Se gestisci progetti che integrano intelligenza artificiale, il quadro normativo europeo è appena diventato parte del tuo lavoro quotidiano. L’EU AI Act è il primo regolamento organico al mondo sull’intelligenza artificiale, e non riguarda soltanto i giganti tech o i laboratori di ricerca. Riguarda anche il project manager che inserisce un chatbot nel customer service, che adotta uno strumento di screening automatico dei curricula, o che costruisce un modello di scoring per valutare clienti. In tutti questi casi qualcuno deve capire cosa serve fare. Spesso quel qualcuno sei tu.
Questa guida non è un trattato giuridico. È una mappa pratica di cosa il PM deve sapere e fare quando un progetto tocca l’AI. Ti aiuto a inquadrare la logica del regolamento, a riconoscere le categorie di rischio e a tradurle in attività concrete di gestione progetto: classificazione, documentazione, gestione del rischio, supervisione umana e competenze del team.
Perché l’EU AI Act entra nel tuo project plan
L’idea di fondo del regolamento è semplice da raccontare, anche se l’applicazione è articolata. Non tutta l’AI è uguale, quindi non tutta l’AI va trattata allo stesso modo. Più un sistema può incidere sui diritti, sulla sicurezza o sulle scelte delle persone, più obblighi comporta. È un approccio basato sul rischio, e questo cambia il modo in cui imposti un progetto.
Per un PM significa che la conformità non è un controllo finale da spuntare prima del rilascio. È un requisito che plasma scope, tempi, budget e responsabilità fin dalle prime fasi. Se scopri solo a collaudo che il tuo sistema rientra in una categoria con obblighi pesanti, hai un problema serio di rilavorazione. Se lo sai dal kickoff, lo gestisci come qualsiasi altro vincolo di progetto.
Una precisazione importante e doverosa. L’applicazione del regolamento è scaglionata nel tempo: alcuni obblighi scattano prima, altri più avanti, e le tempistiche dipendono dalla categoria del sistema. Non affidarti a date riportate di seconda mano, comprese quelle che trovi in articoli divulgativi come questo. Verifica sempre le scadenze sulle fonti ufficiali dell’Unione Europea e con il supporto legale della tua organizzazione prima di pianificare milestone di compliance.
Le categorie di rischio spiegate al PM
Il cuore operativo del regolamento è la classificazione in livelli di rischio. Ogni livello porta con sé un diverso carico di obblighi, e quindi un diverso impatto sul tuo piano. Vale la pena impararli bene, perché sono la prima domanda da porsi su qualsiasi componente AI del progetto.
| Livello di rischio | Cosa significa | Impatto sul progetto |
|---|---|---|
| Rischio inaccettabile (vietato) | Pratiche considerate incompatibili con i valori e i diritti fondamentali, come alcune forme di manipolazione comportamentale o di social scoring. Sono proibite. | Se il tuo caso d’uso rientra qui, il progetto va ridisegnato o fermato. Nessuna documentazione lo rende ammissibile. Da intercettare nella fase di analisi requisiti. |
| Alto rischio | Sistemi che incidono in modo significativo su sicurezza o diritti delle persone, ad esempio in ambiti come selezione del personale, accesso a servizi essenziali o infrastrutture critiche. | Carico di obblighi elevato: gestione del rischio, qualità dei dati, documentazione tecnica, supervisione umana, accuratezza e robustezza. Pesa molto su tempi e budget. |
| Rischio limitato | Sistemi che interagiscono con le persone o generano contenuti, dove conta soprattutto la trasparenza. L’utente deve sapere che sta dialogando con un’AI o che un contenuto è generato. | Obblighi di trasparenza e informazione. Impatto gestibile, ma da progettare nell’esperienza utente e nei testi, non aggiunto all’ultimo. |
| Rischio minimo | La gran parte delle applicazioni AI di uso comune, a basso impatto sui diritti delle persone. | Obblighi specifici molto contenuti. Restano valide le buone pratiche generali di qualità e governance, ma il vincolo normativo è leggero. |
Attenzione a un punto che genera errori. Lo stesso modello tecnologico può ricadere in livelli diversi a seconda di come lo usi e in quale contesto. Un sistema di analisi del linguaggio è una cosa se suggerisce risposte a un operatore, un’altra se decide da solo l’esito di una candidatura. La classificazione segue l’uso reale, non la tecnologia in astratto. Per questo è una valutazione che va fatta caso per caso, sul tuo specifico progetto.
Una nota sui modelli di AI generativa
I modelli di uso generale, come i grandi modelli linguistici che molti progetti integrano via API, hanno un quadro di obblighi a parte, orientato soprattutto a trasparenza e documentazione lungo la catena del valore. Se costruisci sopra un modello di un fornitore terzo, parte della responsabilità sta a monte, ma non tutta. Devi comunque sapere cosa stai integrando e gestire la trasparenza verso i tuoi utenti finali.
Cosa cambia concretamente nelle tue attività di PM
Tradotto in linguaggio di gestione progetti, gli obblighi del regolamento si distribuiscono su alcune aree che già conosci. Cambiano i contenuti, non la grammatica del project management. Ecco dove mettere attenzione.
Classificare i sistemi AID del progetto
Il primo passo è fare un inventario. Quali componenti del progetto sono o contengono intelligenza artificiale? Dove vengono usati? Con quali conseguenze per le persone? Da questo censimento parte la classificazione del rischio. Senza inventario non hai una valutazione, e senza valutazione stai navigando alla cieca. Inserisci questa attività già nella fase di analisi, e mettila nero su bianco in un documento condiviso con stakeholder e ufficio legale.
