AI Act, Digital Omnibus e macchine intelligenti: cosa devono fare le aziende industriali

Perché l’IA industriale non è più solo software

In ambito industriale l’IA raramente vive isolata. È collegata a sensori, PLC, safety PLC, robot, inverter, sistemi MES/SCADA, cloud, teleassistenza, database di produzione e interfacce operatore. Quando una decisione algoritmica influenza un movimento, un arresto, un accesso, una velocità, una ricetta o una modalità di lavoro, il problema non è solo informatico: diventa anche un problema di sicurezza macchina.

Questo punto non deve essere sottovalutato; un modello di IA usato per classificare immagini non ha lo stesso peso di un modello che autorizza il movimento di un asse o che riconosce la presenza di un operatore in una zona pericolosa. La classificazione normativa dipende dalla funzione reale, non dal nome commerciale del software.

AI Act: il quadro europeo basato sul rischio

L’AI Act introduce un modello basato sul rischio. Alcune pratiche sono vietate, altre sono classificate come ad alto rischio, altre ancora richiedono obblighi di trasparenza o restano a rischio minimo. Per le aziende industriali la categoria più importante è quella dei sistemi ad alto rischio, perché può riguardare IA usata come componente di sicurezza o integrata in prodotti regolati dalla normativa europea di prodotto.

Le regole per i sistemi high-risk richiedono:

• la gestione del rischio
• qualità dei dati
• documentazione tecnica
• registrazione degli eventi
• informazioni per l’utilizzatore
• sorveglianza umana
• robustezza
• accuratezza
• cybersecurity.

In pratica: l’IA deve essere progettata, controllata, verificata e mantenuta come parte di un sistema tecnico dimostrabile.

Digital Omnibus: cosa cambia nelle tempistiche e nell’applicazione

Il Digital Omnibus nasce per semplificare l’applicazione dell’AI Act e ridurre incertezze operative. La Commissione europea ha indicato un percorso più graduale per i sistemi ad alto rischio: alcune aree high-risk avranno una data applicativa successiva, mentre i sistemi integrati in prodotti regolati, come ascensori o giocattoli, avranno una finestra ancora più lunga.

Per le aziende questo non deve diventare un motivo di procrastinazione, le date di piena applicazione possono slittare, ma i progetti industriali hanno cicli lunghi: macchine, impianti e software entrano in sviluppo anni prima dell’immissione sul mercato. Aspettare la scadenza significa quasi sempre dover correggere architetture già congelate.

Quando l’IA industriale può diventare high-risk

Non ogni IA integrata in una macchina è un high-risk; un algoritmo che ottimizza consumi energetici o suggerisce una manutenzione può avere un profilo di rischio limitato, se non incide direttamente sulla sicurezza e se l’operatore mantiene pieno controllo decisionale. Diverso è il caso in cui l’IA diventa parte di una funzione di sicurezza, abilita o disabilita movimenti, influenza il comportamento di un robot o sostituisce una valutazione umana in un contesto critico.

La valutazione deve partire da tre domande semplici: che cosa decide il sistema di IA? Su quale macchina o processo agisce? Che cosa succede se sbaglia, viene manipolato, degrada nel tempo o lavora fuori dal dominio di addestramento?

Esempi pratici su macchine, robot e impianti

• Visione artificiale per controllo qualità: normalmente non è high-risk se scarta prodotti e non incide sulla safety. Diventa critica se il suo output modifica accessi, velocità o autorizzazioni di movimento.
• Sistema AI per rilevare persone in zona pericolosa: può diventare componente di sicurezza e va trattato con logiche di validazione, ridondanza, limiti e prove molto più robuste.
• Manutenzione predittiva: è meno critica se genera solo raccomandazioni. Diventa più delicata se comanda arresti, bypass o condizioni operative automatiche.
• Robot mobile autonomo o AMR: navigazione, riconoscimento ostacoli e decisioni di traiettoria possono incidere direttamente sulla sicurezza delle persone.
• Assistente generativo su HMI o manuale digitale: richiede controllo delle risposte, limiti d’uso, tracciabilità delle informazioni e gestione del rischio di istruzioni errate.

