Primi passi verso la conformità: soddisfare le prime obbligazioni ai sensi dell’AI Act dell’UE
Il Regolamento sull’Intelligenza Artificiale (AI) dell’UE, entrato in vigore il 1° agosto 2024, segna il primo quadro normativo globale completo per l’IA. Sebbene la maggior parte delle disposizioni si applicherà dal 2 agosto 2026, alcuni requisiti chiave, tra cui le obbligazioni di alfabetizzazione sull’IA, la definizione dei sistemi IA e i divieti sulle pratiche proibite, sono entrati in vigore dal 2 febbraio 2025. Questi primi traguardi segnano l’inizio di un nuovo quadro normativo per l’IA in tutta Europa.
Per aiutare le imprese a districarsi tra queste prime obbligazioni di conformità, la Commissione Europea ha rilasciato due serie di linee guida nel febbraio 2025, che coprono la definizione dei sistemi IA e le pratiche IA proibite. Sebbene queste linee guida non siano vincolanti, assistono le aziende nella valutazione di come queste norme influenzano le loro operazioni IA e garantiscono che siano pronte per la conformità.
Alfabetizzazione sull’IA: un requisito di conformità fondamentale
Il Regolamento sull’IA dell’UE impone l’alfabetizzazione sull’IA come requisito di conformità fondamentale. Le organizzazioni che utilizzano l’IA devono garantire che i loro dipendenti, appaltatori e terzi rilevanti abbiano le necessarie competenze e conoscenze per impiegare l’IA in modo responsabile e gestire i rischi associati.
Cosa significa l’alfabetizzazione sull’IA nella pratica
L’alfabetizzazione sull’IA non riguarda semplicemente l’erogazione di programmi di formazione. Ai sensi del Regolamento, è un requisito di conformità dimostrabile per le organizzazioni garantire che tutto il personale coinvolto nella distribuzione e supervisione dei sistemi IA comprenda sia la tecnologia sia i suoi rischi. Questo cambiamento pone un maggiore onere sulle aziende per concentrarsi su programmi educativi significativi che dimostrano comprensione e applicazione oltre le sessioni di formazione occasionali.
Una delle sfide più grandi che le aziende affrontano è la natura in rapida evoluzione della tecnologia IA. I programmi di alfabetizzazione sull’IA dovrebbero essere adattati per riflettere i rischi specifici del settore e aggiornati regolarmente per tenere il passo con gli sviluppi tecnologici rapidi. Le organizzazioni più piccole potrebbero anche trovare difficile allocare risorse a una formazione completa sull’IA, mentre diversi settori richiederanno approcci su misura per riflettere i rischi specifici.
Integrazione della governance e aspettative dei regolatori
Anziché trattare l’alfabetizzazione sull’IA come un obbligo autonomo, le aziende dovrebbero integrarla nei loro quadri di governance e gestione del rischio esistenti. Questo non solo aiuta le organizzazioni a costruire una cultura di utilizzo responsabile dell’IA, ma migliora anche la supervisione dell’IA, migliora il processo decisionale e rafforza la fiducia degli stakeholder. Sebbene il mancato rispetto dell’alfabetizzazione sull’IA non comporti sanzioni dirette, i regolatori potrebbero considerarlo quando determinano le multe per violazioni più ampie del Regolamento.
Ambito e pratiche IA proibite: comprendere i limiti
La definizione di sistema IA è un pilastro chiave del Regolamento, determinando quali tecnologie rientrano nel suo ambito.
Definire un sistema IA ai sensi del Regolamento: cosa devono sapere le aziende
Il Regolamento sull’IA dell’UE fornisce una definizione basata sul ciclo di vita dell’IA, che comprende sia le fasi di sviluppo (fase di costruzione) che quelle di distribuzione (fase d’uso). Le linee guida sui sistemi IA confermano che, a causa della vasta varietà di applicazioni IA, non è possibile fornire un elenco definitivo di sistemi IA. Invece, l’IA è definita attraverso sette elementi chiave:
- Un sistema basato su macchine
- Progettato per operare con vari livelli di autonomia
- Che può mostrare adattamento dopo la distribuzione
- Operante per obiettivi espliciti o impliciti
- Inferendo dagli input per generare output
- Produzione di previsioni, contenuti, raccomandazioni o decisioni
- Influenza su ambienti fisici o virtuali
Tuttavia, non tutti e sette gli elementi devono essere presenti in ogni momento affinché un sistema possa qualificarsi come IA ai sensi del Regolamento. La definizione è intesa a riflettere la complessità e diversità dei sistemi IA, garantendo al contempo l’allineamento con gli obiettivi del Regolamento.
