Guida11 min di letturaPubblicato il 20 ott 2026

Allegato III e allegato IV dell'AI Act: quali sistemi sono ad alto rischio e quale documentazione tecnica richiedono

Allegato III o allegato IV dell'AI Act: quale vi riguarda? Entrambi, se il vostro sistema di IA è ad alto rischio. L'allegato III del regolamento (UE) 2024/1689, l'AI Act, elenca i sistemi di IA ad alto rischio in otto settori. L'allegato IV fissa le nove sezioni della documentazione tecnica che il fornitore redige prima dell'immissione sul mercato. Questa pagina collega i due allegati: per ogni settore dell'allegato III, che cosa l'allegato IV chiede di dimostrare.

Queste regole si applicano dal 2 dicembre 2027 per i sistemi dell'allegato III. Per i sistemi integrati in un prodotto dell'allegato I si applicano dal 2 agosto 2028 (articolo 113, come modificato dal regolamento (UE) 2026/1744).

Il testo citato è la versione italiana consolidata del regolamento al 27 luglio 2026 (CELEX 02024R1689-20260727). Le parole tra virgolette sono quelle del regolamento.

Allegato III dell'AI Act: gli otto settori, una riga ciascuno

L'allegato III si apre così: «I sistemi di IA ad alto rischio a norma dell'articolo 6, paragrafo 2, sono i sistemi di IA elencati in uno dei settori indicati di seguito». Ecco gli otto settori, con i loro punti.

Settore (parole del regolamento)	Sistemi interessati (sintesi)	Punti
1. Biometria	identificazione biometrica remota; categorizzazione biometrica in base ad attributi sensibili o protetti; riconoscimento delle emozioni	1, lettere da a) a c)
2. Infrastrutture critiche	componenti di sicurezza delle infrastrutture digitali critiche, del traffico stradale, della fornitura di acqua, gas, riscaldamento o elettricità	2
3. Istruzione e formazione professionale	accesso e ammissione; valutazione dei risultati dell'apprendimento; livello di istruzione; controllo dei comportamenti vietati durante gli esami	3, lettere da a) a d)
4. Occupazione, gestione dei lavoratori e accesso al lavoro autonomo	assunzione e selezione; decisioni su condizioni di lavoro, promozione, licenziamento, assegnazione dei compiti, monitoraggio delle prestazioni	4, lettere a) e b)
5. Accesso a servizi privati essenziali e a prestazioni e servizi pubblici essenziali e fruizione degli stessi	ammissibilità alle prestazioni sociali; affidabilità creditizia e punteggio di credito; tariffazione nelle assicurazioni sulla vita e malattia; smistamento delle chiamate di emergenza	5, lettere da a) a d)
6. Attività di contrasto	rischio di diventare vittima; poligrafi; affidabilità delle prove; rischio di recidiva; profilazione	6, lettere da a) a e)
7. Migrazione, asilo e gestione del controllo delle frontiere	poligrafi; valutazione dei rischi; esame delle domande di asilo, visto e permesso di soggiorno; identificazione delle persone	7, lettere da a) a d)
8. Amministrazione della giustizia e processi democratici	assistenza nella ricerca e interpretazione dei fatti e della legge; influenza sull'esito di un'elezione o di un referendum	8, lettere a) e b)

Tre settori (1, 6 e 7) valgono solo «nella misura in cui il pertinente diritto dell'Unione o nazionale ne permette l'uso». La verifica biometrica che serve solo a confermare un'identità non rientra nel punto 1, lettera a).

Il dettaglio di ogni punto, con i casi limite, è nella nostra pagina Allegato III (allegato 3): gli otto settori ad alto rischio e nella nostra guida alla classificazione secondo l'allegato III.

Articolo 6: come un sistema entra nell'allegato III, e come ne esce

L'articolo 6, paragrafo 2, fissa la regola: «sono considerati ad alto rischio anche i sistemi di IA di cui all'allegato III».

