AI Act, obblighi per le aziende che usano l'AI

L'AI Act è il Regolamento (UE) 2024/1689, la norma europea che disciplina lo sviluppo, l'immissione sul mercato e l'uso dei sistemi di intelligenza artificiale. Per un'azienda che usa assistenti generativi acquistati da terzi, gli obblighi principali dipendono dal ruolo ricoperto (di norma deployer) e dal livello di rischio del caso d'uso. Alcuni obblighi, come l'alfabetizzazione del personale, valgono per quasi tutti.

Questo articolo è informativo e non sostituisce un parere legale.

Come funziona l'AI Act: l'approccio per livelli di rischio

Il regolamento non tratta tutta l'AI allo stesso modo. Gradua gli obblighi in base al rischio che un sistema, nel suo uso concreto, pone per salute, sicurezza e diritti fondamentali. Il punto di partenza è sempre il caso d'uso, non la tecnologia in sé.

In sintesi, la classificazione per livelli di rischio distingue:

• Pratiche vietate (art. 5): usi considerati inaccettabili, che non possono essere messi in atto.
• Sistemi ad alto rischio: usi in ambiti sensibili, soggetti a requisiti stringenti per fornitori e deployer.
• Obblighi di trasparenza: per alcuni sistemi, ad esempio quelli che interagiscono direttamente con le persone o generano contenuti sintetici, vanno informati gli interessati.
• Rischio minimo: la maggior parte degli usi, senza obblighi specifici oltre a quelli generali.

Esiste inoltre un regime dedicato ai modelli di AI per finalità generali, che riguarda in primo luogo chi li sviluppa e li mette a disposizione.

Fornitore e deployer: quale ruolo ha la tua azienda?

L'AI Act attribuisce responsabilità diverse a seconda del ruolo.

Il fornitore è chi sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. Il deployer è chi usa un sistema di AI sotto la propria autorità, salvo uso personale non professionale.

Un'azienda che acquista licenze di un assistente generativo e le assegna ai dipendenti è, per quell'uso, deployer. Il fornitore resta il soggetto che ha sviluppato il sistema. I ruoli però non sono fissi: se l'azienda sviluppa un agente interno, personalizza un sistema fino a cambiarne la finalità o lo commercializza con il proprio marchio, può assumere anche obblighi da fornitore. Per questo conviene verificare caso per caso, non per strumento.

Cosa deve fare in concreto un'azienda che usa assistenti generativi

Per la maggior parte delle organizzazioni, gli obblighi operativi sono cinque.

1. Censire strumenti e casi d'uso. Non si può classificare ciò che non si conosce. Serve un elenco aggiornato di quali sistemi di AI sono in uso, in quali reparti e per quali scopi. Il tema dell'uso non autorizzato è trattato in shadow AI, rischi e gestione.
2. Classificare ogni caso d'uso per livello di rischio. Un assistente che riassume documenti interni non è nella stessa categoria di un sistema che supporta decisioni su assunzioni o valutazione del personale.
3. Escludere le pratiche vietate. Verificare che nessun uso rientri nell'art. 5 e che policy e controlli lo impediscano.
4. Garantire l'alfabetizzazione in materia di AI (art. 4): il personale che usa sistemi di AI deve avere competenze adeguate al proprio ruolo. Il dettaglio è in AI literacy e articolo 4 dell'AI Act.
5. Rispettare trasparenza e, se pertinenti, obblighi per i sistemi ad alto rischio. I deployer di sistemi ad alto rischio hanno obblighi propri, ad esempio sull'uso conforme alle istruzioni del fornitore, sulla sorveglianza umana e sulla conservazione dei log. Se il caso d'uso rientra in quest'area, serve una valutazione approfondita.

Questi obblighi si sommano a quelli già vigenti su dati personali e sicurezza. Il rapporto con la protezione dei dati è approfondito in GDPR e AI generativa in azienda.

Quali usi sono vietati e quali sono ad alto rischio?

