AI Act: quali sono le ripercussioni del regolamento UE sull’intelligenza artificiale sulle imprese?
Mentre l’UE intende garantire sicurezza e trasparenza ai propri cittadini con l’AI Act, le aziende sono sempre più incerte riguardo agli obblighi giuridici che la legge sull’IA comporta per loro. Una cosa è certa: l’IA è ormai parte integrante della quotidianità aziendale.
In questo articolo ti spieghiamo in dettaglio come utilizzare l’IA nella tua azienda nel rispetto della normativa prevista dall’AI Act dell’UE e quali conseguenze potrebbero derivare dal mancato rispetto di tale normativa.
Quali sono i principi fondamentali del regolamento UE sull'intelligenza artificiale?
Il regolamento sull'intelligenza artificiale [Regolamento (UE) 2024/1689], comunemente noto come EU-AI-Act (in tedesco anche «regolamento sull'IA»), è il primo quadro normativo completo al mondo in materia di intelligenza artificiale. Il regolamento si applica direttamente a tutti gli Stati membri dell’UE e non necessita di recepimento nel diritto nazionale.
In effetti, l’AI Act dell’UE è già entrato in vigore il 1° agosto 2024. L’applicabilità delle disposizioni rilevanti per le imprese entrerà gradualmente in vigore a partire da febbraio 2025. L’attuale calendario della Commissione europea per l’attuazione della legge UE sull’IA prevede la piena entrata in vigore entro il 2 agosto 2027.
L’obiettivo del regolamento è garantire che i sistemi di IA siano conformi ai diritti fondamentali, sicuri e trasparenti. Allo stesso tempo, si intende promuovere l’innovazione nel mercato interno.
Il fulcro dell’AI Act è, da un lato, la classificazione basata sul rischio dei sistemi di IA, con un divieto generale delle pratiche di IA inaccettabili (art. 5 del regolamento sull’IA) . D’altro canto, l’AI-Act prevede la distinzione tra fornitori e gestori di tali sistemi di IA e l’imposizione dei relativi obblighi. Abbiamo preparato per te una panoramica chiara degli obblighi previsti dall’AI-Act dell’UE, indicando a chi si applicano e a partire da quando:
Cosa comportano esattamente questi obblighi te lo spieghiamo nella sezione “Obblighi previsti dall’AI-Act in dettaglio”.
L’AI-Act stabilisce termini specifici per alcuni fornitori e gestori. Sono interessati:
Sistemi esistenti presso le autorità pubbliche: i fornitori e gli operatori di sistemi di IA ad alto rischio già in uso presso le autorità pubbliche prima dell’agosto 2026 devono soddisfare i requisiti entro il 2 agosto 2030 (deroga di cui all’art. 113, comma 2, seconda frase, del regolamento sull’IA).
Modelli GPAI presenti sul mercato: i fornitori di modelli GPAI (modelli di IA per uso generale/ modelli per scopi generici), già immessi sul mercato prima del 2 agosto 2025, hanno tempo fino al 2 agosto 2027 per garantire la conformità (deroga di cui all’art. 113, comma 3, del regolamento sull’IA).
Grandi sistemi informatici: i componenti di IA presenti nei grandi sistemi informatici (ad es. il Sistema d’informazione Schengen) devono essere resi conformi al regolamento entro il 31 dicembre 2030 (deroga di cui all’art. 111, comma 1, del regolamento sull’IA).
Importante: tali termini divergenti non si applicano al divieto di pratiche di IA inaccettabili di cui all’art. 5 del regolamento sull’IA.
In che modo l’AI-Act dell’UE distingue tra fornitori e gestori?
Per determinare quali obblighi previsti dall’AI Act si applicano alla tua azienda, occorre innanzitutto chiarire se la tua azienda è un fornitore o un gestore e a quale classe di rischio appartengono i sistemi di IA da voi utilizzati.
La tua azienda è un fornitore o un gestore?
Per capire quali obblighi derivino concretamente dal regolamento UE sull’IA per la tua azienda, devi innanzitutto stabilire se la tua azienda sia un fornitore o un gestore ai sensi dell’AI-Act.
I fornitori sono…
I «fornitori» hanno la responsabilità principale di garantire che il sistema di IA soddisfi i requisiti del regolamento, in particolare nel caso di sistemi di IA ad alto rischio.
Definizione ai sensi dell’AI-Act: i fornitori (in inglese “Providers”) sono, ai sensi dell’art. 3 n. 3 del regolamento sull’IA, persone fisiche o giuridiche, autorità, istituzioni o altri organismi che sviluppano o fanno sviluppare un sistema di IA (o un modello di IA per uso generico) o lo fanno sviluppare e lo immettono sul mercato con il proprio nome o marchio commerciale, oppure mettono in funzione il sistema di IA con il proprio nome o marchio commerciale. Ciò vale indipendentemente dal fatto che la messa a disposizione avvenga a titolo oneroso o gratuito.
La tua azienda è quindi un fornitore di sistemi di IA ai sensi del regolamento sull’IA se si verificano questi quattro punti:
La tua azienda deve essere una persona fisica o giuridica, un ente o un altro organismo (comprese le autorità pubbliche)
La tua azienda sviluppa un sistema di IA o un modello di IA per uso generico oppure ne commissiona lo sviluppo
Definizione di “sistema di intelligenza artificiale” trattadall’articolo 3, n. 1, del
Un sistema di IA è un sistema basato su macchine, progettato per funzionare con vari livelli di autonomia e in grado di adattarsi dopo la sua messa in funzione . Esso deduce, sulla base degli input ricevuti per obiettivi espliciti o impliciti , come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possonoinfluenzare ambienti fisici o virtuali.
