AI Act e scoring del credito: cosa cambia e quando

Cos'è un sistema ad alto rischio secondo l'AI Act?

L'AI Act (Regolamento UE 2024/1689) classifica i sistemi di intelligenza artificiale in base al rischio che comportano per i diritti delle persone. I sistemi "ad alto rischio" sono quelli elencati nell'Allegato III del regolamento: non sono vietati, ma sono soggetti a obblighi rafforzati — tracciabilità delle decisioni, supervisione umana, gestione della qualità dei dati, documentazione tecnica — prima di poter essere messi sul mercato o usati in produzione.

Lo scoring del credito è alto rischio?

Sì. Il punto 5, lettera b) dell'Allegato III include esplicitamente i sistemi AI destinati a valutare l'affidabilità creditizia o stabilire il merito di credito delle persone fisiche. Rientrano in questa categoria i modelli usati per decidere l'accettazione di una richiesta di finanziamento, per assegnare uno score di rischio o per definire condizioni di prezzo basate su una valutazione predittiva del comportamento del cliente (il punto 5c estende una logica simile al pricing assicurativo su vita e salute).

Quando scattano gli obblighi?

Qui si concentra la maggior parte della confusione. L'AI Act prevede scadenze differenziate per tipo di obbligo:

• 2 agosto 2026 — obblighi di trasparenza, validi per (quasi) tutti i sistemi AI: dichiarare in modo verificabile che un sistema è AI, come viene usato e come viene supervisionato.
• 2 dicembre 2027 — obblighi specifici per i sistemi ad alto rischio elencati nell'Allegato III, tra cui lo scoring del credito. Questa scadenza è stata differita rispetto al testo originale del regolamento nell'ambito del pacchetto "Digital Omnibus".

Chi sente dire "l'AI Act scatta ad agosto 2026" e lo applica anche allo scoring del credito sta confondendo le due scadenze. Per il credito, la scadenza degli obblighi da alto rischio è dicembre 2027 — non prima.

Cosa devi dimostrare (tracciabilità, supervisione umana, governance dati)?

Indipendentemente dalla data esatta, un sistema di scoring conforme deve poter dimostrare, quando richiesto da un auditor o da un'autorità di vigilanza:

• Tracciabilità — un registro di ogni decisione: quali dati sono stati usati, quale output è stato prodotto, quando e da chi è stata validata.
• Supervisione umana — un punto del processo in cui una persona può rivedere, correggere o bloccare la decisione dell'algoritmo, in particolare sui casi borderline o ad alto impatto per il cliente.
• Governance dei dati — qualità e provenienza dei dati di addestramento e di input, minimizzazione dei dati trattati, isolamento dei dati per cliente o per portafoglio.

Come automatizzare restando conforme?

La scelta pragmatica non è scegliere tra "automatizzare" e "essere conformi": è costruire l'automazione in modo che la conformità sia una conseguenza dell'architettura, non un progetto separato da aggiungere dopo. In pratica significa: loggare ogni azione dell'agente fin dal primo giorno, mettere un'approvazione umana esplicita sui passaggi che contano, e usare un secondo modello di validazione (AI-as-a-judge) per ridurre errori prima che arrivino a un cliente o a un revisore. Chi arriva al 2027 con questa architettura già in produzione non deve rifare nulla sotto scadenza.