Atto sull’IA dell’UE: Considerazioni chiave per la conformità prima di agosto 2025
L’Unione Europea ha chiarito che il calendario per l’attuazione dell’Atto sull’Intelligenza Artificiale (IA) rimane invariato. Non ci sono piani per periodi di transizione o rinvii. Le prime normative sono già in vigore dal 2 febbraio 2025, mentre ulteriori obblighi chiave diventeranno vincolanti il 2 agosto 2025. Le violazioni dell’Atto sull’IA possono comportare sanzioni significative, comprese multe fino a 35 milioni di euro o il 7% del fatturato annuale globale.
L’Atto sull’IA rappresenta il primo quadro giuridico completo al mondo per l’uso e lo sviluppo dell’IA. Segue un approccio basato sul rischio che collega i requisiti normativi al rischio specifico che un sistema di IA comporta. L’attuazione potrebbe presentare sfide strutturali, tecniche e di governance per le aziende, in particolare nel settore dell’IA a scopo generale (GPAI).
Obblighi e requisiti chiave sotto l’Atto sull’IA dell’UE
L’Atto sull’IA si concentra su pratiche di IA rischiose e vietate. Alcune applicazioni sono state espressamente vietate dal 2 febbraio 2025. Queste includono, tra le altre:
- Categorizzazione biometrica basata su caratteristiche sensibili;
- Sistemi di riconoscimento delle emozioni sul posto di lavoro;
- Sistemi manipolativi che influenzano il comportamento umano senza essere notati;
- Scoring sociale.
Questi divieti si applicano in modo completo, sia allo sviluppo che al semplice utilizzo di tali sistemi. Il 2 agosto 2025, entreranno in vigore anche requisiti di due diligence, trasparenza e documentazione per vari attori lungo la catena del valore dell’IA.
Si prevede che il legislatore tedesco affidi all’Agenzia Federale delle Reti (Bundesnetzagentur) la supervisione normativa. L’agenzia ha già istituito un punto di contatto centrale, il “AI Service Desk”, per servire come primo punto di contatto per le piccole e medie imprese, in particolare per domande relative all’attuazione pratica dell’Atto sull’IA.
Quali aziende e stakeholder sono interessati dall’Atto sull’IA dell’UE?
Fornitori di IA a scopo generale (GPAI)
I fornitori di modelli GPAI – come i modelli linguistici di grandi dimensioni o multimodali – saranno soggetti a un regime normativo specifico a partire da agosto 2025. Saranno tenuti a mantenere una documentazione tecnica che renda tracciabili lo sviluppo, l’addestramento e la valutazione del modello. Inoltre, dovranno preparare rapporti di trasparenza che descrivano le capacità, i limiti, i rischi potenziali e le indicazioni per gli integratori.
Un riepilogo dei dati di addestramento utilizzati dovrà essere pubblicato, comprese le tipologie di dati, le fonti e i metodi di preprocessing. L’uso di contenuti protetti da copyright deve essere documentato e legalmente permesso. Nel contempo, i fornitori devono garantire la protezione delle informazioni riservate.
GPAI con rischio sistemico
Obblighi estesi si applicano ai modelli GPAI particolarmente potenti classificati come “sistemici”. La classificazione si basa su criteri tecnici come la potenza di calcolo, l’ampiezza o l’impatto potenziale. I fornitori di tali modelli devono segnalare il sistema alla Commissione Europea, sottoporsi a procedure di valutazione e testing strutturati, e documentare permanentemente gli incidenti di sicurezza.
Utilizzatori di sistemi di IA
Le aziende che utilizzano semplicemente sistemi di IA – specialmente in applicazioni con potenziali alti rischi, come nel reclutamento, nella medicina o nelle infrastrutture critiche – sono tenute a mantenere un inventario completo dei sistemi utilizzati. Inoltre, devono garantire che non vengano utilizzate applicazioni vietate. Ulteriori obblighi si applicheranno ai sistemi di IA ad alto rischio a partire da agosto 2026.
Requisiti tecnici e organizzativi
L’attuazione dell’Atto sull’IA richiede non solo misure legali, ma anche strutturali. Le aziende dovrebbero considerare quanto segue per migliorare la conformità:
- Stabilire un inventario completo dell’IA con classificazione del rischio;
- Chiarire il ruolo dell’azienda (fornitore, modificatore o utilizzatore);
- Preparare la documentazione tecnica e di trasparenza necessaria;
- Implementare requisiti di copyright e protezione dei dati;
- Formare e verificare le competenze in materia di IA tra i dipendenti (incluso il personale esterno);
- Adattare le strutture di governance interne, compresa la nomina di persone responsabili.
La Commissione e le autorità di vigilanza nazionali hanno annunciato che monitoreranno da vicino l’attuazione. Le aziende dovrebbero rivedere e adattare regolarmente le loro strategie di conformità.
Preparazione anticipata per la conformità all’Atto sull’IA dell’UE e mitigazione dei rischi
Il 2 agosto 2025 rappresenta una scadenza vincolante. Fare un bilancio, chiarire i ruoli e valutare i sistemi può aiutare a creare una base solida per la certezza normativa. I fornitori e i modificatori GPAI, in particolare, dovrebbero prepararsi a un livello più elevato di responsabilità. Ma anche i tradizionali utilizzatori sono tenuti a garantire la trasparenza e il controllo delle proprie applicazioni di IA.
Azioni tempestive possono mitigare i rischi legali e finanziari, oltre a sottolineare la responsabilità e la sostenibilità futura nella gestione dell’intelligenza artificiale.
