Quali sono gli obiettivi chiave e i principi fondamentali alla base dell’AI Act?
L’AI Act dell’UE, formalmente proposto nell’aprile 2021 ed entrato in vigore il 1° agosto 2024, stabilisce un quadro giuridico uniforme per i sistemi di IA in tutta l’UE. Bilancia l’innovazione con la necessità di proteggere i diritti fondamentali e i dati personali.
Obiettivi chiave:
- Salvaguardia dei diritti fondamentali: Garantisce che i sistemi di IA rispettino i diritti fondamentali dell’UE, con particolare attenzione alle considerazioni etiche.
- Promozione dell’innovazione: Incoraggia lo sviluppo e la diffusione di tecnologie di IA affidabili.
- Promozione della fiducia: Costruisce la fiducia del pubblico nei sistemi di IA.
Principi fondamentali:
L’AI Act adotta un approccio basato sul rischio, classificando i sistemi di IA in base al loro potenziale livello di rischio. Questo approccio determina il livello di supervisione normativa e i requisiti di conformità.
- Categorizzazione del rischio:
- Rischio inaccettabile: I sistemi di IA che violano i diritti fondamentali dell’UE sono proibiti.
- Alto rischio: I sistemi che incidono sulla salute, sulla sicurezza o sui diritti fondamentali richiedono valutazioni di conformità e un monitoraggio continuo.
- Rischio limitato: Si applicano requisiti di trasparenza, come la divulgazione dell’interazione con l’IA.
- Rischio minimo: Nessun requisito specifico.
- IA per scopi generali (GPAI): Una categoria aggiuntiva per i modelli di IA addestrati su grandi set di dati, in grado di svolgere diverse attività. I modelli GPAI considerati a “rischio sistemico” sono soggetti a maggiori obblighi.
Inoltre, l’AI Act riconosce diversi ruoli all’interno della catena del valore dell’IA, tra cui fornitori, utilizzatori, distributori, importatori e rappresentanti autorizzati. Ogni ruolo ha responsabilità e requisiti di conformità distinti.
I revisori interni devono comprendere la categoria di rischio di ciascun sistema di IA e il ruolo della propria organizzazione nella sua catena del valore per garantire la conformità all’AI Act. Questi ruoli possono evolvere, incidendo sugli obblighi di conformità.
Come dovrebbero le organizzazioni affrontare il raggiungimento e il mantenimento della conformità con i vari obblighi definiti dall’AI Act?
L’AI Act introduce un approccio basato sul rischio, classificando i sistemi di IA in livelli di rischio inaccettabile, alto, limitato e minimo, insieme a una categoria per l’IA per Scopi Generali (GPAI). Gli sforzi di conformità devono essere adattati a queste categorie di rischio e al ruolo specifico che un’organizzazione svolge nella catena del valore dell’IA (Fornitore, Implementatore, ecc.). Ecco un’analisi per i professionisti del legal-tech, i responsabili della conformità e gli analisti politici:
Comprendere il Vostro Ruolo e Profilo di Rischio
Innanzitutto, le organizzazioni devono identificare quale ruolo occupano per ciascun sistema di IA che utilizzano e determinare la categoria di rischio applicabile. Attenzione, un Implementatore diventa un Fornitore quando apporta modifiche significative all’IA o la ripropone con il proprio marchio. I requisiti variano a seconda che siate nell’UE, al di fuori dell’UE, un fornitore, un implementatore, un distributore o un rappresentante.
Stabilire Misure di Conformità Fondamentali
Per prepararsi, gli auditor interni possono affrontare la conformità all’AI Act come qualsiasi altro progetto di conformità, ma con un focus sulla valutazione, l’audit e la governance dei processi di IA distinti. Prendete nota delle prossime scadenze:
- 2 febbraio 2025: Concentratevi sulla formazione del personale in materia di alfabetizzazione sull’IA, create un inventario dei sistemi di IA, classificate i sistemi in base al rischio e cessate l’uso/rimuovete l’IA a rischio inaccettabile.
- 2 agosto 2025: Affrontate la conformità GPAI, compresa la comprensione degli enti normativi pertinenti e la definizione di meccanismi di trasparenza. (Nota: la conformità è posticipata al 2027 per i sistemi GPAI preesistenti).
- 2 agosto 2026: Implementate sistemi di valutazione, gestione e responsabilità del rischio per l’IA ad alto rischio e politiche di trasparenza per i sistemi a rischio limitato.
- 2 agosto 2027: Applicate le misure GPAI a tutti i sistemi e assicuratevi che i componenti di IA integrati soddisfino gli obblighi relativi all’IA ad alto rischio.
Obblighi e Requisiti Chiave
Diversi obblighi si applicano in base al tipo di modello di IA:
- Alfabetizzazione sull’IA: Assicurate un’alfabetizzazione sufficiente sull’IA tra coloro che si occupano dei sistemi di IA.
- Registro dell’IA: Le aziende devono creare un registro dell’IA che contenga tutti i sistemi di IA che utilizzano o immettono sul mercato. I sistemi di IA ad alto rischio devono essere presentati a un repository centrale di IA.
- Valutazione del Rischio dell’IA: Tutti i sistemi di IA nel registro dell’IA dovrebbero essere valutati in base al metodo di classificazione del rischio utilizzato nell’AI Act. Va notato che il metodo di classificazione è prescritto all’interno dell’AI Act.
