Articolo 9 del regolamento europeo sull'IA: la gestione dei rischi dei sistemi di IA ad alto rischio

L'articolo 9 impone una gestione dei rischi continua per l'IA ad alto rischio. Scopri quale documentazione, quali processi e quali test servono prima del termine di dicembre 2027.

Aggiornato il 31 luglio 2026 — termine modificato. Il Digital Omnibus (adottato dal Parlamento europeo il 16 giugno 2026 e dal Consiglio il 29 giugno 2026) ha rinviato gli obblighi relativi ai sistemi ad alto rischio dell'allegato III dal 2 agosto 2026 al 2 dicembre 2027. Gli obblighi di trasparenza dell'articolo 50 non sono stati rinviati e continuano ad applicarsi dal 2 agosto 2026. Il presente articolo è stato corretto di conseguenza.

Che cosa richiede davvero l'articolo 9

L'articolo 9 del regolamento europeo sull'IA istituisce il quadro di gestione dei rischi che ogni fornitore di sistemi di IA ad alto rischio deve attuare. Non è un adempimento una tantum: è un processo continuo e documentato che deve essere in atto prima di immettere il sistema sul mercato e mantenuto per tutto il suo ciclo di vita.

Se il suo sistema di IA rientra nell'allegato III (strumenti per le risorse umane, credit scoring, attività di contrasto, infrastrutture critiche, istruzione ecc.), l'articolo 9 si applica a lei. Le sanzioni per non conformità arrivano a 15 milioni di euro o al 3% del fatturato annuo mondiale, se superiore. Questi obblighi si applicano dal 2 dicembre 2027.

Ecco che cosa impone l'articolo 9, in parole semplici:

Istituire e documentare un sistema di gestione dei rischi continuo e iterativo
Individuare e analizzare i rischi noti e prevedibili associati a ciascun sistema di IA ad alto rischio
Stimare e valutare i rischi che possono emergere quando il sistema è utilizzato conformemente alla sua finalità prevista e in condizioni di uso improprio ragionevolmente prevedibile
Adottare misure di gestione dei rischi adeguate per affrontare i rischi individuati
Testare il sistema per garantire l'efficacia delle misure di gestione dei rischi
Aggiornare il processo di gestione dei rischi lungo l'intero ciclo di vita del sistema

La parola chiave è continuo. Non può svolgere una valutazione dei rischi a gennaio 2026, archiviarla e dimenticarsene. L'articolo 9 richiede monitoraggio, test e aggiornamenti documentali costanti man mano che il sistema evolve.

Il processo di gestione dei rischi in cinque fasi

L'articolo 9 non prescrive una metodologia specifica, ma delinea una sequenza chiara. Ecco come strutturare la conformità:

Fase 1: individuazione dei rischi

Documenti ogni rischio ragionevolmente prevedibile associato al suo sistema di IA. Sono compresi:

I rischi per la salute e la sicurezza
I rischi per i diritti fondamentali (riservatezza, non discriminazione, libertà di espressione)
I rischi derivanti dall'uso previsto
I rischi derivanti da un uso improprio ragionevolmente prevedibile

Esempio concreto: se utilizza uno strumento di selezione del personale basato sull'IA, i rischi prevedibili comprendono esiti discriminatori legati a caratteristiche protette (genere, età, origine etnica), violazioni della riservatezza dovute a una raccolta eccessiva di dati e un uso improprio da parte di responsabili delle assunzioni che si affidano eccessivamente al sistema senza revisione umana.

Fase 2: analisi e stima dei rischi

Per ciascun rischio individuato, stimi:

Gravità: qual è l'entità del danno se il rischio si concretizza?
Probabilità: quanto è probabile che il rischio si verifichi?
Popolazioni interessate: chi è esposto a questo rischio?

Documenti la metodologia. Se usa una matrice dei rischi (ad es. una griglia probabilità-impatto 5×5), definisca i criteri di punteggio e le soglie.

Fase 3: valutazione dei rischi

Determini se ciascun rischio sia accettabile o richieda un'attenuazione. L'articolo 9 richiede di valutare i rischi alla luce di:

La finalità prevista del sistema
L'uso improprio ragionevolmente prevedibile
Lo stato dell'arte nell'attenuazione dei rischi

Se un rischio supera la soglia di accettabilità, deve attuare dei controlli.

Fase 4: attenuazione dei rischi

Adotti misure per eliminare o ridurre i rischi a un livello accettabile. L'articolo 9 richiede espressamente:

Controlli di progettazione e sviluppo: integrare sicurezza ed equità nell'architettura del sistema
Test e validazione: dimostrare che i controlli funzionano come previsto
Informazioni agli utenti: fornire istruzioni e avvertenze chiare (cfr. articolo 13)
Meccanismi di sorveglianza umana: consentire un intervento umano significativo (cfr. articolo 14)

Documenti ogni misura di attenuazione e la colleghi allo specifico rischio o ai rischi che affronta.

