L’AI Act, il regolamento europeo sull’intelligenza artificiale, è la prima normativa organica sull’IA a livello mondiale. È entrato in vigore nel 2024 e si applica in modo progressivo, per fasi. Per le aziende che sviluppano o utilizzano sistemi di IA, conoscere la norma prima delle scadenze fa la differenza tra un adeguamento pianificato e uno fatto di corsa.
Questo articolo non costituisce consulenza legale. È una guida pratica per capire quali categorie di IA la norma disciplina, quali obblighi concreti impone e qual è il calendario effettivo di applicazione.
La logica del regolamento: obblighi proporzionati al rischio
L’AI Act non vieta l’IA né impone gli stessi obblighi a tutti i sistemi. Classifica i sistemi di IA per livello di rischio e applica una disciplina proporzionata: più alto è il rischio potenziale per le persone, maggiori sono gli obblighi.
IA vietata. Sistemi che il regolamento vieta del tutto perché il loro rischio è inaccettabile. Comprende la categorizzazione biometrica per dedurre caratteristiche sensibili (origine etnica, opinioni politiche, orientamento sessuale), i sistemi di punteggio sociale dei cittadini da parte delle autorità pubbliche e alcuni usi del riconoscimento facciale in tempo reale negli spazi pubblici. Questi sistemi non possono essere utilizzati in nessuna circostanza.
IA ad alto rischio. Sistemi che richiedono valutazioni di conformità, documentazione tecnica, sorveglianza umana obbligatoria e registrazione in banche dati europee. I settori e gli usi compresi sono: infrastrutture critiche, istruzione e formazione professionale, occupazione (selezione del personale, valutazione delle prestazioni), servizi essenziali (credito, assicurazioni, prestazioni sociali), attività di contrasto, gestione delle frontiere e delle migrazioni, amministrazione della giustizia e sistemi di IA in prodotti regolamentati (dispositivi medici, sicurezza industriale).
IA a rischio limitato. Sistemi soggetti a obblighi di trasparenza: l’utente deve sapere che sta interagendo con un’IA. Rientrano in questa categoria i chatbot, i sistemi di generazione di immagini e i contenuti deepfake.
IA a rischio minimo. La grande maggioranza delle applicazioni aziendali di IA: filtri antispam, sistemi di raccomandazione, strumenti di produttività. Non comporta obblighi ulteriori rispetto alla normativa già esistente.
A chi si applica
Si applica a qualsiasi impresa che immetta sul mercato europeo o utilizzi nell’Unione europea sistemi di IA, indipendentemente da dove abbia sede. Ciò ha conseguenze rilevanti: se un’azienda europea utilizza un sistema di IA statunitense che rientra nelle categorie ad alto rischio, è l’azienda europea, in quanto deployer (chi utilizza il sistema, nella terminologia del regolamento), a dover rispettare gli obblighi di conformità.
Il calendario di applicazione
Il regolamento si applica per fasi: prima i divieti relativi alle pratiche di IA a rischio inaccettabile, poi i modelli di IA per finalità generali come GPT o Claude, quindi i sistemi ad alto rischio (la parte più complessa del regolamento) e infine i sistemi di IA nei prodotti regolamentati, come i macchinari o i dispositivi medici. Il testo ufficiale del regolamento, l’Ufficio europeo per l’IA (AI Office) della Commissione europea e le autorità nazionali di vigilanza del mercato sono le fonti di riferimento per le scadenze esatte in vigore.
Che cosa riguarda la maggior parte delle aziende: il rischio limitato
Per le aziende che usano chatbot, assistenti virtuali o strumenti di IA generativa a contatto con i clienti, l’obbligo principale è la trasparenza: l’utente deve sapere che sta interagendo con un sistema di IA e non con una persona.
L’obbligo sembra ovvio, ma ha implicazioni progettuali: le interfacce dei chatbot devono dichiararsi chiaramente come IA, le email generate automaticamente non devono essere presentate come scritte da una persona e i sistemi vocali basati sull’IA usati nelle chiamate del servizio clienti devono qualificarsi come tali all’inizio della conversazione.
Che cosa riguarda le aziende con IA ad alto rischio
Un’azienda che usa sistemi di IA per decisioni di selezione del personale, valutazione delle prestazioni, valutazione del merito creditizio o gestione dell’accesso ai servizi pubblici rientra nella categoria ad alto rischio, con obblighi significativi:
- Documentazione tecnica: descrivere il sistema, le sue capacità, i limiti e le prestazioni con un dettaglio sufficiente a valutarne la conformità.
- Gestione dei rischi: un processo sistematico di individuazione e mitigazione dei rischi lungo tutto il ciclo di vita del sistema.
- Governance dei dati: i dati di addestramento devono essere pertinenti, rappresentativi e privi di distorsioni inappropriate.
- Sorveglianza umana: i sistemi ad alto rischio devono essere progettati per consentire una sorveglianza, un intervento e una correzione umana efficaci.
- Registrazione: iscrizione nella banca dati europea dei sistemi di IA ad alto rischio.
Che cosa non è ancora chiaro
L’AI Act lascia margini interpretativi in ambiti importanti. La classificazione dei sistemi di IA al confine tra categorie di rischio (se un sistema specifico sia ad alto rischio o a rischio limitato) non è sempre evidente. L’Ufficio europeo per l’IA e le autorità nazionali di vigilanza del mercato pubblicheranno progressivamente linee guida interpretative. La rete degli organismi di valutazione della conformità è ancora in fase di costruzione.
È chiaro invece che i sistemi costruiti fin dall’inizio con documentazione tecnica, processi di gestione dei rischi e sorveglianza umana integrata potranno dimostrare la propria conformità molto più facilmente quando scatteranno gli obblighi per l’alto rischio.
Domande frequenti
Le PMI hanno qualche esenzione? Il regolamento prevede alcune disposizioni specifiche per PMI e startup, in particolare per l’accesso agli spazi di sperimentazione normativa (sandbox per l’IA). Non esistono però esenzioni generali: se un sistema è ad alto rischio, gli obblighi si applicano a prescindere dalle dimensioni dell’azienda.
Che cosa succede in caso di inadempienza? Le sanzioni massime sono consistenti, proporzionate al fatturato mondiale dell’impresa, con i livelli più alti per le pratiche di IA vietate. Si tratta degli importi massimi, non dei casi tipici, ma indicano la serietà con cui il legislatore europeo affronta la materia.
Da dove cominciare per valutare la propria conformità? Il primo passo è censire i sistemi di IA che l’azienda utilizza o intende utilizzare e classificarli per categoria di rischio. Da questa classificazione derivano gli obblighi concreti. Le linee guida pubblicate dalla Commissione europea e dalle autorità nazionali di vigilanza sono il punto di partenza per questo esercizio.