È l’Insurtech un’applicazione ad alto rischio dell’IA?
Nel panorama attuale, la regolamentazione dell’IA sta rapidamente evolvendo, e l’Insurtech non fa eccezione. Sebbene esistano numerose normative sull’IA che possono applicarsi alle aziende operanti nel settore dell’Insurtech, queste leggi non sono uniformi nelle loro obbligazioni. Molte di queste regolazioni si concentrano su diversi costrutti normativi, e la focalizzazione dell’azienda determinerà quali obbligazioni si applicano.
Ad esempio, alcune giurisdizioni, come il Colorado e l’Unione Europea, hanno promulgato leggi sull’IA che trattano specificamente i “sistemi di IA ad alto rischio”, imponendo oneri maggiori alle aziende che implementano modelli di IA che rientrano in questa categorizzazione.
Cosa si intende per “sistema di IA ad alto rischio”?
Sebbene molti impieghi considerati “sistemi di IA ad alto rischio” in una giurisdizione possano soddisfare tale categorizzazione in un’altra, ogni regolamento definisce tecnicamente il termine in modo piuttosto diverso. La Legge sull’intelligenza artificiale dell’UE (EU AI Act) adotta un approccio graduale e basato sul rischio per le obbligazioni di conformità delle aziende coinvolte.
In altre parole, maggiore è il rischio associato all’implementazione dell’IA, più rigorosi sono i requisiti per l’uso dell’IA da parte dell’azienda. Ai sensi dell’Articolo 6 della EU AI Act, un sistema di IA è considerato “ad alto rischio” se soddisfa entrambe le condizioni del comma (1) o se rientra nell’elenco dei sistemi di IA considerati ad alto rischio e inclusi nell’Annex III della EU AI Act, che comprende sistemi di IA che trattano dati biometrici, utilizzati per valutare l’idoneità delle persone fisiche per benefici e servizi, valutare la solvibilità o utilizzati per la valutazione del rischio e la determinazione dei prezzi in relazione all’assicurazione sulla vita o sulla salute.
La Legge sull’Intelligenza Artificiale del Colorado (CAIA), che entrerà in vigore il 1 febbraio 2026, adotta un approccio basato sul rischio alla regolamentazione dell’IA. La CAIA si concentra sull’implementazione di “sistemi di IA ad alto rischio” che potrebbero creare “discriminazione algoritmica”. Ai sensi della CAIA, un “sistema di IA ad alto rischio” è definito come qualsiasi sistema che, quando implementato, determina o è un fattore sostanziale nella determinazione di una “decisione consequenziale”; vale a dire, una decisione che ha un effetto materiale sulla fornitura o sul costo dell’assicurazione.
È importante notare che anche i progetti di legge sull’IA proposti che non sono stati promulgati hanno considerato l’attività assicurativa come rientrante nell’ambito normativo proposto. Ad esempio, il 24 marzo 2025, il governatore della Virginia, Glenn Youngkin, ha posto il veto al progetto di legge proposto “High-Risk Artificial Intelligence Developer and Deployer Act” (noto anche come Virginia AI Bill), che si sarebbe applicato agli sviluppatori e ai distributori di sistemi di IA “ad alto rischio” che operano in Virginia.
L’Insurtech è considerato ad alto rischio?
Sia la CAIA che il fallito Virginia AI Bill identificano esplicitamente che un sistema di IA che prende una decisione consequenziale riguardante l’assicurazione è considerato “ad alto rischio”. Questo crea certamente l’impressione che ci sia una tendenza a regolamentare l’uso dell’IA nello spazio Insurtech come ad alto rischio. Tuttavia, l’inclusione dell’assicurazione nell’elenco delle “decisioni consequenziali” di queste leggi non significa definitamente che tutto l’Insurtech che sfrutta l’IA sarà necessariamente considerato ad alto rischio sotto queste o future leggi.
Ad esempio, ai sensi della CAIA, un sistema di IA è considerato ad alto rischio solo se, quando implementato, “prende o è un fattore sostanziale nel prendere” una decisione consequenziale. Sotto il fallito Virginia AI Bill, il sistema di IA doveva essere “specificamente destinato a prendere autonomamente, o essere un fattore sostanziale nel prendere, una decisione consequenziale”.
Quindi, l’ambito dell’uso regolamentato dell’IA, che varia da una legge applicabile all’altra, deve essere considerato insieme all’applicazione proposta dall’azienda per avere una comprensione migliore della governance dell’IA appropriata in un dato caso.
Cosa fare se si sviluppa o si distribuisce un “sistema di IA ad alto rischio”?
Ai sensi della CAIA, quando si tratta di un sistema di IA ad alto rischio, entrano in gioco varie obbligazioni. Queste obbligazioni variano per gli sviluppatori e i distributori del sistema di IA. Gli sviluppatori sono tenuti a visualizzare una divulgazione sul proprio sito web che identifichi eventuali sistemi di IA ad alto rischio che hanno distribuito e spiegare come gestiscono i rischi noti o prevedibili di discriminazione algoritmica.
Gli sviluppatori devono anche notificare il Attorney General del Colorado e tutti i distributori noti del sistema di IA entro 90 giorni dalla scoperta che il sistema di IA ha causato o è ragionevolmente probabile che causi discriminazione algoritmica. Gli sviluppatori devono anche rendere disponibili documentazioni significative sul sistema di IA ad alto rischio ai distributori.
Sotto la CAIA, i distributori hanno obbligazioni diverse quando sfruttano un sistema di IA ad alto rischio. Innanzitutto, devono notificare i consumatori quando il sistema di IA ad alto rischio prenderà, o giocherà un fattore sostanziale nel prendere, una decisione consequenziale riguardo al consumatore. Ciò include (i) una descrizione del sistema di IA ad alto rischio e del suo scopo, (ii) la natura della decisione consequenziale, (iii) le informazioni di contatto per il distributore, (iv) istruzioni su come accedere alle divulgazioni richieste, e (v) informazioni riguardo al diritto del consumatore di rinunciare al trattamento dei dati personali per la profilazione.
Inoltre, quando l’uso del sistema di IA ad alto rischio porta a una decisione avversa per il consumatore, il distributore deve divulgare al consumatore (i) il motivo della decisione consequenziale, (ii) il grado in cui il sistema di IA è stato coinvolto nella decisione avversa, e (iii) il tipo di dati utilizzati per determinare quella decisione e da dove sono stati ottenuti, dando al consumatore l’opportunità di correggere i dati utilizzati e di appellarsi alla decisione avversa attraverso una revisione umana.
In conclusione, l’industria dell’Insurtech sta crescendo parallelamente all’espansione del mosaico delle normative sull’IA negli Stati Uniti. Una crescita prudente nel settore richiede consapevolezza delle dinamiche legali associate, comprese le emergenti concezioni regolatorie a livello nazionale.