Le organizzazioni devono tenere presente che questa definizione non deve essere applicata meccanicamente. Ogni sistema deve essere valutato individualmente in base alle sue caratteristiche specifiche. Sebbene molti sistemi IA soddisferanno la definizione stabilita nel Regolamento, non tutti saranno soggetti a regolamentazione. In definitiva, la Corte di Giustizia dell’Unione Europea sarà responsabile delle interpretazioni autorevoli della classificazione dei sistemi IA.
Pratiche IA proibite: cosa è vietato?
L’Articolo 5 del Regolamento delinea le pratiche IA che comportano rischi inaccettabili per i diritti fondamentali, la sicurezza pubblica e i valori democratici. Questi divieti saranno riesaminati annualmente dalla Commissione Europea, consentendo alla lista di evolversi insieme agli sviluppi tecnologici.
Sebbene alcuni divieti mirino principalmente ai governi e alle forze dell’ordine, altri hanno implicazioni dirette per le aziende. Due delle restrizioni più significative che interessano le applicazioni commerciali dell’IA sono lo sfruttamento delle vulnerabilità e il punteggio sociale.
Sfruttamento delle vulnerabilità (Articolo 5(1)(b))
I sistemi IA che sfruttano intenzionalmente le vulnerabilità degli individui, sulla base di età, disabilità o stato socioeconomico, specialmente dei bambini o degli individui a rischio, causando danni significativi, sono rigorosamente vietati. Le linee guida sulle pratiche IA proibite definiscono le vulnerabilità in modo ampio, coprendo le suscettibilità cognitive, emotive e fisiche.
Un esempio chiave è rappresentato dai giocattoli alimentati dall’IA progettati per manipolare i bambini a impegnarsi in comportamenti rischiosi, come trascorrere eccessivo tempo online o prendere decisioni non sicure. Un altro esempio include meccanismi basati sull’IA che sfruttano loop di dopamina per aumentare il coinvolgimento degli utenti.
Punteggio sociale (Articolo 5(1)(c))
Il punteggio sociale si riferisce ai sistemi IA che valutano o classificano gli individui in base al loro comportamento sociale, caratteristiche personali o tratti dedotti, portando a trattamenti dannosi o sproporzionati.
Questo divieto si applica in due casi: (1) quando il punteggio sociale comporta conseguenze negative in un contesto non correlato, come utilizzare le abitudini di spesa finanziaria di un individuo per determinare la loro idoneità all’impiego; e (2) quando le conseguenze del punteggio sociale sono sproporzionate rispetto al comportamento valutato.
Le linee guida sulle pratiche IA proibite e recenti casi giuridici illustrano come questi divieti saranno applicati nella pratica. Il profiling degli individui utilizzando sistemi di valutazione basati sull’IA potrebbe rientrare nelle pratiche proibite se tutte le condizioni necessarie sono soddisfatte. Tuttavia, mentre la maggior parte dei modelli di punteggio e valutazione basati sull’IA orientati al business cadrà al di fuori dell’ambito, le organizzazioni dovrebbero scrutinare l’uso dei dati e i criteri di punteggio per evitare violazioni non intenzionali.
Ad esempio, un’azienda specializzata in analisi dei dati aziendali e valutazioni del rischio è improbabile che venga considerata come impegnata in un punteggio sociale proibito ai sensi del Regolamento. I suoi modelli valutano la salute finanziaria delle aziende e degli individui, per scopi commerciali legittimi, piuttosto che valutare gli individui in base al comportamento sociale o ai tratti della personalità. D’altra parte, un’azienda di assicurazioni che raccoglie dati sulle transazioni bancarie – non correlati all’idoneità per l’assicurazione sulla vita – e li utilizza per regolare i premi potrebbe essere impegnata in un punteggio sociale proibito.
Conclusione: prepararsi alla conformità
Le aziende dovrebbero valutare se i loro sistemi IA rientrano nell’ambito del Regolamento, valutare i loro programmi di alfabetizzazione sull’IA e rivedere i loro strumenti alimentati dall’IA per potenziali rischi legati allo sfruttamento delle vulnerabilità o al punteggio sociale. Dato che la lista delle pratiche proibite viene aggiornata annualmente, le aziende dovranno monitorare da vicino gli sviluppi normativi per rimanere conformi.
Sebbene l’AI Act presenti nuove sfide normative, offre anche un quadro per una governance responsabile dell’IA. Le aziende che adottano un approccio proattivo alla conformità — integrando l’alfabetizzazione sull’IA nei quadri di governance, valutando i rischi legati all’IA e garantendo una distribuzione responsabile — non solo mitigheranno l’esposizione legale, ma raggiungeranno anche la maturità nella governance dell’IA, rafforzeranno la fiducia dei consumatori e miglioreranno la loro posizione competitiva in un’economia guidata dall’IA.
