AI Act: perché riguarda anche le aziende che non sviluppano intelligenza artificiale
«La nostra azienda non sviluppa sistemi di intelligenza artificiale, quindi l’AI Act non ci riguarda». È una convinzione ancora molto diffusa tra imprenditori e manager, ma nasce da un equivoco: pensare che la normativa europea si rivolga esclusivamente alle imprese tecnologiche che progettano algoritmi o addestrano modelli.
Il Regolamento (UE) 2024/1689, conosciuto come AI Act, disciplina infatti non soltanto lo sviluppo, ma anche l’immissione sul mercato e l’utilizzo dei sistemi di intelligenza artificiale nell’Unione Europea. Il suo obiettivo è favorire un’IA affidabile e incentrata sulla persona, proteggendo salute, sicurezza e diritti fondamentali senza ostacolare l’innovazione.
Non serve sviluppare l’IA per esserne responsabili
L’articolo 3 distingue diversi soggetti coinvolti nella filiera dell’intelligenza artificiale. Accanto al “fornitore”, cioè chi sviluppa o commercializza un sistema con il proprio nome, compare il “deployer”: la persona fisica o giuridica che utilizza un sistema di IA sotto la propria autorità per finalità professionali.
In termini concreti, un’azienda può diventare deployer semplicemente adottando una soluzione che incorpora intelligenza artificiale. Può trattarsi di un software per selezionare candidati, valutare le prestazioni, analizzare i clienti, prevedere le vendite, individuare anomalie nella produzione oppure generare testi, immagini e documenti.
L’impresa non ha scritto il codice e non ha addestrato il modello, ma decide perché, dove e come utilizzarlo. Proprio per questo assume responsabilità diverse da quelle del produttore, ma comunque rilevanti.
Gli obblighi dipendono dal livello di rischio
L’AI Act adotta un approccio basato sul rischio. Non tutti i sistemi sono sottoposti alle stesse regole e l’impiego di uno strumento generativo non trasforma automaticamente un’azienda in un’organizzazione “ad alto rischio”.
La classificazione dipende soprattutto dalla finalità e dal contesto di utilizzo. L’articolo 5 individua alcune pratiche vietate, mentre l’articolo 6 e l’Allegato III identificano diversi sistemi considerati ad alto rischio. Tra questi possono rientrare, a determinate condizioni, applicazioni utilizzate nella selezione del personale, nella gestione dei lavoratori, nell’accesso a servizi essenziali o in alcuni ambiti biometrici.
L’articolo 50 stabilisce inoltre specifici obblighi di trasparenza per determinate applicazioni. In alcune circostanze, per esempio, le persone devono essere informate quando interagiscono con un sistema di IA oppure quando si trovano davanti a contenuti artificialmente generati o manipolati.
La prima responsabilità dell’impresa consiste quindi nel comprendere quali strumenti siano presenti nell’organizzazione e per quali attività vengano realmente utilizzati. Senza questa mappatura diventa difficile stabilire il livello di rischio e individuare gli obblighi applicabili.
L’AI Literacy riguarda già chi utilizza questi strumenti
Uno dei passaggi più importanti per le aziende è contenuto nell’articolo 4, dedicato all’AI Literacy. Fornitori e deployer devono adottare misure che sostengano lo sviluppo di competenze adeguate nel personale e nelle altre persone che utilizzano sistemi di IA per loro conto.
La formazione deve tenere conto delle conoscenze tecniche, dell’esperienza, del livello di istruzione delle persone, del contesto di utilizzo e dei soggetti sui quali il sistema può produrre effetti. Non significa trasformare ogni collaboratore in un informatico o in un giurista, ma permettergli di comprendere opportunità, limiti e rischi dello strumento che usa.
Un commerciale che impiega l’IA per preparare un’offerta avrà esigenze differenti rispetto a chi la utilizza per analizzare curriculum o gestire dati riservati. Un corso generico uguale per tutti difficilmente può rispondere a situazioni tanto diverse.
Il controllo umano non può essere soltanto formale
Per i sistemi classificati ad alto rischio, l’articolo 26 prevede obblighi specifici per i deployer, secondo le relative tempistiche di applicazione. L’organizzazione deve utilizzare il sistema rispettando le istruzioni, affidare la supervisione a persone dotate di competenza, formazione e autorità adeguate, controllare la pertinenza dei dati sui quali esercita il proprio controllo e monitorarne il funzionamento.
Il controllo umano, quindi, non può limitarsi a una firma apposta alla fine di un processo. Chi verifica il risultato deve poterlo comprendere, metterlo in discussione e, quando necessario, decidere di non utilizzarlo.
Da dove dovrebbe partire un’azienda?
Il primo passo non consiste nell’acquistare un nuovo software, ma nel conoscere ciò che accade già. Occorre mappare gli strumenti utilizzati, verificare quali dati vengano inseriti, individuare le persone coinvolte e stabilire regole proporzionate ai rischi.
A questo devono seguire responsabilità chiare, formazione contestualizzata, procedure per il controllo umano e una valutazione adeguata dei fornitori. È importante considerare anche gli utilizzi spontanei: spesso l’intelligenza artificiale entra in azienda attraverso account personali e iniziative individuali, prima ancora che la direzione ne abbia deliberato l’adozione.
L’AI Act non chiede alle imprese di rinunciare all’intelligenza artificiale. Chiede loro di utilizzarla con consapevolezza e responsabilità. La domanda decisiva, quindi, non è più: «Sviluppiamo sistemi di IA?», ma: «Dove e come stiamo già utilizzando l’IA nella nostra organizzazione?».
È da questa risposta che comincia una vera governance dell’intelligenza artificiale.
Riferimento normativo: Regolamento (UE) 2024/1689 – Artificial Intelligence Act, con particolare riferimento agli articoli 3, 4, 5, 6, 26 e 50 e all’Allegato III.
A cura di Vito Di Lorenzo
Consulente Aziendale & AI Governance
Certificato in Intelligenza Artificiale – Politecnico di Milano