Definizione di «modello di IA per uso generico» (in inglese: General-Purpose AI Model, in breve GPAI) trattadall’articolo 3, n. 63, dell’
Un modello di IA — compresi i casi in cui viene addestrato con un grande volume di dati sotto un controllo autonomo completo — che presenta una notevole applicabilità generale ed è in grado di svolgere con competenza un’ampia gamma di compiti diversi , indipendentemente dalle modalità della sua immissione sul mercato . Inoltre, si contraddistingue per la possibilità di essere integrato in una molteplicità di sistemi o applicazioni a valle.
Distinzione tra sistema di IA e GPAI
Un modello GPAI di per sé non costituisce ancora un sistema di IA, ma ne è spesso una componente essenziale. Affinché un modello diventi un sistema, è necessario aggiungere ulteriori componenti, come un’interfaccia utente.
La tua azienda immette sul mercato il sistema o il modello di IA con il proprio nome o marchio commerciale
Definizione di «immissione sul mercato» di cuiall’articolo 3, punto 9, del regolamento ( )
Si tratta della prima messa a disposizione sul mercato dell’Unione di un sistema di intelligenza artificiale o di un modello di intelligenza artificiale a uso generale .
Non è rilevante che si tratti di un servizio a pagamento o gratuito.
Lo sapevi?
L'AI Act riprende definizioni fondamentali direttamente dal GDPR per garantire la coerenza. Tra queste figurano termini quali:
Dati personali
Dati non personali
Dati biometrici
Categorie particolari di dati personali (dati sensibili)
Profilazione
Inoltre, l’AI Act chiarisce che il diritto fondamentale alla protezione dei dati personali continua a essere garantito senza limitazioni dal GDPR e da altri atti giuridici pertinenti.
Esempi di fornitori possono essere:
Un'azienda tecnologica: un'azienda che sviluppa un software per l'analisi basata sull'intelligenza artificiale di dati immagine (ad es. immagini di danni) e lo vende con il proprio marchio ad assicuratori e fornitori di energia.
Un ente pubblico: un’autorità statale che commissiona lo sviluppo di un sistema di IA per la valutazione automatizzata delle richieste di prestazioni sociali e che implementa tale sistema nei propri processi amministrativi interni.
Un’azienda che ribrandizza sistemi esistenti: un distributore o importatore che prende un sistema di IA ad alto rischio già esistente di un altro produttore, lo contrassegna con il proprio nome o marchio commerciale e lo immette così sul mercato dell’Unione.
Un soggetto che apporta modifiche sostanziali: una persona che apporta una «modifica sostanziale» a un sistema di IA ad alto rischio già immesso sul mercato, in modo tale che esso continui a essere considerato un sistema ad alto rischio, assumendo per tale sistema il ruolo e gli obblighi del fornitore
Enti che modificano la destinazione d’uso: una persona o un’impresa che modifica la destinazione d’uso di un sistema di IA (compreso un sistema per uso generico) in modo tale che esso debba essere classificato giuridicamente come sistema di IA ad alto rischio.
Produttore del prodotto in qualità di fornitore: un produttore (ad esempio di ascensori o macchinari industriali) che integra un sistema di IA nel proprio prodotto come componente di sicurezza e immette sul mercato il prodotto finito a proprio nome.
Gli operatori sono…
Il gestore si differenzia dal fornitore in quanto non sviluppa autonomamente il sistema di IA, ma lo utilizza per i propri specifici scopi professionali, mantenendo il controllo sui dati di input.
Definizione ai sensi dell’AI-Act: secondo l’art. 3 n. 4 del regolamento sull’IA, per«gestore» (in inglese «deployer») si intende una persona fisica o giuridica, comprese le autorità, gli enti o altri organismi, che utilizza un sistema di IA sotto la propria responsabilità. Si applica un’eccezione qualora il sistema venga utilizzato nell’ambito di un’attività puramente personale e non professionale.
La tua azienda è quindi considerata gestore di sistemi di IA ai sensi del regolamento sull’IA se si verificano queste due condizioni:
La tua azienda deve essere una persona fisica o giuridica, un ente o un altro organismo (comprese le autorità pubbliche)
Nella tua azienda i sistemi di IA vengono utilizzati per l’attività commerciale e non per uso privato dei collaboratori.
Esempi di gestori possono essere:
Banche e assicurazioni: istituti finanziari che utilizzano sistemi di IA per valutare il merito creditizio delle persone o per la valutazione del rischio nell’ambito delle assicurazioni sanitarie e sulla vita.
Autorità pubbliche: enti statali o organismi dell’Unione che utilizzano sistemi di IA, ad esempio per l’esame delle richieste di prestazioni sociali o nel settore dei controlli alle frontiere.
Datori di lavoro: aziende che utilizzano sistemi di IA sul posto di lavoro, ad esempio per monitorare le prestazioni dei propri dipendenti o per l’assegnazione dei compiti lavorativi.
Istituzioni scolastiche: scuole o università che utilizzano sistemi di IA per la valutazione dei risultati di apprendimento o per la sorveglianza degli studenti durante gli esami.
Servizi di emergenza: organizzazioni che utilizzano l’IA per valutare e dare priorità alle chiamate di emergenza (ad esempio, i vigili del fuoco o la polizia).