L'art. 5 elenca le pratiche vietate. Tra queste rientrano, ad esempio, tecniche di manipolazione subliminale o ingannevole che pregiudicano le scelte delle persone, la valutazione sociale (social scoring) e, in ambito lavorativo e scolastico, l'inferenza delle emozioni, salvo limitate eccezioni. L'elenco completo e le relative condizioni vanno letti nel testo del regolamento.

I sistemi ad alto rischio riguardano ambiti specifici, individuati dal regolamento, tra cui l'occupazione e la gestione dei lavoratori, l'istruzione, l'accesso a servizi essenziali e altri settori sensibili. Un assistente generativo usato in un processo di selezione o valutazione del personale può quindi cambiare categoria in base all'uso, anche se lo strumento è lo stesso usato per scrivere una email.

Il punto pratico è questo: la classificazione segue il caso d'uso. Per questo un registro dei casi d'uso, come descritto in registro dei casi d'uso e AI governance, è il presupposto di qualsiasi analisi di conformità.

Il calendario di applicazione: cosa è già in vigore

L'AI Act è entrato in vigore con applicazione graduale. Su questo punto conviene essere prudenti:

• L'art. 4 sull'alfabetizzazione in materia di AI e i divieti dell'art. 5 si applicano dal 02/02/2025.
• Per gli altri obblighi (modelli per finalità generali, trasparenza, sistemi ad alto rischio) il calendario prevede date successive e può essere oggetto di aggiornamenti. Prima di pianificare scadenze interne, verifica sulle fonti ufficiali le date in vigore al momento.

Pianificare solo sulle scadenze più lontane è un errore frequente: le obbligazioni già applicabili richiedono azioni subito, e il lavoro di censimento e classificazione serve comunque a tutte le fasi successive.

Esempio: lo stesso strumento in tre reparti

Ipotizziamo un'azienda con un assistente generativo diffuso in tre funzioni. Nel marketing viene usato per bozze di testi: il rischio è minimo, restano rilevanti l'alfabetizzazione del personale e le regole sui dati. Nel servizio clienti alimenta un assistente conversazionale rivolto al pubblico: entrano in gioco gli obblighi di trasparenza, perché chi interagisce deve poter sapere che sta parlando con un sistema di AI. Nelle risorse umane viene proposto per ordinare candidature: qui il caso d'uso può rientrare tra quelli ad alto rischio e va analizzato con attenzione prima di avviarlo.

Lo strumento è lo stesso, gli obblighi no. È il motivo per cui un elenco di licenze non basta: serve un elenco di casi d'uso, con responsabile, finalità e dati coinvolti.

Come impostare un percorso di conformità in tre mosse

Un approccio sostenibile per un'organizzazione di grandi dimensioni segue tre passaggi.

Primo, visibilità: sapere quali strumenti di AI esistono, anche quelli adottati senza passare dall'IT. Secondo, classificazione e ruoli: per ogni caso d'uso, stabilire livello di rischio e ruolo dell'azienda (deployer, eventualmente fornitore). Terzo, presidio continuo: policy interne aggiornate, formazione tracciata, revisione periodica del registro quando cambiano strumenti o usi.

Un limite da dichiarare: una mappatura degli obblighi aiuta a capire dove sono i gap, ma la qualificazione giuridica dei casi dubbi, ad esempio se un sistema sia ad alto rischio, richiede una valutazione legale caso per caso. Una policy AI aziendale chiara aiuta a tradurre questi principi in regole d'uso comprensibili per i dipendenti.

Dove si colloca Delphis

Delphis è una piattaforma indipendente dai fornitori di AI che collega spesa, adozione, impatto e obblighi normativi. Per l'AI Act, aiuta a mantenere un registro di strumenti e casi d'uso, a associare a ciascuno gli obblighi applicabili e a evidenziare i gap in una checklist, con dati sulle persone sempre aggregati per ruolo o reparto. La mappatura è un supporto operativo e non un parere legale. Per approfondire l'area normativa: compliance AI con Delphis.

Fonti

• Regolamento (UE) 2024/1689 (AI Act)
• Regolamento (UE) 2016/679 (GDPR)