — che il nostro team valorizza per ridurre l’impatto organizzativo dell’adeguamento.
La governance continuativa è il terzo pilastro del nostro approccio. La conformità AI Act non è un traguardo da raggiungere una tantum, ma un processo dinamico che richiede monitoraggio e audit IA periodici, aggiornamento delle valutazioni del rischio in funzione dell’evoluzione tecnologica e normativa, e un sistema di reporting che consenta al management di prendere decisioni informate. Attraverso i nostri servizi di marketing digitale e le soluzioni di AI personalizzata, integriamo la compliance nella strategia digitale dell’azienda, evitando che diventi un compartimento stagno.
Il nostro team di consulenza in intelligenza artificiale lavora in sinergia con i consulenti legali dell’azienda — o con professionisti esterni specializzati in diritto delle nuove tecnologie — per garantire che ogni aspetto della conformità sia presidiato con la competenza appropriata. Le fonti di riferimento che utilizziamo includono il testo ufficiale del Regolamento pubblicato su EUR-Lex e le indicazioni operative della Commissione europea attraverso il portale AI Act e l’AI Act Service Desk.
Conclusione: ridurre il rischio e accelerare l’adozione dell’IA in modo conforme
Le ai act pratiche vietate rappresentano il confine più netto tracciato dal legislatore europeo nell’ambito della regolamentazione dell’intelligenza artificiale. Conoscere questo confine, saperlo applicare ai propri casi d’uso e costruire una governance che lo presidii nel tempo non è un vincolo: è la condizione per adottare l’IA con la fiducia del mercato, la protezione del brand e la solidità necessaria a sostenere l’innovazione nel lungo periodo.
L’approccio di Orosfera trasforma la complessità normativa in chiarezza operativa. Analizziamo, classifichiamo, progettiamo e monitoriamo — affinché ogni decisione sull’IA sia informata, documentata e coerente con il quadro europeo. Il risultato è un’organizzazione che non subisce la regolamentazione, ma la integra come leva di competitività e di fiducia.
Per le aziende che sviluppano o adottano soluzioni di intelligenza artificiale, il momento di strutturare la governance è adesso: le pratiche vietate sono già operative, gli obblighi sui modelli GPAI si applicano dal 2 agosto 2025, e le scadenze per i sistemi ad alto rischio — pur rinviate a dicembre 2027 — richiedono una preparazione che non si improvvisa.
Questo contenuto ha finalità informative e non costituisce consulenza legale. Per gli adempimenti specifici si raccomanda di verificare il testo ufficiale su EUR-Lex e le indicazioni della Commissione europea, ed eventualmente di consultare un legale.
FAQ su AI Act e pratiche vietate
Le pratiche vietate si applicano anche a test interni, prototipi o PoC non rilasciati al pubblico?
Sì: il perimetro dell’AI Act riguarda anche lo sviluppo e l’uso in ambito professionale. In pratica, un PoC può esporre l’organizzazione a rischio se riproduce una pratica vietata (ad esempio categorizzazione biometrica o manipolazione). In Orosfera, l’assessment include anche ambienti di test e sperimentazioni, così da evitare che un progetto “pilota” diventi un punto di non conformità.
Come gestire un sospetto di pratica vietata già in produzione (incident response e decisioni rapide)?
Serve un processo di escalation chiaro: identificazione del caso d’uso, raccolta evidenze (log, prompt, dataset, configurazioni), valutazione del rischio e decisione di sospensione/limitazione del sistema. Orosfera supporta la definizione di playbook operativi e di un flusso di governance che consenta al management di intervenire rapidamente e in modo documentato.
Quali evidenze conviene conservare per dimostrare che un sistema NON rientra nelle pratiche vietate?
Tipicamente: descrizione del caso d’uso e finalità, analisi dei dati trattati (inclusi eventuali dati biometrici), valutazione del rischio e motivazione della classificazione, controlli UX/anti-manipolazione, verifiche su target vulnerabili, test e monitoraggi periodici. Orosfera imposta un set di evidenze “audit-ready” coerente con i processi aziendali e con la catena di fornitura.
Come cambia la valutazione quando l’IA è integrata in piattaforme di terze parti (CRM, advertising, customer care)?
Il rischio spesso dipende dalla configurazione e dall’uso concreto (deployer), non solo dal tool. Per questo Orosfera analizza integrazioni, flussi dati, regole di targeting/personalizzazione e controlli disponibili, così da verificare che l’operatività reale non attivi comportamenti riconducibili a pratiche vietate.
Se vuoi una verifica rapida e documentata dei casi d’uso (inclusi PoC e tool di terze parti), il team Orosfera può impostare un assessment mirato e una roadmap di remediation.