Le norme dell’AI-Act dell’UE si applicano anche ai privati?
No, fintantoché un sistema di IA viene utilizzato esclusivamente per attività personali e NON professionali, le norme dell’AI Act non si applicano ai privati.
Il considerando 13 del regolamento sull’IA ribadisce che l’utilizzo di sistemi di IA sotto la responsabilità di una persona non è consideratocome attività di un «gestore» ai sensi del regolamento, se avviene in ambito privato e non commerciale.
Sebbene una persona fisica (ovvero un privato) possa essere classificatagiuridicamente come «fornitore», in tal caso la persona di norma non agisce più a titolo puramente privato, ma opera come soggetto sul mercato.
Che cos’è la piramide del rischio?
La piramide del rischio è l’elemento centrale e più noto dell’AI Act. Essa riflette l’approccio basato sul rischio previsto dal regolamento, in base al quale l’intensità della regolamentazione aumenta in modo lineare con il potenziale pericolo che un sistema di intelligenza artificiale comporta per la salute, la sicurezza e i diritti fondamentali.
La piramide dei rischi è suddivisa in quattro livelli principali:
Rischio inaccettabile (pratiche vietate ai sensi dell'art. 5 del regolamento sull'IA)
Rischio elevato (sistemi di IA ad alto rischio)
Rischio basso / Rischio specifico di trasparenza
Rischio minimo
Rischio inaccettabile (pratiche vietate ai sensi dell'articolo 5 del regolamento sull'IA)
Al vertice della piramide si trovano le pratiche di IA considerate talmente pericolose da essere, in linea di principio, vietate nell’Unione. Tali sistemi violano i valori dell’Unione e la dignità umana.
Esempi: manipolazione subliminale di persone supportata dall’IA, sfruttamento della vulnerabilità (ad esempio a causa dell’età o di una disabilità), «social scoring» da parte delle autorità, nonché determinate forme di identificazione biometrica a distanza in tempo reale a fini di applicazione della legge negli spazi pubblici
Rischio elevato (sistemi di IA ad alto rischio)
Questo livello comprende sistemi che possono avere effetti negativi significativi sulla sicurezza o sui diritti fondamentali. Essi sono soggetti a requisiti rigorosi (cfr. 3.3 e 3.5).
Un sistema è considerato ad alto rischio se è integrato come componente di sicurezza in prodotti soggetti a una valutazione di conformità da parte di terzi (ad es. macchinari o giocattoli) oppure se viene impiegato in settori specifici indicati nell’allegato III dell’AI-Act.
Esempi: utilizzo in infrastrutture critiche, istruzione e formazione professionale, occupazione e gestione del personale (ad es. selezione dei curriculum), accesso a servizi essenziali privati e pubblici (ad es. verifica della solvibilità/del merito creditizio), nonché riconoscimento biometrico a fini di applicazione della legge e di gestione dell’immigrazione
I sistemi di IA ad alto rischio non sono vietati, ma possono essere immessi sul mercato solo se soddisfano requisiti rigorosi e vincolanti.
Rischio basso / Rischio specifico di trasparenza
Determinati sistemi di IA sono soggetti a particolari obblighi di trasparenza, indipendentemente dal fatto che siano classificati come ad alto rischio. L’obiettivo è quello di impedire che gli utenti vengano indotti in errore.
Esempi: interazione degli utenti con l’IA (ad es. chatbot), contenuti generati o manipolati dall’IA (deepfake), testi sintetici che informano il pubblico su argomenti di interesse generale
Rischio minimo
Si tratta della grande maggioranza dei sistemi di IA attualmente in uso (ad es. videogiochi basati sull’IA o filtri antispam). Questi sistemi non sono soggetti ad alcun requisito specifico previsto dall’AI Act.
I fornitori sono tuttavia espressamente incoraggiati a redigere volontariamente codici di condotta (Codes of Conduct) per tenere conto, ad esempio, di aspetti quali la sostenibilità ambientale o l’accessibilità.
Categoria speciale: modelli di IA a uso generale (GPAI)
Oltre a questa struttura piramidale, il regolamento introduce norme per i modelli GPAI, secondo cui i modelli che presentano un rischio sistemico (particolarmente potenti a causa della loro elevata capacità di calcolo) sono soggetti a obblighi aggiuntivi in materia di valutazione dei rischi e sicurezza informatica.
Quali obblighi derivano dall’AI-Act per le imprese?
Dopo aver stabilito se la tua azienda è un fornitore e/o un gestore e a quale classe di rischio appartiene il tuo sistema di IA, puoi facilmente determinare quali obblighi ti riguardano sulla base della panoramica presentata all’inizio. Di seguito ti illustriamo in dettaglio in cosa consistono esattamente.
Ribadiamo: le pratiche inaccettabili in materia di IA sono categoricamente vietate!
L'articolo 5 definisce le pratiche relative all'IA che sonovietate in linea di principio a causa del rischio inaccettabile che comportano per i diritti fondamentali e i valori dell'Unione .
Tra queste figurano, in particolare, le tecniche manipolative, lo sfruttamento della vulnerabilità (ad esempio a causa dell’età o di una disabilità), il social scoring statale e la raccolta indiscriminata di immagini facciali per le banche dati.
Sono altresì vietati il riconoscimento delle emozioni sul posto di lavoro o negli istituti scolastici, nonché l’identificazione biometrica in tempo reale a distanza negli spazi pubblici, sebbene per quest’ultima siano previste eccezioni rigorosamente definite ai fini dell’applicazione della legge.