Fase 5: monitoraggio e aggiornamento continui

La gestione dei rischi non si ferma alla messa in servizio. L'articolo 9 richiede che lei:

Monitori le prestazioni del sistema in produzione
Aggiorni le valutazioni dei rischi quando modifica il sistema o viene a conoscenza di nuovi rischi
Conservi le registrazioni di tutte le attività di gestione dei rischi

Ciò significa documentazione sotto controllo di versione, registri delle modifiche e revisioni periodiche, non un PDF statico.

I requisiti documentali dell'articolo 9

Il regolamento europeo sull'IA non prescrive un modello di documento, ma l'articolo 11 (documentazione tecnica) e l'articolo 9, letti insieme, implicano che lei debba tenere:

Documento	Finalità	Frequenza di aggiornamento
Piano di gestione dei rischi	Descrive il processo complessivo, la metodologia, i ruoli e la cadenza delle revisioni	Ogni anno o quando cambia il processo
Registro dei rischi	Elenca tutti i rischi individuati con gravità, probabilità e stato	In continuo (documento vivo)
Relazione di valutazione dei rischi	Analisi dettagliata di ciascun rischio, comprese prove e valutazione	Per versione del sistema o modifica rilevante
Specifica dei controlli di attenuazione	Descrive ciascun controllo, la sua attuazione e i test di efficacia	Per controllo; aggiornata in caso di modifica
Registrazioni di test e validazione	Prove che le attenuazioni funzionano (piani di test, risultati, criteri di superamento)	Per ciclo di test
Registro di monitoraggio e incidenti	Dati di prestazione in produzione, anomalie, reclami degli utenti, quasi-incidenti	In continuo (registro in sola aggiunta)

Tutta la documentazione deve essere spiegabile e verificabile. Se un'autorità nazionale chiede le sue registrazioni ai sensi dell'articolo 9, deve poterle produrre in tempi ragionevoli (di norma 30 giorni).

Lacune ricorrenti e anti-pattern

La maggior parte delle organizzazioni fallisce la conformità all'articolo 9 in modi prevedibili. Ecco gli otto anti-pattern più frequenti che rileviamo negli audit Vigilia:

Valutazione dei rischi una tantum: trattare la gestione dei rischi come un elenco di controllo pre-lancio anziché come un processo continuo
Nessuna analisi dell'uso improprio: individuare i rischi dell'uso previsto ignorando gli scenari di uso improprio prevedibile
Metodologia non documentata: usare giudizi soggettivi sul rischio senza criteri di punteggio definiti
Nessuna tracciabilità: elencare rischi e controlli in documenti separati senza una mappatura chiara
Prove di test mancanti: sostenere che le attenuazioni sono efficaci senza validazione documentata
Nessun monitoraggio in produzione: mettere in servizio il sistema senza mai verificare se le ipotesi di rischio reggono nel mondo reale
Documentazione obsoleta: registri dei rischi non aggiornati da oltre 12 mesi
Nessun controllo di versione: sovrascrivere le vecchie valutazioni dei rischi invece di conservare uno storico delle modifiche

Ognuna di queste lacune può innescare un'azione di enforcement. La conformità all'articolo 9 non consiste nell'avere della documentazione: consiste nell'avere la documentazione giusta, aggiornata e dimostrabilmente usata per prendere decisioni.

Come l'articolo 9 si collega ad altri requisiti

L'articolo 9 è la base, ma non sta in piedi da solo. Il suo sistema di gestione dei rischi deve alimentare:

Articolo 10 (governance dei dati): la valutazione dei rischi indica quali dati di addestramento servono e come validarli
Articolo 13 (trasparenza): i rischi individuati determinano quali informazioni deve fornire agli utenti
Articolo 14 (sorveglianza umana): la gravità del rischio detta il livello di controllo umano richiesto
Articolo 15 (accuratezza, robustezza, cibersicurezza): l'attenuazione dei rischi guida i requisiti di prestazione tecnica
Articolo 61 (monitoraggio successivo all'immissione sul mercato): una gestione dei rischi continua richiede un monitoraggio costante delle prestazioni

Se il processo previsto dall'articolo 9 è debole, ogni obbligo a valle diventa più difficile da soddisfare.

