AI Act: l’imprenditore può occuparsi direttamente di documentazione e alfabetizzazione?
Con l’applicazione dell’AI Act, molti imprenditori si stanno ponendo una domanda concreta: la documentazione aziendale e l’alfabetizzazione sull’intelligenza artificiale possono essere gestite internamente oppure è necessario rivolgersi a un consulente specializzato?
Il Regolamento (UE) 2024/1689 non impone, in via generale, di affidare queste attività a un professionista esterno. L’impresa può organizzarsi autonomamente, purché disponga delle competenze necessarie. Una semplice autocertificazione firmata dall’imprenditore, tuttavia, non è sufficiente a dimostrare che l’organizzazione abbia adottato misure realmente adeguate.
Cosa richiede l’AI Act
L’articolo 4 dell’AI Act stabilisce che fornitori e deployer devono adottare misure a sostegno dell’AI Literacy del personale e delle altre persone che utilizzano sistemi di IA per loro conto.
Il deployer non è necessariamente un’azienda tecnologica: secondo l’articolo 3, può essere qualsiasi organizzazione che utilizzi un sistema di intelligenza artificiale sotto la propria autorità per finalità professionali.
L’alfabetizzazione deve tenere conto delle conoscenze tecniche, dell’esperienza, dell’istruzione e della formazione delle persone coinvolte, oltre che del contesto nel quale i sistemi vengono impiegati e dei soggetti sui quali possono produrre effetti.
La Commissione europea ha chiarito che non esiste un percorso uguale per tutte le imprese. Non sono previste obbligatoriamente determinate ore di formazione, un programma standard o una certificazione specifica. Le organizzazioni possono conservare registri interni delle attività formative e delle altre iniziative realizzate.
L’imprenditore può quindi occuparsene direttamente, ma deve essere in grado di progettare un percorso coerente con gli strumenti effettivamente utilizzati e con i relativi rischi.
Perché l’autocertificazione non basta
Parlare di autocertificazione può generare un equivoco. L’AI Act non prevede un documento standard attraverso il quale il titolare possa dichiarare la propria azienda conforme e considerare concluso il percorso.
Una dichiarazione interna può attestare che una determinata attività è stata svolta, ma non ne dimostra automaticamente l’adeguatezza. Se l’impresa afferma di avere formato il personale, dovrebbe poter documentare chi ha partecipato, quali argomenti sono stati affrontati, quali strumenti vengono utilizzati, quando è stata effettuata la formazione e come i contenuti sono stati adattati ai diversi ruoli.
Chi utilizza occasionalmente l’IA per correggere una comunicazione commerciale non affronta gli stessi rischi di chi la impiega per selezionare candidati, valutare lavoratori, analizzare dati personali o produrre decisioni che possono incidere sui clienti.
La conformità, quindi, non dipende dalla quantità dei documenti né dalla presenza di una firma, ma dalla coerenza tra i rischi esistenti e le misure adottate.
Cosa può predisporre direttamente l’impresa
Nelle situazioni meno complesse, l’azienda può realizzare internamente una mappatura dei sistemi utilizzati, un registro degli utenti, regole sull’inserimento dei dati, indicazioni per verificare gli output e un registro della formazione.
La documentazione necessaria cambia però in base al ruolo dell’organizzazione, alla finalità dei sistemi e alla loro classificazione. Per le applicazioni ad alto rischio possono entrare in gioco obblighi più articolati. L’articolo 26, per esempio, attribuisce ai deployer specifiche responsabilità riguardanti l’utilizzo conforme alle istruzioni, la supervisione umana, il monitoraggio, il controllo dei dati quando ricade sotto la loro responsabilità e, in determinati casi, la conservazione dei log.
Una piccola impresa che utilizza uno strumento generativo per creare bozze di testi avrà esigenze differenti rispetto a un’azienda che impiega l’IA nella gestione del personale o in processi capaci di produrre conseguenze sulle persone.
Perché è consigliabile un consulente esperto
Ecco perché è consigliabile affidarsi a un consulente esperto: non perché l’AI Act lo imponga, ma per evitare valutazioni superficiali, classificazioni errate, documenti generici o copiati da modelli standard e attività formative non coerenti con la realtà aziendale.
Un professionista competente può aiutare l’impresa a individuare i sistemi presenti, comprenderne i rischi, definire responsabilità e procedure e costruire una documentazione proporzionata. Il consulente non sostituisce l’imprenditore e non assume la responsabilità al suo posto, ma fornisce metodo, competenze ed evidenze concrete del percorso svolto.
La soluzione può essere interna, esterna oppure mista. L’imprenditore può gestire direttamente documentazione e alfabetizzazione soltanto se possiede le conoscenze e il tempo necessari. Una semplice autocertificazione non trasforma una misura inadeguata in conformità: a fare la differenza sono la qualità del lavoro, la sua applicazione effettiva e la capacità di dimostrarla.
Fonti: Regolamento (UE) 2024/1689, in particolare articoli 3, 4 e 26; Commissione europea – AI Literacy, domande e risposte.
A cura di Vito Di Lorenzo
Consulente Aziendale & AI Governance
Certificato in Intelligenza Artificiale – Politecnico di Milano