Obbligo n. 1: obbligo di promuovere l'alfabetizzazione all'IA
Il regolamento sull’IA stabilisce, all’articolo 4, requisiti specifici per la promozione delle competenze in materia di IA (AI literacy).
A chi si applica l’obbligo di formazione in materia di IA?
L’obbligo è rivolto sia ai fornitori che ai gestori di sistemi di IA. Essi devono garantire che il proprio personale e le altre persone che, per loro conto, si occupano del funzionamento e dell’utilizzo dei sistemi di IA, siano adeguatamente formati.
L’obbligo di formazione si applica in generale alla gestione dei sistemi di IA. Poiché l’articolo 4 fa parte delle disposizioni generali (capitolo I), tale obbligo non è limitato ai soli sistemi di IA ad alto rischio, ma si applica in generale all’uso dei sistemi di IA in ambito professionale.
Quali sono i requisiti per la promozione delle competenze in materia di IA?
I fornitori e gli operatori devono adottare misure volte a trasmettere un «livello adeguato» di competenze in materia di IA. A tal fine, occorre tenere conto dei seguenti fattori:
le conoscenze tecniche e l’esperienza del personale
la formazione e l’addestramento necessari
il contesto in cui vengono utilizzati i sistemi di IA
persone o gruppi a cui sono destinati i sistemi di IA
L’obiettivo è garantire che le parti coinvolte utilizzino i sistemi di IA in modo competente e siano consapevoli delle opportunità, dei rischi e dei potenziali danni
Obbligo n. 2: Obblighi di trasparenza
A partire dal 2 agosto 2026, i reparti marketing, in particolare, dovranno prestare particolare attenzione ai contenuti generati dall’IA. Gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act dell’UE impongono a tutte le aziende nuovi obblighi di trasparenza e di etichettatura per i contenuti generati dall’IA.
Chi deve adempiere agli obblighi di trasparenza?
A seconda del caso specifico, gli obblighi si applicano in egual misura ai fornitori e/o ai gestori di sistemi di IA. Le persone che utilizzano sistemi di IA a fini privati non sono soggette agli obblighi di trasparenza.
Cosa deve essere etichettato?
È necessario indicare quando i contenuti o le interazioni hanno origine artificiale. Ciò riguarda:
L’IA interagisce direttamente con le persone.
Le persone devono essere informate del fatto che stanno interagendo con un sistema di IA (a meno che ciò non sia evidente).L’IA viene utilizzata per generare contenuti sintetici.
I contenuti audio, immagini, video o testuali devono essere riconoscibili come generati o manipolati artificialmente.L’IA viene utilizzata per il riconoscimento delle emozioni o per la classificazione biometrica.
Gli interessati devono essere informati sul funzionamento dei sistemi di riconoscimento delle emozioni o di classificazione biometrica.L'intelligenza artificiale viene utilizzata per creare deepfake.
Deve essere reso noto quando sono presenti contenuti (immagini, audio, video) generati artificialmente o manipolati e che assomigliano in modo ingannevolmente reale a persone o luoghi reali (i cosiddetti «deepfake»).
Il termine «reale» in questo contesto non si limita all’esistenza effettiva, ma indica tutto ciò che sembra poter esistere nella realtà. Il deepfake deve quindi solo sembrare una persona o un luogo reale, senza necessariamente rappresentare una persona o un luogo reale.
Non è nemmeno rilevante se vi sia o meno l’intenzione di ingannare, ma se il risultato sia idoneo a ingannare i consumatori dei contenuti.Vengono pubblicati testi su argomenti di interesse pubblico .
I testi generati dall’IA su argomenti di interesse generale (ad es. politica, questioni relative ai consumatori) devono inoltre essere dichiarati come tali. L’indicazione dei testi di informazione pubblica non è tuttavia necessaria se questi sono stati sottoposti a verifica umana o a controllo editoriale.
I testi pubblicitari, le descrizioni dei prodotti, le e-mail e simili non sono testi su argomenti di interesse generale. In questi casi non è necessaria alcuna indicazione.
Come devono essere contrassegnati?
Il regolamento stabilisce alcune linee guida relative alle modalità di etichettatura, integrate dalla guida all’etichettatura dei contenuti generati dall’IA della Wettbewerbszentrale e dal codice di condotta per la trasparenza dei contenuti generati dall’IA della Commissione europea. È necessario tenere presente quanto segue:
Il momento dell’indicazione: l’informazione deve essere fornita al più tardi al momento del primo contatto con il contenuto.
Il formato: le informazioni devono essere fornite in modo chiaro e visibile.
La Commissione europea non ha stabilito un simbolo unico e obbligatorio per l’etichettatura. Pertanto, per l’etichettatura è possibile scegliere un’etichetta propria, ad esempio «Generato dall’IA» (AI-generated) per i contenuti interamente generati o «Modificato dall’IA» (AI-modified) per i contenuti modificati. Su alcune piattaforme di social media (ad es. YouTube) è possibile contrassegnare i contenuti generati dall’IA tramite le funzioni degli studi di caricamento.
L’indicazione deve essere posizionata in modo chiaro e ben visibile all’interno del contenuto (ad esempio nell’angolo dell’immagine o del video; nei video, con un’avvertenza relativa alla generazione tramite IA all’inizio di ogni sequenza generata dall’IA; nei contributi audio, tramite un disclaimer udibile all’inizio).
ATTENZIONE: l’indicazione “generato dall’IA” è un obbligo aggiuntivo!