Regolamento Macchine, CRA, NIS2 e AI Act: ruoli diversi

Il Regolamento Macchine 2023/1230 resta centrale quando l’IA è integrata in una macchina o in un insieme di macchine. Se una funzione digitale può compromettere la sicurezza, deve entrare nell’analisi dei rischi, nella progettazione delle funzioni di sicurezza, nella validazione e nella documentazione tecnica.

Il Cyber Resilience Act riguarda invece la cybersecurity dei prodotti con elementi digitali, è applicabile anche alle macchine e tratta il tema cyber in maniera più ampia. La NIS2 riguarda la resilienza cyber di soggetti essenziali e importanti concentrandosi sulla continuità produttiva e sulla security delle comunità. L’AI Act disciplina i sistemi di IA secondo classi di rischio. Sono piani diversi, ma nel mondo industriale si incrociano: una macchina ch integra IA, cosiddetta “intelligente”, può avere obblighi di safety, cybersecurity, tracciabilità software, gestione dati e sorveglianza post-market.

Documenti tecnici da preparare

Se le tue macchine integrano sistemi IA, la prima cosa da costruire è un inventario dei sistemi di IA usati o integrati nei prodotti. Senza inventario non esiste classificazione, senza classificazione non è possibile stabilire obblighi, responsabilità e priorità. Di seguito un breve elenco dei passi da compiere per lòa conformutà della macchine che integrano algoritmi IA:

1. Inventario AI: modello, fornitore, versione, funzione, dati usati, interfacce e output generati.
2. Classificazione del ruolo: provider, deployer, importatore, distributore o fabbricante che integra IA nel prodotto.
3. Valutazione AI Act: rischio minimo, trasparenza, high-risk, GPAI o esclusione motivata.
4. Analisi safety: impatto su funzioni di sicurezza, rischi macchina, PL/SIL, arresti e modalità operative.
5. Analisi cybersecurity: accessi, aggiornamenti, manipolazione dati, protezione modello, log e hardening.
6. Documentazione tecnica: requisiti, dati, test, limiti, istruzioni, sorveglianza umana e monitoraggio post-market.
7. Gestione modifiche: versioning, riaddestramento, aggiornamenti, rollback, validazione e tracciabilità.

Il punto critico: dominio di utilizzo e deriva del modello

Un sistema di IA può funzionare bene in test e peggiorare nel tempo se cambiano materiali, illuminazione, layout, velocità, operatori, ricette o condizioni ambientali. Questo fenomeno, spesso chiamato “drift”, è particolarmente pericoloso quando l’output dell’algoritmo incide sulla sicurezza o sulla qualità di una decisione automatica.

Per questo vengono coinvolte anche le istruzioni per l’uso che devono indicare condizioni di utilizzo, limiti, controlli periodici, criteri di riqualifica, gestione anomalie e responsabilità dell’utilizzatore. Un modello non validato nel dominio reale non dovrebbe essere usato per prendere decisioni critiche.

Errori frequenti

Come Waves Engineering supporta le aziende

Waves Engineering aiuta costruttori, integratori e aziende manifatturiere a trasformare l’IA integrata nelle macchine in un sistema documentato e verificabile. Il lavoro parte dalla mappatura degli algoritmi e delle funzioni digitali, prosegue con la classificazione normativa e arriva alla documentazione tecnica necessaria per dimostrare controllo del rischio.

Il supporto può includere classificazione AI Act, analisi dei rischi safety/cyber/AI, verifica dell’impatto sul Regolamento Macchine, revisione delle funzioni di sicurezza, controllo di istruzioni e fascicolo tecnico, procedure di validazione, gestione versioni e requisiti di sorveglianza post-market.