Il Regolamento sull’IA dell’UE si Applica ai Sistemi di IA “Vecchi”?
La questione centrale è: cosa accade ai sistemi di IA costruiti e implementati prima dell’entrata in vigore del Regolamento sull’IA? Le nuove norme si applicano retroattivamente?
La risposta breve è: Generalmente no, ma con importanti eccezioni e obblighi di transizione.
Il Principio di Non Retroattività
Il Regolamento sull’IA non è retroattivo. Ciò significa che:
- I sistemi di IA immessi sul mercato o messi in servizio prima del 2 agosto 2025 sono in gran parte esenti dai nuovi obblighi del Regolamento.
- Tuttavia, questa esenzione non si applica ad alcune pratiche di IA vietate ai sensi dell’Articolo 5 del Regolamento.
Pratiche Proibite Chiave che Riguardano Tutti i Sistemi di IA
Indipendentemente da quando è stato implementato, le seguenti applicazioni sono vietate e devono essere eliminate:
- Scoring sociale da parte dei governi
- Identificazione biometrica in tempo reale negli spazi pubblici (con eccezioni limitate)
- Manipolazione sfruttatrice di gruppi vulnerabili
- IA con pattern oscuri progettati per distorcere materialmente il comportamento degli utenti
Qualsiasi IA legacy che rientra in queste categorie deve essere immediatamente rimediata o dismessa.
Date di Transizione Importanti e Attivatori di Conformità
Quando Devono Conformarsi i Sistemi di IA Legacy?
1. Modifica Sostanziale
Se un sistema di IA immesso sul mercato prima del 2 agosto 2025 è modificato sostanzialmente dopo il 2 agosto 2026, è trattato come un nuovo sistema e deve rispettare pienamente il Regolamento sull’IA.
- La modifica sostanziale si riferisce a cambiamenti significativi nel design, funzionalità o scopo previsto.
- La parte che esegue la modifica potrebbe essere considerata un quasi-fornitore e quindi assumere obblighi legali.
2. Regole Speciali per i Modelli di IA di Uso Generale (GPAI)
Per modelli di base come GPT, LLaMA e sistemi simili:
- I modelli già sul mercato prima del 2 agosto 2025 devono conformarsi a determinate obbligazioni di trasparenza, gestione del rischio e copyright a partire dal 2 agosto 2027.
- Questo periodo di transizione consente l’audit, gli aggiornamenti delle politiche e l’implementazione di misure di sicurezza contro i rischi sistemici.
3. Sistemi di IA ad Alto Rischio nel Settore Pubblico
Le autorità pubbliche che utilizzano sistemi di IA ad alto rischio implementati prima del 2 agosto 2025 hanno tempo fino al 2 agosto 2030 per garantire la piena conformità.
- Il Regolamento sull’IA riconosce la complessità e i cicli di bilancio delle amministrazioni pubbliche.
- I fornitori e gli utilizzatori in questo settore devono retrofittare, sostituire o dismettere l’IA più vecchia per rispettare i requisiti entro questa scadenza.
4. Considerazione Speciale: Sistemi Informativi Europei su Larga Scala
I sistemi di IA legacy utilizzati nelle infrastrutture pubbliche critiche dell’UE (ai sensi dell’Allegato X, ad esempio, Sistema Informativo di Schengen, Eurodac):
- Esentati solo temporaneamente se implementati prima del 2 agosto 2027.
- Qualsiasi modifica sostanziale attiva la conformità immediatamente.
- Nuove implementazioni dopo questa data devono conformarsi pienamente fin dall’inizio.
Riepilogo: Applicabilità del Regolamento sull’IA all’IA Legacy
Anche se il Regolamento sull’IA esenta generalmente i sistemi legacy da gran parte dei nuovi obblighi, la non conformità, specialmente riguardo a pratiche vietate o IA ad alto rischio, può comportare sanzioni sostanziali ai sensi dell’Articolo 99. Queste sanzioni possono raggiungere fino a €35 milioni o il 7% del fatturato annuale globale.
È importante notare che il Regolamento sull’IA non è inteso a ostacolare il progresso tecnologico. Al contrario, riflette l’impegno dell’UE a trovare un equilibrio tra innovazione e protezione dei diritti fondamentali e delle infrastrutture critiche.
Una governance efficace dell’IA inizia con una prontezza proattiva. Le organizzazioni dovrebbero prima identificare i loro sistemi di IA più opachi o ad alto impatto, quelli in cui i rischi e le incertezze convergono, e dare priorità a questi. Da lì, costruire un approccio strutturato e basato sul rischio per la gestione dell’IA diventa non solo una necessità normativa, ma un vantaggio strategico.