I contenuti possono comunque violare i diritti d’autore e i diritti della personalità. Il fatto che un contenuto sia generato dall’IA NON autorizza l’uso libero di persone o personaggi reali.
Leggibilità automatica: nel caso di contenuti sintetici, l’indicazione deve avvenire in un formato leggibile automaticamente (ad esempio tramite filigrana o metadati), purché ciò sia tecnicamente possibile. Tale indicazione è a carico dei fornitori dei sistemi di IA. Anthropic ha già annunciato come tale obbligo di etichettatura verrà implementato nei prossimi modelli Claude. Entro e non oltre il 2 dicembre 2026, l’etichettatura relativa all’IA dovrà essere applicata a tutti i modelli, compresi quelli immessi sul mercato prima del 2 agosto 2026.
Quali obblighi specifici si applicano ai gestori di sistemi di IA ad alto rischio
Gli articoli 26 e 27 del regolamento sull’IA (UE) 2024/1689 definiscono gli obblighi specifici per i gestori (in inglese «deployers») di sistemi di IA ad alto rischio. Mentre l’articolo 26 si concentra sugli obblighi generali di gestione, l’articolo 27 disciplina la realizzazione di una valutazione d’impatto sui diritti fondamentali per determinati soggetti.
A chi si applicano gli articoli 26 e 27?
L’articolo 26 si applica a tutti i gestori di sistemi di IA ad alto rischio (persone fisiche o giuridiche, autorità pubbliche o altri organismi) che utilizzano tali sistemi sotto la propria responsabilità in ambito professionale
L’articolo 27 si applica a una cerchia ristretta di gestori, , ovvero enti pubblici, enti privati che forniscono servizi pubblici (ad esempio nei settori dell’istruzione o dei servizi sociali), nonché gestori di sistemi per la verifica della solvibilità o per la valutazione del rischio nell’ambito delle assicurazioni sulla vita e sanitarie
Obblighi ai sensi dell’art. 26 del regolamento sull’IA: gestione di sistemi di IA ad alto rischio
Tali obblighi mirano a garantire che la sicurezza e i diritti fondamentali siano tutelati durante l’effettivo utilizzo del sistema.
Esempi relativi all’art. 26
Un datore di lavoro che utilizza un sistema di intelligenza artificiale (IA) per la valutazione dei candidati deve informare il comitato aziendale e garantire che il personale delle risorse umane, adeguatamente formato, verifichi i risultati, anziché affidarsi ciecamente all'IA.
Una banca che utilizza l’IA per le decisioni relative ai crediti deve garantire che i dati dei clienti utilizzati siano rappresentativi e conservare i registri del sistema per eventuali verifiche successive.
Obblighi ai sensi dell’art. 27 del regolamento sull’IA: valutazione d’impatto sui diritti fondamentali (FRIA)
Questo obbligo integra quelli a carico del fornitore e si concentra sul contesto specifico di utilizzo.
In cosa consiste l’obbligo? Prima della prima messa in funzione, i gestori devono effettuare una valutazione completa dell’impatto sui diritti fondamentali ai sensi dell’art. 27, par. 1, lett. a-f, e par. 3-5. Tale valutazione deve includere:
Descrizione delle procedure: illustrazione di come il sistema viene impiegato nel processo concreto
Pianificazione temporale: descrizione del periodo e della frequenza di utilizzo
Categorizzazione degli interessati: identificazione dei gruppi di persone che potrebbero essere influenzati dal sistema
Analisi dei rischi: individuazione dei rischi specifici di lesione dei diritti fondamentali (ad es. rischi di discriminazione) utilizzando le informazioni contenute nelle istruzioni per l’uso fornite dal fornitore
Definizione delle misure correttive: pianificazione delle azioni da intraprendere in caso di concretizzazione dei rischi (ad es. meccanismi di reclamo o norme di vigilanza specifiche)
Notifica: i risultati devono essere comunicati all’autorità di vigilanza del mercato (l’Ufficio IA mette a disposizione un modello a tal fine)
Esempi relativi all'art. 27
Un'amministrazione comunale che introduca un sistema di intelligenza artificiale per l'assegnazione automatizzata di posti negli asili nido o di prestazioni sociali deve verificare preventivamente se determinati gruppi di popolazione potrebbero essere svantaggiati dagli algoritmi.
Una compagnia assicurativa che utilizza l’intelligenza artificiale per la valutazione del rischio nell’ambito dell’assicurazione sanitaria deve documentare quali misure adotta per contrastare un’eventuale esclusione finanziaria delle persone vulnerabili.
Quali sono gli obblighi specifici per i fornitori di GPAI?
Che cos'è il GPAI? Qual è la base giuridica? A chi si applica? A partire da quando è in vigore?
In cosa consistono gli obblighi? Quali misure devono essere adottate per garantire il rispetto di ciascun obbligo? Quali sono gli esempi?
L’AI-Act stabilisce nel capitolo V (articoli da 51 a 56) requisiti specifici per i modelli di IA a uso generale (General-Purpose AI, in breve GPAI), poiché questi rivestono un ruolo chiave nella catena del valore dell’IA.
RIASSUNTO: Che cos’è il GPAI?
Un modello di intelligenza artificiale a uso generico (GPAI) è un modello che presenta una notevole versatilità d’uso ed è in grado di svolgere con competenza un’ampia gamma di compiti diversi, indipendentemente dalla modalità con cui viene messo in circolazione.
Esempi tipici sono i grandi modelli generativi, in grado di generare in modo flessibile testi, immagini, contenuti audio o video.
