Un venerdì sera, poco prima di staccare, ho ricevuto una chiamata dal responsabile della sicurezza di un’organizzazione con 2.000 endpoint. Mi ha descritto un sistema di controllo accessi fisici basato su riconoscimento facciale, installato da pochi mesi. “Funziona bene, Rosario, ma il nostro legale ha menzionato qualcosa sull’EU AI Act… dobbiamo preoccuparci?”. La sua domanda, semplice, nascondeva una realtà complessa: molti professionisti IT non sono ancora pienamente consapevoli dell’impatto diretto che l’EU AI Act avrà sulle loro responsabilità quotidiane. Questo non è un problema che riguarda solo i dipartimenti legali o i data scientist; è una rivoluzione che tocca direttamente chi gestisce l’infrastruttura, i sistemi e, in ultima analisi, la sicurezza dei dati e dei processi.
L’EU AI Act, la prima legge completa al mondo sull’intelligenza artificiale, è un regolamento complesso con implicazioni pratiche significative. Non si tratta solo di definizioni astratte, ma di obblighi concreti che richiedono un intervento tecnico. Se la tua azienda utilizza sistemi AI, anche se non li sviluppa direttamente, è fondamentale comprendere il tuo ruolo e le azioni necessarie per garantire la compliance ed evitare sanzioni che possono arrivare fino a 35 milioni di euro o il 7% del fatturato globale. Questa guida mira a chiarire questi aspetti, fornendo una prospettiva operativa per il SysAdmin.
Prerequisiti / Ambiente di test
Non ci sono prerequisiti tecnici specifici per la lettura di questo articolo, ma una conoscenza base di concetti di cybersecurity, gestione IT e automazione è utile. Le informazioni qui presentate sono valide per qualsiasi ambiente IT che implementi o utilizzi sistemi di intelligenza artificiale, indipendentemente dalla dimensione o dal settore specifico. L’analisi si basa sulla versione finale dell’EU AI Act approvata a marzo 2024, con le relative tempistiche di attuazione.
EU AI Act: la timeline che pochi conoscono (e che è già partita)
Contrariamente a quanto molti pensano, l’EU AI Act non entrerà in vigore in un’unica data. La sua attuazione è graduale e alcuni obblighi sono già operativi. Entro sei mesi dall’entrata in vigore (che è avvenuta a maggio 2024), sono stati vietati i sistemi AI che manipolano il comportamento umano o che effettuano scoring sociale. Entro dodici mesi (quindi già a partire da metà 2025), sono scattate le regole sui sistemi AI a ‘rischio inaccettabile’ e le sanzioni relative. I sistemi AI ad alto rischio, che interessano la maggior parte dei SysAdmin, avranno un periodo di transizione più lungo, ma la preparazione dovrebbe iniziare ora.
Entro 36 mesi dall’entrata in vigore (quindi entro metà 2027), tutte le disposizioni dell’AI Act, inclusi gli obblighi per i sistemi ad alto rischio, saranno pienamente applicabili. Questo significa che le aziende hanno circa due anni per adeguarsi, ma il lavoro di mappatura, valutazione e implementazione tecnica è già enorme. “Circa il 60% delle aziende europee non ha ancora iniziato a valutare l’impatto dell’EU AI Act sui propri sistemi” — Gartner, 2025. Questo ritardo può costare caro.
Chi è davvero coinvolto: provider, deployer e utenti professionali
L’EU AI Act distingue chiaramente tra diverse figure, e capire in quale categoria rientra la tua organizzazione è fondamentale.
- Provider: Chi sviluppa un sistema AI o lo mette sul mercato. Sono soggetti agli obblighi più stringenti, dalla valutazione di conformità alla gestione della qualità.
- Deployer (o Utilizzatore): Chi usa un sistema AI nell’ambito della propria attività professionale. La maggior parte delle aziende rientra qui. Se utilizzi un software di terze parti che integra funzionalità AI (es. HR, CRM con AI, sistemi di sicurezza), sei un deployer.
- Utenti Professionali: Simili ai deployer, ma con un focus più specifico sull’interazione diretta con il sistema AI. Il SysAdmin, in questo contesto, spesso agisce come utente professionale e come figura chiave per il deployer nell’implementazione tecnica degli obblighi.
Come SysAdmin, sei il braccio operativo che deve garantire che il sistema AI, una volta implementato, rispetti i requisiti di tracciabilità, supervisione umana e sicurezza. Le tue competenze diventano critiche per la compliance del deployer.
I sistemi AI ad alto rischio che probabilmente già gestisci
Questo è il cuore dell’EU AI Act per molti professionisti IT. Un sistema AI è considerato ‘ad alto rischio’ se è destinato ad essere utilizzato come componente di sicurezza di un prodotto, o se rientra in aree specifiche come:
- Gestione e funzionamento di infrastrutture critiche: ad esempio, sistemi AI che controllano reti elettriche o idriche. (es. sistemi SCADA con AI)
- Educazione e formazione professionale: sistemi AI usati per valutare l’apprendimento o l’ammissione a istituzioni.
- Occupazione, gestione dei lavoratori e accesso al lavoro autonomo: sistemi AI per recruiting, valutazione delle performance o assegnazione di compiti (es. algoritmi HR).
- Accesso e fruizione di servizi essenziali pubblici e privati: es. scoring creditizio, accesso a prestazioni sanitarie.
- Forze dell’ordine, migrazione, gestione delle frontiere e amministrazione della giustizia: sistemi AI usati in questi contesti.
- Sistemi biometrici e di identificazione a distanza: come l’esempio del sistema di controllo accessi del mio cliente.
Se la tua azienda utilizza uno di questi sistemi, dovrai implementare misure tecniche specifiche. Ad esempio, per un sistema di riconoscimento facciale, dovrai garantire una supervisione umana costante, effettuare test di robustezza e accuratezza, e assicurare che i dati siano protetti e tracciabili. “Il 45% dei sistemi AI in uso nelle grandi imprese è potenzialmente ‘ad alto rischio’ e richiede una valutazione approfondita” — Deloitte, 2024.
Logging e tracciabilità: i nuovi obblighi tecnici
Uno degli aspetti più impegnativi per i SysAdmin sarà la gestione dei requisiti di logging e tracciabilità. L’AI Act richiede che i sistemi AI ad alto rischio siano in grado di registrare automaticamente gli eventi significativi (‘automatically record events’). Questo include, ma non si limita a, i dati di input utilizzati, le decisioni prese dal sistema e i risultati ottenuti. L’obiettivo è consentire l’analisi post-mortem in caso di incidenti o non conformità.
Ciò implica l’implementazione di soluzioni di log management avanzate, possibilmente integrate con il vostro SIEM/EDR, per centralizzare, analizzare e conservare i log generati dai sistemi AI. La durata di conservazione dei log deve essere adeguata per permettere indagini efficaci. La gestione di questi log deve rispettare i principi di integrità e non ripudio.
Ecco un esempio di come potresti configurare un logging di base per un’applicazione Python che utilizza un modello AI, inviando i log a un sistema centralizzato (es. journald o direttamente a un SIEM via syslog):
import logging
import sys
# Configurazione del logger
logger = logging.getLogger('ai_system_logger')
logger.setLevel(logging.INFO)
# Handler per inviare a stdout (e poi a journald/syslog)
handler = logging.StreamHandler(sys.stdout)
formatter = logging.Formatter('%(asctime)s - %(name)s - %(levelname)s - %(message)s')
handler.setFormatter(formatter)
logger.addHandler(handler)
def process_data_with_ai(data_input):
# Simulazione di un'inferenza AI
logger.info(f
