Artificial Intelligence Act: cosa cambia per le aziende
L’Artificial Intelligence Act (Regolamento (UE) 2024/1689), noto anche come AI Act EU, è entrato in vigore il 1° agosto 2024, introducendo nuove regole sull’uso delle diverse forme di Intelligenza Artificiale. Il Regolamento prevede un’applicazione graduale delle disposizioni in base al livello di rischio dei sistemi di IA.
Dal 2 febbraio 2025 sono operative le norme che disciplinano le pratiche di Intelligenza Artificiale considerate ad alto rischio e quelle inerenti la formazione del personale.
Entro il mese di agosto del 2026 ci sarà la progressiva applicazione dela parte restante del regolamento, fino a giungere alla totale applicazione. Le imprese che usano l’Intelligenza Artificiale devono quindi adeguarsi, per evitare sanzioni molto elevate.
Intelligenza Artificiale: tra innovazione e regolamentazione
L’Artificial Intelligence (AI) sta trasformando il panorama aziendale italiano, con un numero crescente di imprese che ne adottano le tecnologie, come evidenziato dal rapporto Imprese ICT 2024 dell’ISTAT. L’IA si conferma una delle tendenze tecnologiche chiave del futuro, a livello globale: spaziando dall’analisi dei dati alla robotica e agli strumenti di Gen AI, l’IA è ormai parte integrante delle strategie aziendali.
Tuttavia, l’evoluzione degli scenari digitali richiede una regolamentazione chiara per prevenire usi impropri e tutelare i diritti fondamentali. In questo contesto, l’Artificial Intelligence Act rappresenta un passo decisivo, definendo regole trasparenti e stabilendo obblighi precisi per fornitori e utilizzatori di sistemi di IA, al fine di garantire un quadro giuridico uniforme in tutta l’Unione Europea.
EU Artificial Intelligence Act: le norme entrate in vigore il 2 febbraio 2025
Dal 2 febbraio 2025 due gruppi di disposizioni dell’AI Act EU sono diventati operativi:
- divieto di pratiche AI con rischio inaccettabile (art. 5);
- obbligo di alfabetizzazione del personale sull’IA (art. 4).
1. Divieto di pratiche con rischio inaccettabile
L’AI Act EU ha identificato alcune pratiche di Intelligenza Artificiale come inaccettabili per il loro impatto sui diritti fondamentali, ovvero:
- tecniche di manipolazione subliminale o ingannevole, che influenzano il comportamento degli individui senza la loro consapevolezza;
- sfruttamento delle vulnerabilità di gruppi specifici, come minori o persone con disabilità;
- sistemi di social scoring, che valutano la reputazione o l’affidabilità delle persone basandosi su comportamenti sociali o caratteristiche personali;
- identificazione biometrica remota in tempo reale in spazi accessibili al pubblico per finalità di contrasto, salvo specifiche eccezioni per la sicurezza pubblica, previa autorizzazione;
- riconoscimento delle emozioni in contesti sensibili, come il lavoro o l’istruzione;
- creazione di banche dati di riconoscimento facciale tramite raccolta non autorizzata di dati biometrici.
Al fine di garantire una transizione efficace verso la piena applicazione delle prime disposizioni dell’Artificial Intelligence Act è bene che le organizzazioni eseguano un’analisi dettagliata e una mappatura esaustiva dei sistemi di Intelligenza Artificiale usati, sviluppati o forniti. Tale processo è fondamentale per l’identificazione di eventuali pratiche che potrebbero contravvenire alle normative già entrate in vigore.
2. Obbligo di alfabetizzazione sull’IA
L’articolo 4 dell’Artificial Intelligence Act introduce l’obbligo di garantire un adeguato livello di alfabetizzazione sull’IA per il personale coinvolto nell’uso dei sistemi di Intelligenza Artificiale. Questo requisito riguarda tutte le organizzazioni che forniscono, usano o implementano sistemi IA, indipendentemente dal livello di rischio associato al loro uso.
Le aziende dovranno fornire formazione ai propri dipendenti, in modo da assicurarsi che il personale che usa l’Artificial Intelligence abbia un livello sufficiente di competenze, conoscenze e comprensione adeguate per procedere a una diffusione informata dei sistemi AI.
Sarà necessario, quindi, implementare programmi di alfabetizzazione differenziati in base al ruolo aziendale e al grado di coinvolgimento in tali sistemi. Inoltre, occorrerà documentare le iniziative di formazione e aggiornamento per dimostrare la conformità in caso di verifiche da parte delle autorità.
L’Ufficio Europeo per l’Intelligenza Artificiale ha chiarito che la semplice lettura di istruzioni scritte sui sistemi AI non è sufficiente per soddisfare i requisiti normativi. Le imprese devono garantire un apprendimento attivo di competenze e conoscenze rilevanti tra i loro membri.
EU AI Act: le sanzioni previste per le aziende non conformi
Il mancato rispetto delle disposizioni entrate in vigore il 2 febbraio 2025 comporta severe sanzioni. Le multe previste sono:
- fino a 35 milioni di euro o, se l’autore del reato è un’impresa, fino al 7% del fatturato mondiale totale annuo annuo dell’esercizio precedente, se superiore per la violazione dei divieti su pratiche AI proibite in base all’articolo 5;
- fino a 15 milioni di euro o, se l’autore del reato è un impresa, fino al 3% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore, per la non conformità a una qualsiasi delle seguenti disposizioni connesse a operatori o organismi notificati: a) gli obblighi dei fornitori dei sistemi di IA ad alto rischio, a norma dell’articolo 16; b) gli obblighi dei rappresentanti autorizzati dei fornitori dei sistemi di IA ad alto rischio, a norma dell’articolo 22; c) gli obblighi degli importatori, a norma dell’articolo 23; d) gli obblighi dei distributori, a norma dell’articolo 24; e) gli obblighi dei deployer dei sistemi di IA ad alto rischio, a norma dell’articolo 26; f) i requisiti e gli obblighi degli organismi notificati, a norma dell’articolo 31, dell’articolo 33, paragrafi 1, 3 e 4, o dell’articolo 34; g) gli obblighi di trasparenza per i fornitori e i deployer di determinati sistemi di IA, a norma dell’articolo 50;
- fino a 7,5 milioni di euro o, se l’autore del reato è un’impresa, fino all’1 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore in caso di fornitura di informazioni inesatte, incomplete o fuorvianti agli organismi notificati e alle autorità nazionali competenti in risposta a una richiesta.