Le norme relative ai modelli GPAI sono entrate in vigore il 2 agosto 2025 per i modelli immessi sul mercato per la prima volta. I fornitori di modelli già presenti sul mercato prima del 2 agosto 2025 hanno tempo fino al 2 agosto 2027 per garantire la conformità.
Suggerimento: l’AI-Office mette regolarmente a disposizione nuovi documenti e linee guida a cui i fornitori possono fare riferimento per dimostrare la presunzione di conformità.
Obblighi fondamentali per tutti i fornitori di GPAI (art. 53)
I fornitori devono garantire la trasparenza e tutelare il diritto d’autore.
Eccezione per l’open source: gli obblighi relativi alla documentazione tecnica e all’informazione dei fornitori a valle non si applicano ai modelli soggetti a una licenza libera e open source, a condizione che i loro parametri (compresi i pesi e l’architettura) siano accessibili al pubblico. Ciò non vale tuttavia se il modello comporta un rischio sistemico.
Obblighi specifici per i GPAI che comportano un rischio sistemico (art. 55)
Un modello GPAI è considerato un modello che comporta un rischio sistemico se dispone di capacità ad alto impatto (si presume in presenza di una potenza di calcolo superiore a 10²⁵ FLOP) o se è stato classificato come tale dalla Commissione. Gli obblighi aggiuntivi per i fornitori di GPAI sono:
Quali obblighi specifici si applicano ai fornitori di sistemi di IA ad alto rischio?
Gli obblighi specifici a carico dei fornitori (provider) di sistemi di IA ad alto rischio costituiscono un pilastro fondamentale del regolamento sull'IA, volto a garantire la sicurezza e i diritti fondamentali nell'Unione. Essi sono definiti nel capitolo III, sezione 3 (articoli da 16 a 25) del regolamento. I requisiti tecnici che tali fornitori devono garantire sono riportati nella sezione 2 (articoli da 8 a 15)
In cosa consistono gli obblighi e quali misure sono necessarie?
Ai sensi dell’articolo 16, i fornitori devono adottare una serie di misure per garantire la conformità:
Esempi di fornitori di IA ad alto rischio e misure adottate
Azienda di software per soluzioni HR: un’azienda sviluppa uno strumento basato sull’IA per la preselezione dei candidati.
Misura: il fornitore deve addestrare il sistema in modo tale che i pregiudizi discriminatori (bias) presenti nei set di dati vengano individuati e corretti (governance dei dati ai sensi dell’art. 10).Azienda di tecnologia finanziaria: un fornitore immette sul mercato un sistema per la verifica della solvibilità delle persone fisiche.
Misura: deve redigere un manuale d’uso che spieghi chiaramente al gestore (la banca) come supervisionare il sistema e quali siano i limiti dell’accuratezza dei risultati (trasparenza ai sensi dell’art. 13).Produttori di dispositivi medici: un’azienda integra un’intelligenza artificiale per la diagnosi automatizzata di malattie in un apparecchio a raggi X.
Misura: poiché si tratta di un componente di sicurezza, il fornitore deve gestire un sistema completo di gestione dei rischi che valuti i potenziali pericoli per i pazienti durante l’intero ciclo di vita del dispositivo (art. 9).Fornitori di tecnologia nel settore pubblico: un’azienda sviluppa un sistema di identificazione biometrica a distanza per le autorità pubbliche.
Misura: il fornitore deve garantire che i risultati del sistema possano essere verificati separatamente da almeno due persone fisiche (supervisione umana ai sensi dell’art. 14).
Quali sono le conseguenze in caso di mancato rispetto degli obblighi previsti dall’AI-Act?
In caso di violazioni del regolamento sull'IA, l'AI-Act dell'UE prevede un sistema graduale di sanzioni, in particolare ammende, nonché diverse misure di vigilanza e correttive. Ai fini della determinazione delle sanzioni, le autorità devono tenere conto, tra l’altro, della natura, della gravità e della durata della violazione, delle dimensioni e della quota di mercato dell’operatore, nonché del grado di collaborazione con le autorità. Il quadro di riferimento applicabile è definito come segue nel regolamento sull’IA:
Amende (artt. 99–101 del regolamento sull’IA)
L’importo delle ammende è graduato in base alla gravità della violazione. Per le imprese, le ammende sono calcolate in base al fatturato annuo mondiale o a importi fissi (a seconda di quale dei due sia maggiore):
Le violazioni relative alle pratiche di IA vietate (art. 5) possono essere sanzionate con ammende fino a 35.000.000 di euro o fino al 7% del fatturato annuo globale.
Le violazioni di altri obblighi (ad esempio, relativi ai sistemi ad alto rischio o alle norme di trasparenza) possono essere punite con sanzioni pecuniarie fino a 15.000.000 di euro o fino al 3% del fatturato annuo mondiale.
Fornitura di informazioni inesatte o fuorvianti alle autorità: può essere punita con ammende fino a 7.500.000 EUR o fino all’1% del fatturato annuo globale.
Disposizioni specifiche per le PMI e le start-up
Ai sensi dell'articolo 99, paragrafo 6, del regolamento sull'IA, per le piccole e medie imprese e le start-up si applica un limite massimo: l'ammenda è limitata all'importo più basso tra quelli indicati (percentuale o somma).
Sanzioni per altri soggetti
Fornitori di modelli GPAI (modelli di intelligenza artificiale per uso generico): in caso di violazioni intenzionali o colpose, la Commissione può infliggere ammende fino al 3 % del fatturato annuo o fino a 15.000.000 di euro.
