Tutti citano l'allegato III. Quasi nessuno legge l'articolo 6(3), che sta subito sotto e può far uscire del tutto un sistema dalla categoria dell'alto rischio.
È il paragrafo più decisivo dell'intero regolamento sull'IA per le piccole aziende, e viene mancato di continuo - dai fondatori, dai consulenti e dalla maggior parte degli strumenti di classificazione gratuiti oggi online. Il risultato sono team che mettono a budget valutazioni della conformità, organismi notificati e marcature CE che forse non dovranno mai.
Che cosa dice
Un sistema che rientra in un'area dell'allegato III non è ad alto rischio se non presenta un rischio significativo di danno alla salute, alla sicurezza o ai diritti fondamentali, anche perché non influenza in modo rilevante il risultato del processo decisionale. Vale quando è soddisfatta almeno una di queste quattro condizioni:
| # | Condizione | In pratica |
|---|---|---|
| a | Il sistema svolge un compito procedurale ristretto | Ordinare documenti per tipo, controllare che un modulo sia completo, smistare un ticket nella coda giusta |
| b | Migliora il risultato di un'attività umana già completata | Sistemare il linguaggio di una valutazione che una persona ha già scritto e deciso |
| c | Rileva schemi decisionali o scostamenti rispetto a schemi precedenti, senza sostituire la valutazione umana né influenzarla in assenza di un riesame adeguato | Segnalare che le decisioni di questo mese non somigliano a quelle del mese scorso, perché una persona ci guardi dentro |
| d | Svolge un compito preparatorio rispetto a una valutazione pertinente ai casi d'uso elencati | Raccogliere e strutturare informazioni che poi una persona valuterà |
E poi la condizione che ha la meglio su tutte e quattro. L'esenzione non si applica - il sistema è sempre ad alto rischio - se effettua la profilazione di persone fisiche. Questo non viene pesato insieme agli altri fattori. È assoluto. Se profili le persone sei ad alto rischio, per quanto ristretto sia il compito.
È sulla profilazione che si decide quasi ogni caso
Proprio perché è assoluta, è la domanda a cui rispondere per prima. La profilazione ai sensi dell'articolo 4(4) del GDPR, a cui il regolamento sull'IA si aggancia, è il trattamento automatizzato di dati personali per valutare aspetti personali di una persona fisica, in particolare per analizzare o prevedere il rendimento sul lavoro, la situazione economica, la salute, le preferenze, gli interessi, l'affidabilità, il comportamento, l'ubicazione o gli spostamenti.
La trappola: i team leggono «profilazione» come «costruire un dossier». È molto più ampia. Valutare o prevedere qualunque cosa su una persona a partire dai suoi dati è profilazione, anche una sola volta, anche in modo transitorio, anche se il risultato non lo conservi mai.
| Sistema | Profilazione? | Perché |
|---|---|---|
| Controlla se un CV contiene un certificato richiesto | No | Verifica un fatto su un documento, non valuta nulla della persona |
| Ordina i CV in base al rendimento lavorativo previsto | Sì | Prevede il rendimento sul lavoro - l'esempio da manuale |
| Trascrive un colloquio | No | Converte il parlato in testo; nessuna valutazione |
| Assegna a un colloquio un punteggio di «capacità comunicative» | Sì | Valuta un aspetto personale |
| Segnala che un lotto di decisioni sui prestiti si discosta dalla norma | No | Analizza le decisioni, non i richiedenti |
| Assegna a ogni richiedente un punteggio di rischio | Sì | Valuta l'affidabilità economica persona per persona |
Lo schema è questo: la persona è l'oggetto della valutazione, oppure lo è qualcos'altro? Documenti, decisioni, trascrizioni e processi si possono analizzare liberamente. Nel momento in cui l'output è un giudizio su un essere umano, stai profilando.
L'altra trappola: «influenzare in modo rilevante il risultato»
Anche senza profilazione, l'esenzione richiede che il sistema non influenzi in modo rilevante il processo decisionale. Due modi in cui i team si convincono di essere a posto e non dovrebbero:
«La decisione finale la prende una persona.» Formalmente vero, spesso privo di significato. Se il tuo sistema presenta una rosa ordinata e la persona sceglie tra i primi tre nel novantacinque per cento dei casi, il sistema sta influenzando in modo rilevante il risultato. I regolatori guardano a quello che succede davvero, non a dove sta il pulsante. Se hai i dati sui tassi di scostamento, guardali prima di appoggiarti a questo argomento.
«È solo un suggerimento.» Un suggerimento che viene seguito per impostazione predefinita è una decisione con qualche passaggio in più. Il criterio della lettera c) è esplicito: il sistema non deve influenzare la valutazione umana in assenza di un riesame adeguato. Riesame adeguato vuol dire che chi rivede ha le informazioni, il tempo e l'autorità per dissentire, e che qualche volta lo fa.