Il paragrafo 3 apre un'uscita. Un sistema dell'allegato III non è ad alto rischio «se non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche». Deve ricorrere una delle quattro condizioni:

«il sistema di IA è destinato a eseguire un compito procedurale limitato» (lettera a);
«il sistema di IA è destinato a migliorare il risultato di un'attività umana precedentemente completata» (lettera b);
«il sistema di IA è destinato a rilevare schemi decisionali o deviazioni da schemi decisionali precedenti», senza sostituire o influenzare la valutazione umana «senza un'adeguata revisione umana» (lettera c);
«il sistema di IA è destinato a eseguire un compito preparatorio per una valutazione pertinente ai fini dei casi d'uso elencati nell'allegato III» (lettera d).

Un limite non si discute: un sistema dell'allegato III «è sempre considerato ad alto rischio qualora esso effettui profilazione di persone fisiche».

Il paragrafo 4 fissa la prova. Il fornitore che conclude che un sistema dell'allegato III non è ad alto rischio «ne documenta la valutazione prima che tale sistema sia immesso sul mercato oppure messo in servizio». Si registra nella banca dati dell'UE (articolo 49, paragrafo 2) e consegna la valutazione alle autorità nazionali competenti su richiesta.

Gli orientamenti previsti dal paragrafo 5: la Commissione europea ha pubblicato una bozza il 19 maggio 2026. Contiene esempi di sistemi che sono o non sono ad alto rischio. Al 19 ottobre 2026 la pagina della Commissione la presenta ancora come bozza.

Allegato IV dell'AI Act: le nove sezioni della documentazione tecnica

L'articolo 11, paragrafo 1, impone la documentazione tecnica «prima dell'immissione sul mercato o della messa in servizio di tale sistema» e vuole che sia «tenuta aggiornata». Essa «contiene almeno gli elementi di cui all'allegato IV». Questi elementi sono nove sezioni:

una descrizione generale del sistema di IA: finalità prevista, fornitore, versioni, hardware, interfaccia, istruzioni per l'uso per il deployer (punto 1);
una descrizione dettagliata del sistema e del suo sviluppo: metodi, scelte di progettazione, architettura, dati di addestramento, sorveglianza umana, prove, cibersicurezza (punto 2);
informazioni dettagliate sul monitoraggio, sul funzionamento e sul controllo del sistema: capacità, limiti, grado di accuratezza per gruppi di persone, rischi prevedibili (punto 3);
una descrizione dell'adeguatezza delle metriche di prestazione (punto 4);
una descrizione dettagliata del sistema di gestione dei rischi dell'articolo 9 (punto 5);
una descrizione delle modifiche apportate al sistema durante il suo ciclo di vita (punto 6);
l'elenco delle norme armonizzate applicate, o la descrizione delle soluzioni adottate al loro posto (punto 7);
una copia della dichiarazione di conformità UE dell'articolo 47 (punto 8);
una descrizione del sistema di valutazione delle prestazioni dopo l'immissione sul mercato (punto 9). Include il piano di monitoraggio successivo all'immissione sul mercato dell'articolo 72, paragrafo 3.

Ogni sezione è spiegata, con un esempio compilato, nella nostra pagina del modello allegato IV. Il modello è un file DOCX gratuito, nella lingua di questa pagina, senza registrazione.

Scarica il modello allegato IV (DOCX)

Dall'allegato III all'allegato IV: che cosa ogni settore deve dimostrare per primo

Il regolamento non assegna sezioni ai settori: la documentazione completa è dovuta per ogni sistema ad alto rischio. Ma i punti dell'allegato III dicono dove sta il rischio, e quindi quali sezioni dell'allegato IV un'autorità leggerà per prime. Questa tabella è la nostra lettura dei due allegati, non una regola del testo.