Istituzioni e organismi dell’Unione: in questo caso, il Garante europeo della protezione dei dati può infliggere sanzioni pecuniarie (fino a 1.500.000 EUR in caso di pratiche vietate, altrimenti fino a 750.000 EUR).
Misure correttive (artt. 79, 83, 93 del regolamento sull’IA)
Indipendentemente dalle sanzioni pecuniarie, le autorità competenti di vigilanza sul mercato possono adottare misure per scongiurare i rischi:
Invitazione alla conformità: il fornitore deve adottare misure entro un determinato termine per garantire il rispetto delle norme
Restrizioni di mercato: le autorità possono vietare o limitare l’immissione sul mercato.
Richiamo e ritiro dal mercato: un sistema non conforme può essere ritirato dal mercato o richiamato dagli operatori.
Misure nei confronti dei modelli GPAI: la Commissione può obbligare i fornitori a ritirare il modello o ad attuare misure specifiche di riduzione del rischio.
Diritti degli interessati (artt. 85 e 86 del regolamento sull’IA)
Le violazioni possono essere sanzionate anche mediante azioni individuali intraprese da cittadini o persone giuridiche:
Diritto di reclamo: chiunque sospetti una violazione può presentare un reclamo all’autorità competente per la vigilanza del mercato.
Diritto alla spiegazione: le persone che sono significativamente interessate da una decisione di un operatore basata su un sistema di IA ad alto rischio hanno il diritto di ricevere una spiegazione chiara e significativa sul ruolo dell’IA in tale processo.
La nostra tabella di marcia in 5 fasi per un’attuazione conforme alla legge dell’AI-Act nella tua azienda:
Fase 1: Inventario delle tecnologie di IA
Una panoramica completa degli strumenti di IA utilizzati in azienda costituisce il punto di partenza per un'attuazione ordinata dell'AI-Act.
Effettua un inventario di tutti gli strumenti di IA utilizzati in azienda:
Individua in quali ambiti aziendali vengono forniti servizi basati sull’IA. Quali strumenti utilizzano già i tuoi collaboratori e per quali scopi?
Verifica anche i contratti con fornitori terzi per accertare se l’IA viene utilizzata per servizi di cui la tua azienda usufruisce.
Quali sistemi di IA state magari sviluppando voi stessi?
Individua quindi se sei fornitore o gestore dei rispettivi sistemi di IA.
Fase 2: Classificazione dei rischi
Classifica i tuoi sistemi di IA nella piramide dei rischi. Valuta i rischi in base allo scenario di utilizzo. Identifica anche i modelli GPAI presenti nel parco sistemi.
Suggerimento: la maggior parte delle IA utilizzate nel marketing e in ambito amministrativo rientra nella categoria «rischio basso». Un software per le risorse umane che, ad esempio, effettui una preselezione dei candidati, è invece un sistema ad alto rischio!
Fase 3: Gli obblighi in sintesi
Utilizza le panoramiche tratte da «3. Obblighi dell’AI-Act spiegati in dettaglio» per farti un’idea delle misure che devi adottare e dai priorità agli adeguamenti necessari per i sistemi ad alto rischio.
Verifica anche che i tuoi contratti con i fornitori terzi siano conformi agli obblighi di legge. Il fornitore mette a disposizione una documentazione adeguata? I sistemi utilizzati soddisfano gli obblighi previsti dall’AI-Act? In caso contrario, dovresti rinegoziare i contratti o cambiare fornitore.
Fase 4: Adeguamenti, definizione dei processi e documentazione
Dai priorità agli adeguamenti necessari per i sistemi ad alto rischio. Integra meccanismi di emergenza e di arresto. Se necessario, pianifica per tempo le valutazioni di conformità. Assicura la tracciabilità e redigi una documentazione tecnica semplificata.
Anche il rispetto degli obblighi di trasparenza ed etichettatura previsti dall’AI-Act ha la priorità. A tal fine, sviluppa un processo di approvazione editoriale.
Implementa strutture di governance. Definisci le responsabilità e i processi di approvazione e documentali in una linea guida interna sull’IA. Specifica inoltre quali strumenti di IA possono essere utilizzati all’interno dell’azienda.
Fase 5: Formare i collaboratori
Metti a disposizione dei tuoi collaboratori i sistemi di IA utilizzati, la rispettiva classificazione dei rischi, gli obblighi di conformità correlati, la vostra linea guida sull’IA e la documentazione dei processi.
Offri inoltre almeno un corso di formazione annuale sull’IA per promuovere le competenze in materia. La nostra FIDAcademy sarà lieta di occuparsi di questa formazione per te.
Hai bisogno di assistenza nell’attuazione dell’EU AI Act? La FIDA è qui per te!
Alla FIDA riuniamo sotto lo stesso tetto esperti di IA in grado di soddisfare tutte le esigenze di PMI, assicuratori, fornitori di energia e autorità pubbliche: i nostri colleghi di FIDA AI Consulting ti affiancano nella creazione di un sistema di governance dell'IA! La nostra FIDAcademy ti offre corsi di formazione sulle competenze in materia di IA e molto altro ancora. Fissa un appuntamento di consulenza, così potremo condividere con te il percorso migliore per entrare nell’era dell’IA!