L'esenzione non è gratis
È la parte che viene saltata, ed è quella che trasforma una buona posizione in una cattiva.
Un fornitore che conclude che il proprio sistema è esente ai sensi del 6(3) deve documentare quella valutazione prima di immettere il sistema sul mercato, e deve comunque registrare il sistema nella banca dati dell'UE. L'autorità competente può chiedere la documentazione. Quindi l'esenzione toglie gli obblighi pesanti del capo III - gestione dei rischi, fascicolo tecnico, valutazione della conformità, marcatura CE - ma non è silenzio. È una posizione più leggera, e documentata.
«Davamo per scontato di essere esenti» non è una valutazione. Una valutazione è un documento datato che nomina il sistema, indica su quale delle quattro lettere ti appoggi, spiega perché e mette nero su bianco che il sistema non effettua profilazione di persone fisiche. Basta una pagina. Scritta dopo che un regolatore te l'ha chiesta vale pochissimo; scritta prima di spedire il prodotto è tutta la tua difesa.
Un esempio svolto
Un'azienda di undici persone vende agli ospedali un software che legge le lettere di invio in arrivo e le smista al reparto giusto.
Allegato III? Sì - l'accesso alle cure può rientrare nei servizi essenziali, e qui si toccano i percorsi dei pazienti.
Quale lettera? La a), compito procedurale ristretto. Classifica un documento per materia e lo inoltra.
Profilazione? No. Legge il contenuto clinico della lettera e lo abbina a un reparto. Non si forma nessuna opinione sul paziente - né sull'urgenza, né sul rischio, né sulla probabilità che si presenti.
Influenza rilevante? No. Un clinico rivede ogni invio all'arrivo a prescindere dallo smistamento, e le lettere finite nel posto sbagliato vengono riassegnate ogni giorno.
Conclusione: probabilmente esente. Documentalo, registralo, vai avanti.
Adesso cambia una cosa sola. L'azienda aggiunge una funzione che marca gli invii come «probabilmente urgenti» sulla base della storia clinica del paziente. Quella è una previsione sulla salute di una persona: profilazione. L'esenzione si chiude all'istante e il sistema è ad alto rischio, con l'intero pacchetto del capo III da soddisfare entro il 2 dicembre 2027.
Una funzione. Stesso prodotto, stessi clienti, stesso team. È con questa velocità che la cosa si muove, ed è per questo che la valutazione va rifatta ogni volta che il prodotto cambia.
Come fare la verifica
- Accertati di essere davvero in un'area dell'allegato III. Se non lo sei, il 6(3) è irrilevante - non sei mai stato ad alto rischio.
- Fatti per prima la domanda sulla profilazione. È assoluta, quindi un sì chiude l'analisi e ti risparmia il resto.
- Individua su quale lettera ti appoggi. Ne basta una, ma va nominata. «È abbastanza ristretto» non è una lettera.
- Metti sotto pressione l'influenza rilevante. Se hai i tassi reali di scostamento, guardali.
- Mettilo per iscritto, mettici la data, registra il sistema.
- Rifallo quando il prodotto cambia. Mettilo nella revisione della roadmap, non in una cartella.
Perché conta più di quanto sembri. Per un team piccolo, la differenza tra esente e ad alto rischio è più o meno da dodici a diciotto mesi di lavoro e la parcella di un organismo notificato contro un documento di una pagina e una voce in una banca dati. È l'oscillazione più grande disponibile in tutto l'esercizio di classificazione - e dipende da un paragrafo che quasi nessuno legge.
Fai la verifica del 6(3) sul tuo sistema
La verifica dell'esenzione è integrata nella valutazione completa - compresa la domanda sulla profilazione, che decide la maggior parte dei casi.
Avvia la scansione gratuitaNessuna carta, nessun account. Report completo delle lacune da 59 €. Guarda prima un report vero (in inglese).
Autovalutazione, non consulenza legale. Questa pagina e il report di Reglynn sono un'autovalutazione strutturata basata sul regolamento sull'IA (regolamento 2024/1689, come modificato dall'omnibus di giugno 2026). Indicano dove ti collochi probabilmente e cosa conviene far verificare a un consulente qualificato. Reglynn non è un organismo notificato e non rilascia certificazioni.
Come è stato realizzato. I report di Reglynn sono generati da un sistema di IA basato su Claude di Anthropic e consegnati automaticamente. Reglynn è un sistema di IA a rischio limitato ai sensi dell'articolo 50; dichiariamo il coinvolgimento dell'IA ovunque avvenga, incluso il nostro assistente in chat. La nostra autovalutazione.