Elenco di controllo per l'attuazione

Ecco una tabella di marcia di 30 giorni per stabilire la conformità all'articolo 9:

Settimana 1: perimetro e metodologia

Confermi che il suo sistema è ad alto rischio (verifichi l'allegato III)
Definisca il processo di gestione dei rischi (chi ne è responsabile, cadenza delle revisioni, percorsi di escalation)
Scelga una metodologia di valutazione dei rischi (ISO 31000, NIST AI RMF o una propria)
Documenti i criteri di punteggio del rischio (scala di gravità, scala di probabilità, soglie di accettabilità)

Settimana 2: individuazione e analisi dei rischi

Organizzi un workshop strutturato sui rischi con ingegneria, prodotto, legale e conformità
Individui i rischi per la salute, la sicurezza e i diritti fondamentali
Analizzi gli scenari di uso improprio ragionevolmente prevedibile
Popoli il registro dei rischi con le prime stime di gravità e probabilità

Settimana 3: valutazione dei rischi e pianificazione dell'attenuazione

Valuti ciascun rischio rispetto ai criteri di accettabilità
Progetti controlli di attenuazione per i rischi inaccettabili
Colleghi ciascun controllo allo specifico rischio o ai rischi che affronta
Definisca piani di test per validare l'efficacia dei controlli

Settimana 4: test, documentazione e avvio del monitoraggio

Esegua i test di validazione per ciascun controllo di attenuazione
Documenti i risultati dei test e aggiorni il registro dei rischi con i livelli di rischio residuo
Attivi il monitoraggio in produzione (indicatori di prestazione, rilevamento di anomalie, canali di feedback degli utenti)
Programmi la prima revisione trimestrale della gestione dei rischi

Non è un lavoro da una sola persona. La conformità all'articolo 9 richiede collaborazione tra funzioni e sostegno del vertice aziendale.

Che cosa succede se non è conforme

La non conformità all'articolo 9 è classificata come violazione grave ai sensi dell'articolo 71 del regolamento europeo sull'IA. Le autorità nazionali di vigilanza del mercato possono:

Imporle di adottare misure correttive entro un termine stabilito
Limitare o vietare l'immissione sul mercato del suo sistema di IA
Ritirare il suo sistema dal mercato
Imporre sanzioni amministrative fino a 15 milioni di euro o al 3% del fatturato annuo mondiale totale (art. 99, paragrafo 4); per le PMI, l'importo inferiore

Oltre alle sanzioni regolamentari, una gestione dei rischi inadeguata la espone a:

Responsabilità civile: se il suo sistema di IA causa un danno e lei non può dimostrare una gestione dei rischi ragionevole, può subire azioni legali ai sensi delle norme nazionali sulla responsabilità da prodotto
Danno reputazionale: la pubblicità delle azioni di enforcement può distruggere la fiducia dei clienti
Esclusione dagli appalti: molti acquirenti pubblici dell'UE chiederanno la prova della conformità all'articolo 9 nei bandi

Il costo della non conformità supera di gran lunga quello di fare le cose per bene.

Come Vigilia la aiuta a soddisfare i requisiti dell'articolo 9

Vigilia automatizza l'analisi delle lacune relative all'articolo 9 che tradizionalmente richiede settimane di lavoro ai consulenti. In 20 minuti ottiene:

Classificazione del rischio: stabilisce se il suo sistema è ad alto rischio ai sensi dell'allegato III
Punteggio di conformità all'articolo 9: valuta l'attuale processo di gestione dei rischi rispetto a tutti i requisiti dell'articolo 9
Analisi delle lacune: individua documentazione mancante, debolezze di processo e anti-pattern
Tabella di marcia correttiva: azioni prioritizzate con stime di impegno e calcolo dell'esposizione sanzionatoria
PDF pronto per l'audit: rapporto esportabile da condividere con legali, funzione compliance o revisori esterni

Gli audit di conformità tradizionali costano 5.000-40.000 € e richiedono da 1 a 3 mesi. Vigilia costa 499 € e restituisce risultati in 20 minuti. Ottiene la stessa analisi articolo per articolo, la stessa metodologia documentata e le stesse indicazioni correttive, senza i costi indiretti dei consulenti.

Il 2 dicembre 2027 è la data operativa. Se utilizza IA ad alto rischio nell'UE, deve essere conforme all'articolo 9 entro quella data. Prima inizia, più tempo avrà per colmare le lacune e validare i controlli.

Pronto a vedere a che punto è? Generi ora il suo rapporto di conformità al regolamento europeo sull'IA: 499 €, 20 minuti, analisi delle lacune articolo per articolo, compresi i requisiti di gestione dei rischi dell'articolo 9.

Il presente articolo fornisce informazioni generali sul regolamento europeo sull'IA e non costituisce consulenza legale. Per questioni specifiche di conformità, consulti un avvocato qualificato con esperienza nella regolamentazione europea dell'IA.