EU AI Act 2026: Cosa Devono Fare Ora i Team Finance

Uno strumento che usi oggi per una verifica del credito può essere classificato domani come sistema ad alto rischio. Non perché l’IA sia cambiata. Perché è cambiata la legge.

È esattamente questo ciò che molti team finance sottovalutano dell’EU AI Act. Non si tratta di robot futuristici in contabilità. Si tratta del software molto concreto che gira oggi e che calcola punteggi, imposta limiti e classifica i crediti. Nel momento in cui quel software valuta il comportamento di una persona, ricade nella categoria più severa definita dal regolamento.

Perché il credit scoring è considerato ad alto rischio

L’Allegato III del regolamento elenca i casi d’uso che si qualificano automaticamente come ad alto rischio. Il punto 5 riguarda l’accesso a servizi essenziali. Include esplicitamente l’IA usata per valutare l’affidabilità creditizia di persone fisiche o per stabilire un punteggio di credito.

La logica è facile da seguire. Un punteggio sbagliato può costare a una persona un prestito, un appartamento o un affare commerciale. Il legislatore vuole che decisioni di questo tipo siano spiegabili, documentate e verificabili. C’è un’eccezione: l’IA usata esclusivamente per rilevare frodi finanziarie non rientra nella regola.

Per i team finance del mid-market, il punto pratico è semplice. Nel momento in cui usi l’IA per suddividere clienti, fornitori o richiedenti in classi di credito, potenzialmente rientri nell’ambito di applicazione. Vale anche quando il modello è solo un mattone all’interno di un processo più ampio.

Cosa richiede in pratica l’alto rischio

Questi obblighi non sono una lista di desideri astratti. Sono operativi e verificabili in sede di audit. I più importanti:

• Gestione del rischio. Un processo documentato e continuo che identifica e mitiga i rischi del sistema. Non un’attività una tantum, ma lungo l’intero ciclo di vita.
• Qualità dei dati e data governance. I dati di addestramento e di input devono essere pertinenti, rappresentativi e il più possibile privi di errori. È proprio qui che falliscono la maggior parte dei progetti, come vedremo più avanti.
• Documentazione tecnica. Devi poter dimostrare come è costruito il sistema e come arriva ai suoi risultati.
• Logging. Il sistema deve registrare automaticamente gli eventi in modo che le decisioni possano essere ricostruite a posteriori.
• Trasparenza. Gli utenti devono capire cosa fa il sistema e con quale livello di affidabilità.
• Supervisione umana. Una persona reale deve poter intervenire, annullare e fermare il sistema. Nessuna approvazione automatica in pilota automatico.

Leggi questa lista pensando a un normale modello linguistico di grandi dimensioni e il problema è evidente. Un modello che prevede numeri come testo e non produce alcuna catena di calcolo tracciabile non soddisfa da solo quasi nessuno di questi punti. Per capire perché gli LLM falliscono strutturalmente proprio in questo tipo di compito, vedi il nostro pillar su IA nella finanza.

La scadenza di cui nessuno parla apertamente

È qui che le cose diventano scomodamente oneste. Gli obblighi ad alto rischio per i sistemi dell’Allegato III dovevano originariamente applicarsi a partire dal 2 agosto 2026. Nell’ambito del cosiddetto Digital Omnibus, si è discusso di posticipare in modo significativo questa scadenza, verso la fine del 2027. Lo stato esatto dipende dall’iter legislativo finale.

Cosa significa per te? Non contare su un periodo di grazia. Primo, la decisione formale non è definitiva al momento in cui scriviamo. Secondo, e questo è il punto vero, una scadenza più lontana non cambia nulla nella sostanza dei requisiti. Qualità dei dati, tracciabilità e supervisione umana non sono un fastidio di conformità. Sono le cose che impediscono alla tua IA di inventare un numero di cui dovrai rispondere personalmente.

Un CFO che sistema l’architettura solo nel 2027 non ha eliminato il rischio. Lo ha solo datato.

La vera trappola: la qualità dei dati, non il modello

La maggior parte dei dibattiti sull’AI Act ruota attorno al modello. Quale LLM, quale fornitore, quale paese. È il livello sbagliato.

Il regolamento richiede qualità dei dati, ed è esattamente lì che i team finance inciampano, molto prima che il modello entri in gioco. Se i tuoi numeri provengono da tre sistemi, si contraddicono a vicenda, e nessuno sa dire quale versione sia corretta, allora ogni output dell’IA è un rischio documentato. Puoi far girare un modello di prim’ordine su una base disordinata e comunque finire con un sistema non conforme.

Abbiamo scritto un articolo a parte su questo perché conta moltissimo: la qualità dei dati batte il modello. L’idea centrale in una frase. Prima che l’IA tocchi i tuoi numeri, deve esistere una base dati riconciliata che quadra con il libro mastro.

Come un livello di modellazione soddisfa gli obblighi, punto per punto

È qui che entra in gioco l’approccio di Rexfin, e non come slogan di marketing ma obbligo per obbligo.

Rexfin collega le tue fonti di dati contabili e finanziari, come DATEV, QuickBooks, Xero o NetSuite, oppure estratti conto caricati, e li integra in un unico modello finanziario riconciliato. Un’unica fonte di verità che quadra con il libro mastro. Questo affronta alla radice la qualità dei dati richiesta.

Il calcolo vero e proprio non è gestito dall’LLM ma da un motore deterministico. L’IA recupera i valori e formula la domanda, ma la matematica gira attraverso un meccanismo verificabile in sede di audit. Lo stesso modello restituisce lo stesso risultato per la stessa domanda. Questa è la base per la trasparenza e la documentazione riproducibile.

Ogni numero porta con sé la propria origine. Clicca su un valore e vedi il documento sorgente e il percorso di calcolo. È esattamente il logging e la tracciabilità richiesti dall’AI Act, e parallelamente dal GoBD. Per come funziona tecnicamente, vedi come funziona.

E poiché ogni output è vincolato alla propria fonte, una persona può revisionarlo invece di fidarsene ciecamente. Questa è supervisione umana degna del nome. Nessuna scatola nera da approvare a occhi chiusi.

Cosa puoi fare questa settimana

Non devi aspettare il testo legale definitivo per iniziare. Tre passi che hanno senso indipendentemente dalla scadenza:

1. Inventario. Elenca ogni strumento nella tua funzione finance che assegna un punteggio o classifica persone o partner commerciali. Includi anche l’IA ombra non ufficiale nel browser di un dipendente.
2. Test di provenienza. Prendi un numero generato dall’IA dal tuo ultimo ciclo di reporting e prova a ricondurlo al documento sorgente. Riesci a farlo in meno di un minuto? Se no, hai trovato la tua lacuna.
3. Fondamenta prima dell’automazione. Consolida la base dati riconciliata prima di attivare altre funzionalità IA. L’ordine determina se resti conforme.

L’AI Act non punisce l’uso dell’IA. Punisce l’uso dell’IA che nessuno sa spiegare. La differenza non sta nel modello. Sta nel livello sottostante.

Se vuoi vedere come ogni numero si ricollega alla propria fonte, prenota una demo. Analizzeremo insieme i tuoi dati e ti mostreremo cosa significa davvero verificabile.