FAQ: Domande frequenti delle aziende sull’EU AI Act
L'EU AI Act è il regolamento europeo volto a disciplinare l'intelligenza artificiale. Adotta un approccio basato sul rischio e stabilisce requisiti diversi per le imprese a seconda del sistema di IA in questione. Sono interessate sia le imprese che sviluppano o offrono sistemi di IA, sia quelle che utilizzano tali sistemi in ambito professionale.
In linea di principio, qualsiasi impresa può essere interessata da tali disposizioni non appena utilizza sistemi di intelligenza artificiale (IA) a fini professionali oppure li sviluppa o li offre autonomamente. Gli obblighi specifici che si applicano dipendono, tra l’altro, dal fatto che l’impresa agisca in qualità di fornitore o gestore e dalla classe di rischio a cui è assegnato il sistema di IA utilizzato.
Si considera “fornitore” un’impresa che sviluppa o fa sviluppare un sistema o un modello di IA e lo immette sul mercato o lo mette in funzione con il proprio nome o marchio.
Un gestore utilizza un sistema di IA sotto la propria responsabilità per scopi professionali. Un’impresa che, ad esempio, impiega uno strumento di IA esterno per l’analisi di documenti o nella gestione del personale, può quindi diventare un gestore ai sensi dell’AI Act.
La legge dell’UE sull’IA distingue fondamentalmente quattro livelli di rischio:
Rischio inaccettabile: determinate pratiche di IA sono vietate.
Rischio elevato: per l’IA ad alto rischio si applicano requisiti rigorosi in materia di sicurezza, trasparenza, documentazione e supervisione umana.
Rischio di trasparenza basso o specifico: in questo caso si applicano in particolare obblighi di informazione e di etichettatura.
Rischio minimo: per molte applicazioni quotidiane dell’IA non sussistono obblighi specifici derivanti dall’AI Act.
Inoltre, si applicano norme speciali ai modelli di IA per uso generico (GPAI).
Sì. L’articolo 4 dell’AI Act dell’UE impone ai fornitori e agli operatori l’obbligo di garantire un livello adeguato di competenza in materia di IA (AI Literacy) alle persone che lavorano con sistemi di IA per loro conto.
A tal fine, la formazione deve tenere conto, tra l’altro, delle conoscenze pregresse dei collaboratori, del contesto operativo specifico e delle opportunità e dei rischi ad esso associati. L’obbligo di competenza in materia di IA non è limitato esclusivamente all’IA ad alto rischio, ma riguarda in linea di principio l’utilizzo professionale dell’IA.
In determinati casi sì. Gli obblighi di trasparenza previsti dall’AI Act stabiliscono, tra l’altro, che gli utenti debbano essere informati quando interagiscono direttamente con un sistema di IA. Anche determinati contenuti generati sinteticamente o manipolati, come ad esempio i deepfake, devono essere contrassegnati in modo adeguato.
Anche per i testi generati dall’IA su argomenti di interesse generale valgono particolari obblighi di indicazione. Ad esempio, tale indicazione non è necessaria se un testo di questo tipo è stato sottoposto a verifica umana o a controllo editoriale.
Gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act dell’UE sono in vigore dal 2 agosto 2026. Le imprese dovrebbero pertanto verificare, in particolare al momento della creazione e della pubblicazione di immagini, video, file audio e determinati testi generati dall’intelligenza artificiale, se sia necessaria un’etichettatura.
Quando si utilizzano sistemi di IA ad alto rischio, gli operatori devono soddisfare ulteriori requisiti. Tra questi figurano, tra l’altro, l’uso corretto del sistema, un’adeguata supervisione umana, l’utilizzo di dati di input idonei e la conservazione dei registri pertinenti.
Per determinate imprese e organizzazioni può inoltre essere necessaria una valutazione d’impatto sui diritti fondamentali (FRIA). Essa ha lo scopo di identificare i possibili effetti del sistema di IA sui diritti fondamentali e di definire contromisure adeguate.
L’IA ad alto rischio può essere impiegata, tra l’altro, in settori che hanno ripercussioni particolarmente delicate sulle persone. Tra questi figurano, ad esempio, determinate applicazioni nel campo delle risorse umane, dell’istruzione, delle infrastrutture critiche o nella valutazione dell’accesso a servizi essenziali, sia privati che pubblici.
La classificazione di un sistema specifico come IA ad alto rischio dipende dalla sua destinazione d’uso concreta e dai requisiti previsti dall’AI Act.
Le violazioni dell’AI Act possono comportare conseguenze finanziarie significative. A seconda della natura e della gravità della violazione, sono previste ammende fino a 35 milioni di euro o pari al 7% del fatturato annuo globale. Per altre violazioni si applicano limiti massimi inferiori.
Nel determinare l’entità di una sanzione si tiene conto, tra l’altro, della gravità e della durata della violazione, delle dimensioni e della quota di mercato dell’impresa, nonché di altre circostanze. Per le PMI e le start-up si applicano norme specifiche relative all’ammontare delle ammende.
Le aziende dovrebbero innanzitutto ottenere una panoramica completa di tutti i sistemi di IA utilizzati al loro interno. Successivamente, per ciascun sistema, occorre verificare quale ruolo ricopre l’azienda, a quale classe di rischio possa essere assegnato il sistema e quali obblighi concreti ne derivino.
Su questa base, le aziende dovrebbero, tra l’altro, definire le responsabilità, formare i collaboratori, stabilire processi di trasparenza e documentazione e valutare con particolare attenzione l’impiego di IA ad alto rischio. In questo modo è possibile organizzare l’uso dell’IA in modo strutturato e conforme alla normativa.
