Un regolamento che riguarda anche chi usa l'AI, non solo chi la sviluppa
L'AI Act (Regolamento UE 2024/1689) è la prima normativa organica al mondo sull'intelligenza artificiale, e non è pensata solo per chi sviluppa modelli: riguarda anche le aziende che li usano nel proprio lavoro. È il caso di gran parte delle PMI italiane, quando integrano un assistente conversazionale nel servizio clienti, usano uno strumento di selezione dei candidati basato su AI, o si affidano a un modello di terzi per generare contenuti o automatizzare decisioni.
Il regolamento non vieta l'intelligenza artificiale: la classifica per livello di rischio e impone obblighi proporzionati a quel rischio. Più l'uso è delicato per le persone coinvolte, più gli obblighi sono stringenti.
I quattro livelli di rischio
| Livello | Esempi | Cosa comporta |
|---|---|---|
| Inaccettabile | Manipolazione subliminale, punteggio sociale, sfruttamento di vulnerabilità delle persone | Vietato |
| Alto | Selezione del personale, valutazione dei dipendenti, accesso al credito o a servizi essenziali, sistemi di sicurezza | Gestione del rischio, supervisione umana, documentazione tecnica, registrazione |
| Limitato | Chatbot, contenuti generati o modificati con AI (deepfake) | Obblighi di trasparenza: dichiarare l'interazione con un'AI, etichettare i contenuti sintetici |
| Minimo | Filtri antispam, AI nei videogiochi | Nessun obbligo specifico |
La maggior parte degli usi aziendali comuni, un chatbot sul sito, un assistente interno, ricade nel rischio limitato: l'obbligo principale è la trasparenza, non un percorso di certificazione. Il rischio alto riguarda soprattutto le decisioni che incidono direttamente sulle persone, come la selezione del personale o l'accesso al credito.
Un caso frequente: usare un modello di terzi
Molte aziende non sviluppano un proprio modello, ma integrano in un proprio strumento un modello general purpose di terzi, per esempio un grande modello linguistico. In questo caso gli obblighi principali di trasparenza e documentazione tecnica ricadono sul fornitore del modello, non su chi lo integra: ma chi lo integra resta comunque responsabile di come lo strumento finale viene usato, e di classificare correttamente il proprio caso d'uso.
Le scadenze, in breve
| Da quando | Cosa si applica |
|---|---|
| Febbraio 2025 | Divieto delle pratiche a rischio inaccettabile |
| Agosto 2025 | Obblighi per i fornitori di modelli general purpose |
| Agosto 2026 | Gran parte del regolamento, compresi gli obblighi per i sistemi ad alto rischio |
| Agosto 2027 | Sistemi ad alto rischio integrati in prodotti già regolamentati (macchinari, dispositivi medici) |
Per una PMI la scadenza che conta davvero, nella maggior parte dei casi, è quella dell'agosto 2026: da quel momento diventano operativi gli obblighi sui sistemi ad alto rischio e sulla gestione del rischio in generale. Il quadro può essere oggetto di proroghe o precisazioni, quindi conviene verificare le date sulle fonti ufficiali.
Le sanzioni, e perché non sono il punto principale
Il regolamento prevede sanzioni fino a 35 milioni di euro o al 7% del fatturato globale annuo per le pratiche vietate, fino a 15 milioni o al 3% per le altre violazioni degli obblighi, fino a 7,5 milioni o all'1% per informazioni scorrette fornite alle autorità, considerando sempre l'importo più alto tra i due. Sono cifre pensate soprattutto per i grandi fornitori di sistemi AI.
Per una PMI il rischio più concreto è un altro: usare uno strumento di AI in una decisione che riguarda le persone, per esempio una selezione del personale, senza sapere che quella decisione andrebbe supervisionata, documentata e spiegabile.
Da dove iniziare
- Fai un inventario di dove l'AI viene già usata in azienda, anche informalmente (vedi la guida sulla Shadow AI): non si classifica un rischio che non si conosce.
- Classifica ogni uso per livello di rischio, partendo da chi ne è coinvolto e da cosa decide lo strumento.
- Verifica i fornitori dei modelli che usi: cosa dichiarano su trasparenza, dati di addestramento e limiti del sistema.
- Applica la trasparenza dove serve: dichiara quando le persone interagiscono con un'AI, ed etichetta i contenuti generati o modificati.
- Scrivi una policy interna su chi può introdurre nuovi strumenti di AI in azienda, e con quale verifica preventiva.
Checklist rapida
- so quali strumenti di intelligenza artificiale sono già in uso in azienda, non solo quelli ufficiali;
- ho classificato ogni uso per livello di rischio secondo l'AI Act;
- gli usi che incidono su selezione del personale, credito o servizi essenziali sono supervisionati da una persona, non solo dall'algoritmo;
- dichiaro quando un contenuto o un'interazione sono generati con l'AI, quando previsto;
- so chi, in azienda, può introdurre un nuovo strumento di AI, e con quale verifica;
- i fornitori dei modelli che uso dichiarano come vengono trattati i dati.
In sintesi
L'AI Act classifica gli usi dell'intelligenza artificiale per livello di rischio e impone obblighi proporzionati: trasparenza per gli usi comuni come i chatbot, supervisione e documentazione per gli usi ad alto rischio come le decisioni sulle persone. Riguarda anche chi usa l'AI di terzi, non solo chi la sviluppa.