Documentazione e trasparenza
Più sale il rischio, più cresce la documentazione attesa: descrizione del sistema, dati usati, logica di funzionamento, limiti noti. Per il PM questo significa pianificare deliverable documentali fin dall’inizio, non rincorrerli alla fine. Sul fronte trasparenza, prevedi che gli utenti sappiano quando interagiscono con un’AI o quando un contenuto è generato automaticamente. È una scelta di design dell’esperienza, va nei requisiti.
Gestione del rischio come processo continuo
Per i sistemi a rischio più alto, la gestione del rischio non è un evento singolo ma un ciclo che accompagna tutto il ciclo di vita. Identificare i rischi, mitigarli, testare, monitorare anche dopo il rilascio. Per un PM agile o ibrido questo si traduce in attività ricorrenti, non in una fase isolata. Conviene integrarlo nelle cerimonie e nelle revisioni periodiche, con owner chiari.
Supervisione umana
Un principio ricorrente è che le persone restino nel controllo. Questo richiede di progettare punti in cui un essere umano può capire, verificare e, se serve, fermare o correggere l’output del sistema. Per te significa definire ruoli, soglie di intervento e procedure di escalation. La supervisione umana non si improvvisa: è un requisito di progettazione, con impatti su interfacce, formazione e organizzazione del lavoro.
AI literacy del team
Il regolamento spinge perché chi lavora con questi sistemi abbia un livello adeguato di competenza. Tradotto: il tuo team deve capire cosa fa il sistema, quali sono i suoi limiti e come usarlo in modo responsabile. Per il PM è una voce di piano vera e propria, fatta di formazione, onboarding e materiali di supporto. Non è un nice to have, è parte degli obblighi e va dimensionata in anticipo.
Checklist: il tuo progetto usa AI? Cosa controllare
Usa questa lista come primo filtro operativo. Non sostituisce una valutazione legale, ma ti aiuta a capire dove ti trovi e cosa portare al tavolo con esperti e stakeholder.
- Hai un inventario completo di tutti i componenti AI del progetto, inclusi servizi di terze parti integrati via API?
- Per ciascun componente hai ipotizzato il livello di rischio in base all’uso reale e non solo alla tecnologia?
- Hai verificato che nessun caso d’uso ricada tra le pratiche vietate?
- Per i sistemi a rischio più alto, hai previsto a piano la documentazione tecnica e la gestione del rischio come processo continuo?
- Hai progettato punti chiari di supervisione umana, con ruoli e procedure di escalation definiti?
- Gli utenti finali vengono informati quando interagiscono con un’AI o ricevono contenuti generati?
- Hai pianificato attività di AI literacy e formazione per il team che userà o gestirà il sistema?
- Hai coinvolto presto l’ufficio legale o un esperto di compliance, invece di lasciarlo per il collaudo?
- Hai verificato le scadenze applicabili sulle fonti ufficiali UE, senza affidarti a date non confermate?
- Hai chiarito le responsabilità lungo la catena: cosa spetta al fornitore del modello e cosa alla tua organizzazione?
Come integrarlo nel ciclo di vita del progetto
Il modo più efficace per gestire questi obblighi è non trattarli come un blocco separato. La compliance all’AI Act si distribuisce lungo le fasi che già governi. In avvio, censisci i componenti AI e fai una prima ipotesi di rischio. In pianificazione, traduci gli obblighi in deliverable, attività, ruoli e budget. In esecuzione, presidia documentazione, test e supervisione umana come lavoro ricorrente. In chiusura e oltre, prevedi il monitoraggio successivo al rilascio per i sistemi che lo richiedono.
Il rischio più comune è sottovalutare l’effort. La conformità tocca dati, processi, persone e a volte l’organizzazione stessa. Trattata come una formalità dell’ultimo miglio, diventa una fonte di ritardi e rilavorazioni. Trattata come un vincolo di progetto fin dal primo giorno, diventa gestibile come qualsiasi altro requisito non funzionale. La differenza, ancora una volta, la fa il project manager.
Un’ultima raccomandazione che vale più di qualsiasi schema. Il quadro normativo è in evoluzione e l’applicazione è graduale. Quello che trovi qui ti serve a porre le domande giuste, non a chiudere il discorso. Le decisioni concrete su classificazioni, obblighi e tempistiche vanno prese con il supporto legale della tua organizzazione e con riferimento ai testi e alle indicazioni ufficiali dell’Unione Europea.
Vuoi gestire progetti digitali, AI inclusa, con metodo
Governare progetti che integrano intelligenza artificiale richiede solide basi di project management e una visione che unisce metodo, prodotto e obiettivi. Il Corso Digital Project Manager Executive di Management Academy è il percorso più completo dedicato ai progetti digitali: 118 ore di formazione che coprono approcci waterfall e agile, gestione di prodotto digitale e metodologia OKR.
Il percorso prepara agli esami di enti esterni come CAPM del PMI, le certificazioni Scrum della Scrum Alliance e Product Management di ACS, con moduli dedicati anche agli OKR. Prepara agli esami ma non li include: gli esami degli enti esterni restano a parte. La formazione è on demand, gli esami si sostengono in italiano. Per accedere è richiesto il diploma.