Per i sistemi di IA ad Alto Rischio, le organizzazioni devono implementare solidi sistemi di gestione del rischio, concentrarsi sui dati e sulla governance dei dati, mantenere la documentazione tecnica e implementare misure di registrazione e trasparenza. La supervisione umana deve essere integrata nella progettazione. È imperativo che l’accuratezza, la resilienza e le misure di cybersecurity soddisfino gli standard richiesti per garantire output di IA coerenti.
Le organizzazioni devono nominare rappresentanti autorizzati al di fuori dell’UE per i sistemi di IA ad alto rischio. Devono inoltre essere eseguiti una valutazione di conformità e la marcatura CE di conformità.
I sistemi di IA a Rischio Limitato incorrono in obblighi di trasparenza, informando gli utenti che stanno interagendo con un’IA. Gli output generati (contenuti audio, immagini, video o testo sintetici) devono essere leggibili dalla macchina e dichiarare che il contenuto è stato generato artificialmente.
Similmente al rischio limitato, i modelli di IA per Scopi Generali richiedono anche obblighi di trasparenza per i fornitori al fine di informare le persone fisiche interessate che stanno interagendo con un sistema di IA. Devono inoltre classificare i modelli GPAI con rischio sistemico.
Il Ruolo dell’Audit Interno
I dipartimenti di audit interno dovrebbero sviluppare framework per valutare l’utilizzo dell’IA all’interno dell’organizzazione, offrire raccomandazioni per fornire benefici e mitigare i rischi e dare l’esempio valutando il proprio utilizzo dell’IA. Le competenze di audit sono generalmente garantite attraverso formazioni interne ed esterne e la condivisione delle conoscenze. È importante che i dipartimenti di audit pianifichino e implementino attività di formazione dedicate per garantire di essere adeguatamente qualificati per fornire garanzie sull’IA.
Considerare una legislazione UE più ampia
I sistemi di IA possono anche rientrare in altre legislazioni UE come DORA e CSRD/CSDDD, in particolare in relazione ai fornitori terzi, all’impatto ambientale e alla resilienza della cybersecurity. Considerate come i sistemi di IA potrebbero richiedere all’azienda di conformarsi a una serie più ampia di regolamenti.
Quali sono i principali requisiti associati all’utilizzo e alla verifica dei sistemi di IA all’interno delle organizzazioni?
L’AI Act UE introduce un quadro a livelli di requisiti per le organizzazioni che utilizzano sistemi di IA, con un rigore dipendente dal livello di rischio associato all’IA in questione. I revisori interni saranno quindi parte integrante per garantire la conformità delle loro aziende alle nuove normative.
Obblighi basati sul rischio:
Ecco cosa comportano i diversi livelli di rischio:
- Rischio inaccettabile: i sistemi di IA ritenuti violare i diritti e i valori fondamentali dell’UE sono vietati. Questi includono l’IA utilizzata per manipolare gli individui, causare danni significativi o creare risultati discriminatori.
- Alto rischio: i sistemi di IA che incidono sulla salute, la sicurezza o i diritti fondamentali devono soddisfare requisiti rigorosi. I fornitori devono istituire sistemi di gestione dei rischi, garantire la qualità e la governance dei dati, mantenere la documentazione tecnica e fornire trasparenza agli implementatori. Sono inoltre essenziali la supervisione umana e la resilienza informatica.
- Rischio limitato: chatbot o generatori di contenuti AI (testo o immagini) rientrano in questa categoria. I requisiti di trasparenza sono fondamentali in questo caso, informando gli utenti che stanno interagendo con un sistema di IA.
- Rischio minimo: videogiochi abilitati all’IA o filtri antispam: non si applicano requisiti specifici.
Oltre a queste categorie, i modelli di IA per scopi generali (GPAI) che sono fondamentali per altri sistemi devono affrontare distinti requisiti di trasparenza. Se ritenuti presentare un “rischio sistemico” (in base alla potenza di calcolo o all’impatto), i modelli GPAI sono soggetti a ulteriori controlli, tra cui valutazioni del modello e misure di sicurezza informatica.
Obblighi basati sul ruolo nella catena del valore dell’IA:
Gli obblighi variano anche in base al ruolo di un’organizzazione:
- Fornitori: coloro che sviluppano e immettono sistemi di IA sul mercato dell’UE si assumono la massima responsabilità. Garantiscono la conformità ai severi requisiti dell’AI Act.
- Implementatori: le organizzazioni che utilizzano sistemi di IA sono responsabili dell’uso corretto e del rispetto delle linee guida del fornitore, tra cui la garanzia della supervisione umana e il mantenimento della qualità dei dati.
Punti di azione chiave per gli auditor interni:
Per garantire la piena conformità all’AI Act, le organizzazioni di audit interno devono tenere presenti alcuni punti critici:
- Alfabetizzazione IA: garantire che il personale possieda un’alfabetizzazione AI sufficiente per comprendere il funzionamento e l’uso dei sistemi di IA in modo appropriato.
- Inventario IA: stabilire e mantenere un registro completo dei sistemi di IA utilizzati in tutta l’organizzazione, comprese le filiali.
- Classificazione del rischio: classificare tutti i sistemi di IA in base alle categorie di rischio definite nell’AI Act.
- Valutazioni d’impatto: eseguire valutazioni d’impatto sui diritti fondamentali per specifici sistemi di IA, che delineano i potenziali danni e le strategie di mitigazione.
- Monitoraggio post-immissione sul mercato: implementare un piano per la raccolta continua di dati, la documentazione e l’analisi delle prestazioni del sistema di IA.
In definitiva, integrare le procedure appropriate è fondamentale per gestire il rischio e garantire la conformità della tua organizzazione.