Settore dell'allegato III	Sezioni dell'allegato IV da curare	Perché
1. Biometria	2 d) dati e provenienza; 3 accuratezza per gruppi di persone; 2 h) cibersicurezza	Il punto 3 richiede il grado di accuratezza per persone o gruppi di persone specifici. Un bias nei dati è il primo rischio.
2. Infrastrutture critiche	2 c) architettura e risorse; 2 h) cibersicurezza; 9 monitoraggio successivo all'immissione sul mercato	Un componente di sicurezza si giudica dal suo guasto: chi lo vede, e quando.
3. Istruzione	2 d) dati; 2 g) prove e potenziali impatti discriminatori; 2 e) sorveglianza umana	L'accesso e la valutazione toccano minori e percorsi interi.
4. Occupazione	2 b) scelte di progettazione e persone o gruppi di persone a cui il sistema è destinato; 2 g) impatti discriminatori; 2 e) sorveglianza umana	Assunzione e valutazione sono i casi dell'allegato III più frequenti in azienda.
5. Servizi essenziali	2 d) provenienza dei dati; 3 accuratezza e limiti; 5 gestione dei rischi	Affidabilità creditizia e assicurazione decidono l'accesso a un servizio essenziale.
6. Attività di contrasto e 7. Migrazione	2 e) sorveglianza umana; 1 g) e h) interfaccia e istruzioni per l'uso per il deployer; 9 monitoraggio	L'uso è pubblico e spesso urgente: le istruzioni e la sorveglianza umana portano la prova.
8. Giustizia e processi democratici	2 b) logica generale, ragionamento e ipotesi; 2 e) sorveglianza umana; 6 modifiche	L'autorità giudiziaria deve poter seguire il ragionamento dello strumento.

PMI: la forma semplificata dell'articolo 11

Il regolamento (UE) 2026/1744 ha aggiunto una frase all'articolo 11, paragrafo 1: «Le PMI, comprese le start-up, e le piccole imprese a media capitalizzazione possono fornire in modo semplificato gli elementi della documentazione tecnica specificati nell'allegato IV». La Commissione deve predisporre un modulo semplificato a questo scopo. Finché il modulo non è pubblicato, le nove sezioni restano il riferimento: la documentazione tecnica resta dovuta, la forma è più leggera.

Le date: 2 dicembre 2027, 2 agosto 2028, e ciò che si applica già

L'articolo 113, lettera c), fissa due date per le sezioni 1, 2 e 3 del capo III, che comprendono l'articolo 11 e l'allegato IV. Per i sistemi di IA «classificati come ad alto rischio ai sensi dell'articolo 6, paragrafo 2, e dell'allegato III»: il 2 dicembre 2027. Per i sistemi dell'articolo 6, paragrafo 1, e dell'allegato I: il 2 agosto 2028.

Si applicano già le pratiche vietate dell'articolo 5, dal 2 febbraio 2025. Si applicano già anche gli obblighi di trasparenza dell'articolo 50, dal 2 agosto 2026, data di applicazione generale del regolamento.

In Francia. Il 9 settembre 2025 la DGE e la DGCCRF hanno pubblicato un progetto di designazione delle autorità nazionali. Le due direzioni coordinerebbero le autorità settoriali, la DGCCRF per la vigilanza del mercato. Il comunicato dice che lo schema deve passare dal Parlamento con un disegno di legge. Questa pagina non dà per acquisita alcuna designazione.

Che cosa fare adesso, nell'ordine

Censite i vostri sistemi di IA e confrontate ciascuno con i punti dell'allegato III. La nostra autovalutazione gratuita richiede cinque minuti.
Per ogni sistema dell'allegato III che ritenete fuori dall'alto rischio, scrivete la valutazione dell'articolo 6, paragrafo 3. Prevedete anche la registrazione dell'articolo 49, paragrafo 2.
Per gli altri, aprite il fascicolo dell'allegato IV con il modello, sezione per sezione, partendo da quelle della tabella qui sopra.
Collegate la sezione 9 a un piano di monitoraggio successivo all'immissione sul mercato reale (articolo 72). La nostra pagina sul monitoraggio continuo dei sistemi di IA spiega chi monitora che cosa.

Come vi aiuta LandingRed

In LandingRed ogni sistema di IA del vostro inventario è classificato secondo l'articolo 6 e l'allegato III. La valutazione del paragrafo 3 resta registrata con la sua motivazione. La documentazione tecnica dell'allegato IV si genera dalla scheda del sistema, sezione per sezione, in versione completa o in versione PMI, e resta modificabile. Prova gratuita di sette giorni.

