Il Compliance con il Regolamento UE sull’IA
All’inizio di febbraio 2025, l’intelligenza artificiale ha raggiunto un altro traguardo significativo, particolarmente rilevante per i responsabili della compliance aziendale: il 2 febbraio 2025, sono entrati in vigore i primi cinque articoli del Regolamento UE sull’IA.
Ciò significa che l’era della compliance sull’IA è ufficialmente iniziata. Se la tua azienda utilizza l’IA e opera in Europa, o sviluppa e vende sistemi di IA utilizzati in Europa, potrebbe essere soggetta a sanzioni normative. Pertanto, è necessario iniziare a incorporare politiche e procedure consapevoli della compliance nella strategia di adozione dell’IA della tua azienda, il prima possibile.
Cosa prevede l’Articolo 4 del Regolamento UE sull’IA?
L’Articolo 4 stabilisce che tutti i fornitori e utilizzatori di sistemi di IA devono:
“Prendere misure per garantire, per quanto possibile, un sufficiente livello di alfabetizzazione sull’IA del proprio personale e di altre persone che si occupano dell’operazione e dell’uso dei sistemi di IA per loro conto, tenendo conto delle loro conoscenze tecniche, esperienza, educazione e formazione e del contesto in cui i sistemi di IA verranno utilizzati.”
La definizione di “alfabetizzazione sull’IA”
“L’alfabetizzazione sull’IA” significa le competenze, le conoscenze e la comprensione che consentono ai fornitori, utilizzatori e persone interessate, tenendo conto dei rispettivi diritti e obblighi nel contesto di questo Regolamento, di effettuare un’implementazione informata dei sistemi di IA, nonché di acquisire consapevolezza sulle opportunità e sui rischi dell’IA e sui possibili danni che può causare.
In altre parole, la tua azienda deve formare i dipendenti affinché comprendano i rischi che l’IA può comportare – e da questo requisito apparentemente semplice sorgono una serie di sfide pratiche.
La compliance sull’IA inizia con la governance dell’IA
La sfida fondamentale è questa: non puoi sviluppare l’alfabetizzazione necessaria sull’IA nella tua organizzazione se non sai come l’azienda sta utilizzando l’IA. Questo diventa sempre più problematico, poiché è ora così facile per i dipendenti incorporare l’intelligenza artificiale nelle loro routine quotidiane.
Prendi ad esempio DeepSeek, l’app cinese di IA generativa che è sembrata spuntare dal nulla per diventare una delle app più popolari su internet. Quali sono i rischi per la privacy di DeepSeek? Quali rischi informatici potrebbe introdurre nella tua organizzazione? Nessuno lo sa. (Anche se praticamente ogni regolatore della privacy in Europa sta cercando di scoprirlo.)
Quindi, prima di iniziare a contemplare le politiche, le procedure e la formazione che potrebbero essere necessarie nella tua azienda per raggiungere l’alfabetizzazione sull’IA che sei tenuto ad avere, il tuo team di gestione deve prima stabilire un meccanismo di governance per guidare come i dipendenti utilizzano l’IA in primo luogo.
Ad esempio, una grande azienda potrebbe stabilire un “consiglio sull’uso dell’IA” di qualche tipo, dove i responsabili delle varie funzioni operative di Prima Linea si incontrano con le funzioni di gestione del rischio di Seconda Linea (compliance, privacy, HR, legale, sicurezza informatica) per definire le regole per l’adozione dell’IA da parte dei dipendenti.
Etica e cultura aziendale
Qual è il ruolo dell’etica, del tono dall’alto e della cultura aziendale in tutto questo? Idealmente, dovrebbero permeare l’intera discussione. Cioè, la direzione aziendale deve dimostrare un impegno per l’uso etico dell’IA – anche quando l’azienda non è ancora chiara su tutte le preoccupazioni etiche per specifici casi d’uso dell’IA; è questo il compito del tuo consiglio di governance dell’IA.
Quindi, una volta che la direzione aziendale chiarisce a tutti che (a) certo, usare l’IA è fantastico, ma (b) lo adotteremo in modo attento, etico e conforme – quella forte cultura di etica guiderà una cultura di utilizzo responsabile dell’IA. Allora la tua ricerca del livello appropriato di alfabetizzazione sull’IA diventerà molto più facile da raggiungere.
Cosa prevede l’Articolo 5 del Regolamento UE sull’IA?
L’Articolo 5 introduce pratiche di IA vietate. Questo è un elemento cruciale del Regolamento UE sull’IA perché stabilisce l’idea di “categorie” di utilizzo accettabile dell’IA – a partire dai casi d’uso più severi, che non saranno consentiti affatto.
Molti di questi casi d’uso vietati non sorprenderanno gli esecutivi occidentali. Ad esempio, la legge vieta l’IA che:
- Utilizza “tecniche subliminali oltre la coscienza di una persona o tecniche manipolative o ingannevoli” con l’obiettivo di “distorcere materialmente il comportamento di una persona compromettendo significativamente la sua capacità di prendere una decisione informata.”
- Monitora una persona e poi prevede il rischio che quella persona commetta un crimine, “basandosi esclusivamente sul profilo di una persona naturale o sulla valutazione delle sue caratteristiche e tratti.”
- Inferisce le emozioni di una persona mentre è al lavoro o a scuola, tranne che per motivi medici o di sicurezza.
Non è necessario rivedere tutti gli usi vietati qui. Il punto per i responsabili della compliance è che la tua organizzazione avrà bisogno di politiche chiare su quali usi dell’IA non abbraccerai, supportate da procedure per garantire che nessuno li abbracci.
Ad esempio, non è irrealistico immaginare che qualche appaltatore o altro partner commerciale utilizzi l’IA in modo vietato per conto della tua azienda; quindi avrai bisogno di politiche chiare, oltre a una forte gestione dei contratti e capacità di monitoraggio dei terzi. E per sottolineare il nostro punto sull’alfabetizzazione dell’IA menzionato in precedenza, avrai bisogno di una forte formazione dei tuoi stessi dipendenti per assicurarti che comprendano che questo è un rischio dell’IA di terzi, e l’azienda avrà bisogno del loro aiuto per evitarlo.
Col passare del tempo, il Regolamento UE sull’IA introdurrà altre categorie di utilizzo dell’IA; minore è il rischio che il caso d’uso comporti, minore sarà il controllo necessario. Questo metterà alla prova le squadre di etica e compliance aziendale in modi nuovi, mentre sviluppi processi per valutare i rischi di quei casi d’uso e implementare controlli appropriati.
In alcuni modi, il tuo programma di compliance sull’IA si baserà ancora sui fondamenti di un solido programma di etica e compliance, come sempre. In altri modi, è un nuovo mondo coraggioso – e pronti o meno, quel mondo è qui.
