Quando entra in vigore l’AI Act dell’UE e cosa significa per la tua azienda?
L’AI Act dell’Unione Europea è diventato legge ufficiale il 1 agosto 2024, ma le prime misure riguardanti gli usi proibiti dell’IA e i programmi di alfabetizzazione sull’IA per le aziende interessate entreranno in vigore il 2 febbraio 2025.
In questo articolo, analizzeremo se e come la tua azienda rientri nell’ambito di applicazione dell’AI Act. Alla fine, avrai una comprensione di come l’AI Act sia rilevante per la tua azienda e cosa devi fare quando per essere conforme. Le pene per la non conformità possono essere significative, con multe massime fino al 7% del fatturato globale annuale di un’azienda o 35 milioni di EUR, a seconda di quale importo è maggiore.
Cosa si intende per IA?
L’AI Act si riferisce all’IA come a una “famiglia di tecnologie“. Tuttavia, è necessario definire cosa viene regolato, che non è l’IA in generale, ma i “sistemi di IA“. Un sistema di IA è definito come:
un sistema basato su macchine progettato per funzionare con vari livelli di autonomia e che può mostrare capacità di adattamento dopo il dispiegamento, e che, per obiettivi espliciti o impliciti, inferenzia, dagli input ricevuti, come generare output come previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali.
Quali aziende rientrano nell’ambito di applicazione dell’AI Act?
Iniziamo con quali aziende sono escluse. Se la tua azienda non fornisce né utilizza IA in alcun modo, puoi ignorare l’AI Act. Tuttavia, è difficile essere certi che la tua azienda non stia fornendo o utilizzando IA, come si è potuto comprendere dalla definizione di sistemi di IA.
Le esclusioni più semplici includono le persone fisiche che utilizzano IA in modo non professionale e le istituzioni di ricerca pura. Inoltre, il settore della difesa è stato escluso dalle normative dell’AI Act.
Quali tipi di attività aziendali o agenzie governative rientrano nell’ambito di applicazione?
Le aziende che forniscono strumenti di IA e quelle che utilizzano sistemi di IA nei loro processi o prodotti sono considerate rispettivamente come fornitori e utilizzatori di IA. Se un utilizzatore apporta modifiche sostanziali al funzionamento dell’IA fornita, diventa responsabile del rispetto dei requisiti del fornitore per tali modifiche.
La mia azienda è soggetta all’AI Act. E ora?
Le misure richieste dall’AI Act entreranno in vigore in diverse fasi. Il 2 febbraio 2025, entreranno in vigore i requisiti di alfabetizzazione sull’IA e quelli per i sistemi di IA proibiti.
La necessità di alfabetizzazione sull’IA
La maggior parte delle aziende che forniscono o utilizzano IA è tenuta a dimostrare una forma di formazione sull’alfabetizzazione dell’IA ai propri dipendenti. La forma precisa di formazione non è specificata dall’AI Act, ma deve essere adeguata al contesto dell’IA utilizzata e alle esperienze dei dipendenti.
Il rischio nell’AI Act
Per determinare quali azioni la tua azienda deve intraprendere, è utile comprendere l’approccio basato sul rischio dell’AI Act. Le classificazioni di rischio dell’AI Act si dividono in rischi “cosa” e rischi “come”.
Le categorie di rischio “cosa”
Le categorie di rischio “cosa” si dividono in sistemi di IA proibiti, ad alto rischio e minimo rischio. I sistemi di IA proibiti sono quelli considerati incompatibili con la salute, la sicurezza o i diritti fondamentali dei residenti dell’UE.
I sistemi di IA ad alto rischio presentano potenziali benefici ma anche rischi per la salute, la sicurezza o i diritti fondamentali. Esempi includono le decisioni per prestiti bancari e le decisioni per l’accesso a assicurazioni sanitarie.
Le categorie di rischio “come”
Le categorie di rischio “come” riguardano il rischio di trasparenza e il rischio sistemico derivante dall’IA di uso generale. Se un sistema di IA può confondere gli output prodotti dall’IA per quelli creati da umani, è soggetto a requisiti di trasparenza.
Cosa deve fare la tua azienda
Ora che hai una panoramica delle definizioni e dei concetti più importanti dell’AI Act, ecco un riepilogo delle scadenze:
- 2 febbraio 2025: Inizio dei requisiti di alfabetizzazione sull’IA e dei sistemi di IA proibiti.
- 2 agosto 2025: Inizio dei requisiti per l’IA di uso generale.
- 2 agosto 2026: Inizio dei requisiti rimanenti, inclusi i sistemi di IA ad alto rischio.
- 2 febbraio 2027: Inizio dei requisiti per i sistemi di IA ad alto rischio incorporati in prodotti già regolamentati.