La pagina sull'AI Act riassume gli obblighi. La nostra autovalutazione gratuita richiede cinque minuti e stima la vostra esposizione e i vostri obblighi.

Domande frequenti sull'allegato III e sull'allegato IV dell'AI Act

Allegato III o allegato 3 dell'AI Act: è la stessa cosa?

Sì. Il testo ufficiale scrive «allegato III», in numeri romani. Molte ricerche scrivono «allegato 3». Stesso elenco, stessi otto settori. Lo stesso vale per l'allegato IV, spesso scritto «allegato 4».

Qual è la differenza tra l'allegato III e l'allegato IV?

L'allegato III dice quali sistemi autonomi sono ad alto rischio (articolo 6, paragrafo 2). L'allegato IV dice che cosa deve contenere la loro documentazione tecnica (articolo 11, paragrafo 1). Il primo classifica, il secondo documenta.

Un sistema dell'allegato III può non essere ad alto rischio?

Sì, se ricorre una delle quattro condizioni dell'articolo 6, paragrafo 3, e se non effettua profilazione di persone fisiche. Il fornitore documenta questa valutazione prima dell'immissione sul mercato e si registra nella banca dati dell'UE (articolo 49, paragrafo 2).

Chi scrive la documentazione dell'allegato IV: il fornitore o il deployer?

Il fornitore (articolo 11, paragrafo 1). Il deployer riceve le istruzioni per l'uso e deve, da parte sua, monitorare il funzionamento del sistema e conservare i log (articolo 26). Un deployer che modifica in modo sostanziale un sistema ad alto rischio può diventare fornitore (articolo 25, paragrafo 1).

Da quando è obbligatoria la documentazione dell'allegato IV?

Per i sistemi dell'allegato III, dal 2 dicembre 2027. Per i sistemi integrati in un prodotto dell'allegato I, dal 2 agosto 2028 (articolo 113, come modificato dal regolamento (UE) 2026/1744). Nulla impedisce di iniziare il fascicolo oggi.

Risorse correlate

Questa pagina offre informazioni, non consulenza legale. Il testo citato è il regolamento (UE) 2024/1689 nella versione italiana consolidata del 27 luglio 2026 (CELEX 02024R1689-20260727). Le informazioni sulla Francia sono aggiornate al 19 ottobre 2026.

Non sai se un tuo sistema rientra nell'allegato III? Fai l'autovalutazione gratuita sull'AI Act. Richiede cinque minuti e stima esposizione e obblighi. Inizia l'autovalutazione.

Rivisto e pubblicato sotto la responsabilità editoriale di AB Corporate Advisory S.R.L.

Fonti di questa pagina

1.Regolamento (UE) 2024/1689 (AI Act), testo consolidato del 27 luglio 2026 · EUR-Lex, Ufficio delle pubblicazioni dell'Unione europea
2.Regolamento (UE) 2026/1744 (Digital Omnibus sull'IA), Gazzetta ufficiale dell'UE del 24 luglio 2026 · EUR-Lex, Ufficio delle pubblicazioni dell'Unione europea
3.Draft Commission guidelines on the classification of high-risk AI systems · European Commission (Shaping Europe's digital future), 19 maggio 2026
4.Rapport de la Commission au Parlement européen et au Conseil adopté en application de l'article 112, paragraphe 1, du règlement (UE) 2024/1689 (COM(2026) 234 final) · Commission européenne, registre public du Conseil de l'UE, 20 maggio 2026
5.La DGE et la DGCCRF publient le projet de désignation des autorités nationales en charge de la mise en œuvre du règlement européen sur l'IA · Direction générale des Entreprises (entreprises.gouv.fr), 9 settembre 2025
6.EU AI Act, le piège du report · Journal du Net, chronique de Lisa Medrouk (EuroAIGuard Conseil), 18 maggio 2026

Ogni link è stato aperto e la sua data letta il 19 ottobre 2026. Le leggi sono citate nel testo ufficiale.

LandingRed automatizza tutto questo

Smetti di gestire la conformità in fogli di calcolo. Classifica, documenta, valuta e monitora i tuoi sistemi di IA da un'unica piattaforma.