L’adozione dell’AI sta accelerando rapidamente, forse più velocemente di quanto le organizzazioni riescano a governarla. Un recente studio IBM ha rilevato che il 77% delle organizzazioni intervistate ammette che è in crescita e sta già superando la loro capacità di gestirla e controllarla. A questo punto sorge una domanda importante: L’AI dovrebbe essere regolamentata?
Nonostante la diffusione dell’AI nelle aziende, resta un interrogativo legittimo: la sua adozione è effettivamente regolamentata nelle organizzazioni? L’EU AI Act sta iniziando a fornire una risposta e i requisiti di trasparenza previsti dal regolamento sono già in vigore.
Tuttavia, gli ultimi aggiornamenti dell’EU AI Act indicano che alcune scadenze sono state posticipate. Questo ha indotto molte organizzazioni a credere di avere ancora tempo per implementare i cambiamenti necessari.
In realtà, l’UE ha rinviato solo le disposizioni dell’EU AI Act relative ai sistemi di AI ad alto rischio, non i requisiti di responsabilità per le altre tipologie di sistemi. Sebbene le tempistiche siano cambiate, gli obblighi fondamentali rimangono in vigore. La vera domanda è: “Cosa deve accadere, concretamente, adesso e quanto tempo ha davvero a disposizione la mia azienda?”
Le implicazioni dell’EU AI Act per le aziende
Se un’organizzazione utilizza l’AI, potrebbe essere già soggetta agli obblighi previsti dall’AI Act dell’UE. La natura di tali obblighi dipende dalle categorie di rischio dei sistemi di AI.
Tra le categorie vietate figurano i sistemi che manipolano il comportamento umano mediante tecniche ingannevoli, i sistemi di valutazione sociale (*social scoring*) e la sorveglianza biometrica in tempo reale in spazi accessibili al pubblico. Il regolamento vieta inoltre l’uso di AI che sfruttano vulnerabilità legate all’età, alla disabilità o a condizioni socioeconomiche.
Molte imprese rientrano inevitabilmente nella categoria di rischio limitato; in questo caso, qualsiasi organizzazione che utilizzi chatbot o AI generativa per creare contenuti o immagini è tenuta a rispettare l’obbligo di trasparenza. La regola fondamentale di questa categoria è semplice: evitare che le persone scambino l’IA per un essere umano.
Esistono tre modi per soddisfare questo requisito:
- Innanzitutto, se un utente interagisce con un chatbot o un assistente basato su AI, deve essergli comunicato fin da subito che si tratta di intelligenza artificiale, e non di un’informazione nascosta tra le clausole in caratteri minuscoli.
- In secondo luogo, qualsiasi immagine, audio o video generato dall’AI deve essere etichettato o mostrare un watermark che lo identifichi come tale, affinché il pubblico sappia che non è stato creato da un essere umano.
- Infine, i contenuti multimediali generati dall’IA o i deepfake che imitano una persona reale richiedono una dichiarazione esplicita ogni volta che vengono utilizzati.
La scadenza più importante in questo contesto è il 2 dicembre 2026. È a partire da questa data che entra in vigore l’obbligo di apposizione di un watermark per tutti i sistemi di AI generativa – in particolare per quelli già presenti sul mercato prima del 2 agosto 2026, secondo il calendario aggiornato dal Digital Omnibus sulla regolamentazione dell’AI. Se un’organizzazione utilizza l’AI generativa per creare contenuti di marketing, immagini di prodotto o qualsiasi materiale destinato ai clienti, deve disporre di un sistema di etichettatura già operativo prima di tale data.
La proroga serve a raccogliere prove
Quando un’organizzazione acquista un sistema di AI da un fornitore affidabile, potrebbe essere portata a presumere immediatamente che il sistema sia conforme.
È importante notare, tuttavia, che l’AI Act dell’UE non disciplina la materia in base alla scelta di un fornitore affidabile o al tempo dedicato ai test del sistema; la normativa si fonda su evidenze concrete e richiede specificamente valutazioni del rischio, registrazioni delle approvazioni e report di monitoraggio.
L’articolo 9 dell’AI Act impone alle organizzazioni di individuare eventuali problemi, indagarne le cause, valutarne la gravità, implementare misure di controllo, documentare ogni aspetto e verificare l’efficacia della soluzione adottata.
Inoltre, per la maggior parte dei sistemi ad alto rischio, l’articolo 12 prescrive la conservazione dei log per almeno sei mesi. Sebbene nella maggior parte dei casi i log possano essere conservati dal fornitore, solitamente vengono cancellati automaticamente dopo 30 giorni: una criticità che deve essere risolta. Dopotutto, un log inaccessibile è utile quanto una telecamera di sicurezza che nessuno riesce a sbloccare.
Riguardo la supervisione umana, l’articolo 14 pone un interrogativo fondamentale: l’essere umano sta effettivamente prendendo una decisione o si limita ad approvare quanto suggerito dall’AI? Gli operatori che utilizzano sistemi ad alto rischio devono comprendere le capacità e i limiti del sistema, saperne interpretare gli output e, soprattutto, sapere quando contestarli e quando non tenerne conto.
Da dove partire
Una volta messi da parte allegati, scadenze e articoli, l’EU AI Act pone un quesito semplice: “La vostra organizzazione sa cosa sta facendo l’AI che utilizza ed è in grado di dimostrarlo?” I mesi supplementari servono a preparare questa risposta, non a rimandarla.
Le organizzazioni dovrebbero esaminare attentamente le suddette categorie di rischio prima di stilare un inventario dei sistemi di AI. Tuttavia, molte organizzazioni si scontrano con un problema: durante la creazione dell’inventario, non sanno a quale fascia di rischio appartengano i propri sistemi.
Spesso i fornitori assegnano ai sistemi di AI nomi generici e accattivanti dal punto di vista commerciale, che non ne rivelano immediatamente la classificazione normativa. Si pensi, ad esempio, a un sistema di AI denominato “Intelligent Talent Acquisition Platform” (Piattaforma intelligente per l’acquisizione di talenti), che all’apparenza è uno strumento utile ed efficiente, ma se viene impiegato per prendere decisioni in fase di assunzione, rientra nella categoria ad alto rischio prevista dall’EU AI Act.
Un esercizio utile per andare oltre l’etichetta assegnata al sistema e comprenderne le effettive funzioni consiste nel definire il processo in questi termini: il sistema analizza X, genera Y e ciò determina Z. Un’organizzazione capace di formulare una descrizione di questo tipo per ciascuno dei propri sistemi sarà in grado di classificarli correttamente.
È proprio questo che l’EU AI Act richiede alle organizzazioni: non di rinunciare all’AI, ma di assumerne la responsabilità. In ultima analisi, ogni inventario compilato, ogni sistema classificato e ogni registro conservato rappresentano una risposta preparata in anticipo per la persona che si trova dall’altra parte dell’algoritmo.
A cura di Kavitha Ashokkumar, enterprise analyst di ManageEngine
