Chi è coinvolto: i ruoli definiti dall’AI Act

L’AI Act non si rivolge esclusivamente ai produttori di tecnologia. Il regolamento definisce diverse figure, ciascuna con responsabilità specifiche.

Fornitore (Provider)

È il soggetto che sviluppa un sistema di IA o lo fa sviluppare per proprio conto, immettendolo sul mercato o mettendolo in servizio con il proprio nome o marchio. I fornitori sostengono gli obblighi più rilevanti, in particolare per i sistemi ad alto rischio: devono garantire conformità ai requisiti tecnici, predisporre documentazione, implementare sistemi di gestione della qualità e assicurare la sorveglianza post-commercializzazione.

Deployer (Utilizzatore professionale)

È la persona fisica o giuridica che utilizza un sistema di IA sotto la propria autorità, escludendo l’uso personale non professionale. Rientrano in questa categoria, ad esempio, un’azienda che utilizza un software di selezione del personale basato su IA o una banca che impiega algoritmi per la valutazione del merito creditizio.

I deployer hanno obblighi di vigilanza, devono garantire l’uso conforme alle istruzioni del fornitore e, in alcuni casi, effettuare valutazioni d’impatto sui diritti fondamentali.

Importatore e distributore

Gli importatori immettono sul mercato europeo sistemi di IA provenienti da paesi terzi. I distributori rendono disponibili sul mercato sistemi già immessi. Entrambi devono verificare che il sistema sia conforme e che la documentazione sia completa.

Rappresentante autorizzato

I fornitori stabiliti al di fuori dell’UE devono designare un rappresentante autorizzato nell’Unione prima di immettere sul mercato sistemi ad alto rischio.

La classificazione dei rischi: fondamento degli obblighi

L’AI Act adotta un approccio basato sul rischio. Non tutti i sistemi di intelligenza artificiale sono trattati allo stesso modo: gli obblighi crescono proporzionalmente al potenziale impatto negativo su salute, sicurezza e diritti fondamentali.

Rischio inaccettabile: sistemi vietati

Alcune applicazioni sono considerate incompatibili con i valori europei e sono vietate. Tra queste:

• Sistemi di social scoring da parte di autorità pubbliche.
• Tecniche subliminali che manipolano il comportamento causando danni.
• Sfruttamento di vulnerabilità di gruppi specifici, come età o disabilità.
• Identificazione biometrica in tempo reale in spazi pubblici per finalità di contrasto, salvo eccezioni tassative.
• Categorizzazione biometrica basata su dati sensibili.
• Scraping non mirato di immagini facciali da Internet o CCTV.
• Riconoscimento delle emozioni sul luogo di lavoro e nelle istituzioni scolastiche, salvo motivi medici o di sicurezza.
• Polizia predittiva basata esclusivamente sulla profilazione.

I divieti sono applicabili dal 2 febbraio 2025.

Alto rischio: obblighi stringenti

I sistemi ad alto rischio sono elencati nell’Allegato III del regolamento e includono applicazioni in ambiti come:

• Occupazione e gestione dei lavoratori, inclusi selezione, valutazione e promozioni.
• Accesso a servizi essenziali, come credito, assicurazioni e prestazioni sociali.
• Istruzione e formazione professionale.
• Identificazione biometrica.
• Gestione delle infrastrutture critiche.
• Amministrazione della giustizia e processi democratici.

Per questi sistemi, i fornitori devono rispettare requisiti dettagliati: sistemi di gestione del rischio, governance dei dati, documentazione tecnica, registrazione automatica degli eventi, trasparenza, sorveglianza umana, accuratezza, robustezza e cybersecurity.

I deployer di sistemi ad alto rischio devono:

• Utilizzare il sistema secondo le istruzioni d’uso.
• Garantire la sorveglianza umana con personale competente.
• Monitorare il funzionamento e segnalare gli incidenti.
• Effettuare una valutazione d’impatto sui diritti fondamentali, quando prevista.
• Conservare i log generati automaticamente.

Rischio limitato: obblighi di trasparenza

Alcuni sistemi comportano obblighi specifici di trasparenza, indipendentemente dal livello di rischio. È il caso di:

• Chatbot e assistenti virtuali: gli utenti devono essere informati che stanno interagendo con un sistema di IA.
• Sistemi di riconoscimento delle emozioni o categorizzazione biometrica: è previsto un obbligo di informativa.
• Deepfake: i contenuti generati o manipolati devono essere etichettati come tali.

Rischio minimo

La maggior parte dei sistemi di IA rientra in questa categoria e non è soggetta a obblighi specifici. Tuttavia, il regolamento incoraggia l’adozione di codici di condotta volontari.

Obblighi specifici per i modelli di IA per finalità generali

L’AI Act introduce disposizioni dedicate ai modelli di IA per finalità generali (GPAI), come i large language model. I fornitori di questi modelli devono:

• Redigere e mantenere aggiornata la documentazione tecnica.
• Fornire informazioni ai fornitori a valle che integrano il modello nei propri sistemi.
• Adottare policy per il rispetto del diritto d’autore.
• Pubblicare una sintesi dei contenuti utilizzati per l’addestramento.

Per i modelli GPAI con rischio sistemico, ad esempio i modelli addestrati con capacità computazionale superiore a determinate soglie, si aggiungono obblighi di valutazione del modello, gestione dei rischi sistemici, segnalazione degli incidenti gravi e garanzie di cybersecurity.

Scadenze di applicazione dell’AI Act

L’applicazione del regolamento è scaglionata nel tempo:

Le imprese devono quindi individuare quali sistemi utilizzano o sviluppano e mappare le scadenze pertinenti.

Quando AI Act e GDPR si sovrappongono

Molti sistemi di intelligenza artificiale trattano dati personali. In questi casi, gli obblighi dell’AI Act si sommano a quelli del Regolamento (UE) 2016/679 (GDPR).

Un sistema di IA utilizzato per la selezione del personale, ad esempio, comporta:

• Obblighi AI Act in quanto sistema ad alto rischio.
• Obblighi GDPR relativi al trattamento dei dati dei candidati, inclusa la valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’articolo 35 GDPR.
• Obblighi di trasparenza verso gli interessati e, se applicabile, il diritto di non essere sottoposti a decisioni basate unicamente su trattamenti automatizzati, previsto dall’articolo 22 GDPR.

La valutazione d’impatto sui diritti fondamentali prevista dall’AI Act per alcuni deployer non sostituisce la DPIA, ma le due valutazioni possono essere coordinate.

Percorso operativo di adeguamento AI Act per le imprese

L’adeguamento all’AI Act richiede un approccio strutturato. Di seguito viene presentato un percorso articolato in sei fasi.

1. Inventario dei sistemi di IA

Il primo passo è mappare tutti i sistemi di intelligenza artificiale presenti in azienda, distinguendo tra:

• Sistemi sviluppati internamente.
• Sistemi acquisiti da fornitori terzi.
• Sistemi integrati in prodotti o servizi.

Per ciascun sistema occorre documentare finalità, ambito di utilizzo, tipologia di dati trattati e soggetti coinvolti.

2. Classificazione del rischio

È necessario analizzare ciascun sistema secondo i criteri stabiliti dal regolamento:

• Rientra tra le pratiche vietate?
• È elencato nell’Allegato III e quindi potenzialmente ad alto rischio?
• È un componente di sicurezza di prodotti regolamentati?
• Comporta obblighi specifici di trasparenza?

Questa classificazione determina gli obblighi applicabili e le relative tempistiche.

3. Identificazione del ruolo

Per ciascun sistema bisogna stabilire se l’azienda agisce come fornitore, deployer, importatore o distributore. Una stessa impresa può ricoprire ruoli diversi in relazione a sistemi differenti.

4. Gap analysis

La situazione esistente deve essere confrontata con i requisiti normativi applicabili. Per i sistemi ad alto rischio occorre valutare:

• L’esistenza di un sistema di gestione del rischio.
• La qualità e la governance dei dati di addestramento.
• La disponibilità della documentazione tecnica.
• La capacità di logging e tracciabilità.
• I meccanismi di sorveglianza umana.
• Il livello di robustezza e cybersecurity.

5. Piano di adeguamento

È quindi necessario definire azioni correttive, responsabilità, risorse e tempistiche. Gli interventi devono essere prioritizzati considerando:

• Le scadenze normative.
• Il livello di rischio del sistema.
• L’impatto sul business.

6. Governance e formazione

L’articolo 4 dell’AI Act impone a fornitori e deployer di garantire un livello sufficiente di alfabetizzazione in materia di IA al personale coinvolto. Questo obbligo è applicabile dal 2 febbraio 2025.

È opportuno inoltre definire ruoli e responsabilità interni, procedure di monitoraggio e meccanismi di aggiornamento continuo.

Sanzioni per la mancata conformità

L’AI Act prevede sanzioni amministrative pecuniarie significative:

• Fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per le violazioni relative alle pratiche vietate.
• Fino a 15 milioni di euro o il 3% del fatturato per le violazioni degli obblighi dei fornitori e dei deployer.
• Fino a 7,5 milioni di euro o l’1,5% del fatturato per la comunicazione di informazioni inesatte o fuorvianti.

Per le PMI e le startup, le sanzioni sono calcolate considerando la loro dimensione, ma l’importanza della conformità resta invariata.

Domande frequenti

L’AI Act si applica anche alle PMI che usano software commerciali con funzionalità di IA?

Sì. Se una PMI utilizza un sistema di IA sotto la propria autorità per finalità professionali, agisce come deployer e deve rispettare gli obblighi corrispondenti, incluso l’uso conforme alle istruzioni del fornitore e, per i sistemi ad alto rischio, la sorveglianza umana e il monitoraggio.

Come faccio a sapere se il sistema di IA che utilizzo è ad alto rischio?

Occorre verificare se il sistema rientra nelle categorie elencate nell’Allegato III del regolamento o se costituisce un componente di sicurezza di prodotti disciplinati dalla normativa di armonizzazione dell’Unione, indicati nell’Allegato I. Il fornitore dovrebbe riportare la classificazione nella documentazione del prodotto.

La valutazione d’impatto sui diritti fondamentali è obbligatoria per tutti i deployer?

No. L’obbligo riguarda specifiche categorie di deployer, in particolare enti pubblici e soggetti privati che forniscono servizi pubblici, per determinati sistemi ad alto rischio.

Quali sono le prime scadenze da rispettare?

Dal 2 febbraio 2025 sono applicabili i divieti relativi alle pratiche a rischio inaccettabile e l’obbligo di garantire l’alfabetizzazione in materia di IA del personale.

L’AI Act sostituisce il GDPR per i sistemi di IA che trattano dati personali?

No. I due regolamenti si applicano congiuntamente. L’AI Act disciplina i requisiti specifici per i sistemi di IA, mentre il GDPR continua a regolare il trattamento dei dati personali.

Conclusioni

L’adeguamento all’AI Act non è un adempimento formale, ma un’opportunità per le imprese di strutturare l’uso dell’intelligenza artificiale in modo responsabile e sostenibile. La complessità del regolamento richiede un’analisi attenta della propria situazione, una pianificazione accurata e competenze specifiche.