AI Act: cos’è, come funziona e cosa cambia per aziende e cittadini

L’intelligenza artificiale è ormai entrata nella vita quotidiana. Assistenti virtuali, sistemi di raccomandazione, strumenti per creare testi e immagini, software per l’analisi dei dati e applicazioni utilizzate nel mondo del lavoro stanno cambiando rapidamente il modo in cui comunichiamo, analizziamo e prendiamo decisioni.

Di fronte a questa trasformazione, l’Unione europea ha introdotto l’AI Act (Regolamento UE 2024/1689), il quadro normativo europeo che disciplina lo sviluppo e l’utilizzo dei sistemi di intelligenza artificiale secondo un approccio basato sul rischio.

Ma di che cosa stiamo parlando esattamente? Quali sistemi riguarda? Quali sono gli obblighi per aziende e sviluppatori? E soprattutto, cosa cambia concretamente per cittadini e imprese?

L’AI Act, ufficialmente Regolamento (UE) 2024/1689, è il regolamento europeo che stabilisce un insieme di regole armonizzate sull’intelligenza artificiale.

L’obiettivo non è vietare l’AI, ma creare un ambiente nel quale questa tecnologia possa essere sviluppata e utilizzata in modo sicuro, trasparente e rispettoso dei diritti fondamentali.

Il principio centrale della normativa è relativamente semplice: non tutti i sistemi di intelligenza artificiale presentano lo stesso livello di rischio. Un algoritmo utilizzato per suggerire un film, infatti, non ha le stesse conseguenze di un sistema impiegato per valutare l’affidabilità di una persona che chiede un finanziamento o per supportare decisioni in ambito sanitario.

Per questo motivo, l’Unione europea ha adottato un approccio basato sulla rilevanza del rischio.

In altre parole, più un sistema di AI può incidere sulla sicurezza, sui diritti o sulle opportunità delle persone, più stringenti saranno le regole che dovrà rispettare.

La crescita dell’intelligenza artificiale ha portato con sé enormi opportunità, ma anche dei prezzi da pagare. Un sistema di AI può essere utilizzato per aumentare la produttività, diagnosticare malattie, ottimizzare i consumi energetici o migliorare i servizi pubblici. Allo stesso tempo, può produrre discriminazioni, diffondere informazioni false, violare la privacy o influenzare il comportamento delle persone.

In determinate circostanze, può essere difficile capire perché un sistema abbia prodotto una determinata decisione e ciò si verifica, soprattutto, in caso di scarsa trasparenza di alcuni algoritmi.

L’AI Act nasce proprio dalla necessità di stabilire un insieme di regole comuni all’interno del mercato europeo. La normativa mira a raggiungere un equilibrio tra due esigenze: da un lato favorire l’innovazione, dall’altro proteggere cittadini e consumatori dai rischi più significativi associati all’intelligenza artificiale.

Il regolamento distingue in modo chiaro tra rischio inaccettabile, rischio elevato, rischio limitato e rischio minimo o nullo. Questa classificazione determina gli obblighi applicabili.

Alcune applicazioni di intelligenza artificiale sono considerate talmente pericolose da essere vietate. Si tratta, ad esempio, di determinate pratiche che possono manipolare il comportamento delle persone in modo dannoso o sfruttare vulnerabilità legate all’età o a particolari condizioni personali. Sono inoltre vietate alcune forme di social scoring, cioè sistemi che attribuiscono alle persone un punteggio sulla base del loro comportamento sociale o di caratteristiche personali, quando utilizzati in determinate modalità.

La logica è chiara: esistono utilizzi dell’intelligenza artificiale che l’Europa considera incompatibili con i propri valori e con la tutela dei diritti fondamentali.

La categoria più importante dal punto di vista degli obblighi è quella dei sistemi ad alto rischio.

Rientrano in questa categoria determinati sistemi utilizzati in settori particolarmente delicati, come istruzione, occupazione, infrastrutture critiche, accesso a servizi essenziali, applicazione della legge, gestione delle frontiere e giustizia, secondo le condizioni previste dal regolamento.

Un sistema che contribuisce a selezionare candidati per un posto di lavoro, per esempio, può avere un impatto significativo sulle opportunità di una persona.

Per i sistemi ad alto rischio l’AI Act prevede una serie di requisiti rigorosi. Tra questi rientrano la gestione dei rischi, la qualità dei dati, la documentazione tecnica, la registrazione delle attività, la trasparenza e la supervisione umana. Le aziende, dal canto loro, devono adottare misure adeguate per garantire che il sistema sia sufficientemente sicuro, accurato e affidabile.

Esistono poi sistemi che non sono considerati ad alto rischio, ma che devono comunque rispettare determinati requisiti di trasparenza. Esempi di questo tipo riguardano contenuti fruibili in rete che sono modificati dall’Intelligenza artificiale o anche i diffusissimi chatbot.

Quando una persona interagisce con un sistema di AI, in determinate circostanze deve essere informata del fatto che sta comunicando con una macchina e non con un essere umano.

Infine, esistono moltissime applicazioni considerate a rischio minimo o nullo. Pensiamo, ad esempio, ad alcuni videogiochi che utilizzano l’AI oppure a sistemi di raccomandazione che non incidono significativamente sui diritti delle persone. Per queste applicazioni il regolamento non introduce generalmente gli stessi obblighi previsti per i sistemi ad alto rischio.

Il livello di rischio associato a un sistema di intelligenza artificiale determina il tipo e l’intensità degli obblighi previsti dal regolamento. In sintesi, l’approccio dell’AI Act può essere rappresentato così:

La classificazione, tuttavia, non dipende soltanto dalla tecnologia utilizzata: contano soprattutto la finalità del sistema, il contesto d’impiego e l’impatto che può avere sulle persone.

Uno degli aspetti più interessanti dell’AI Act riguarda la cosiddetta AI generativa, diventata estremamente popolare grazie a strumenti capaci di produrre testi, immagini, audio, video e codice. Qui entra in gioco una categoria particolarmente importante: i modelli di AI per finalità generali, spesso indicati come GPAI (General-Purpose AI). Si tratta di modelli che possono essere utilizzati per una grande varietà di compiti e che possono essere integrati in applicazioni differenti.

L’AI Act introduce obblighi specifici per i fornitori di questi modelli, relativi, tra le altre cose, alla documentazione, alle informazioni fornite ai soggetti che integrano i modelli nei propri sistemi e al rispetto delle norme sul diritto d’autore.

Per i modelli considerati dotati di rischio sistemico sono previsti requisiti aggiuntivi.

Questa parte della normativa è particolarmente importante perché il panorama dell’AI sta evolvendo rapidamente. Modelli generativi sempre più potenti possono essere utilizzati in centinaia di applicazioni diverse, rendendo difficile applicare le tradizionali categorie di regolamentazione basate esclusivamente sul singolo prodotto finale.

Il rapporto tra intelligenza artificiale e copyright è uno degli argomenti più discussi degli ultimi anni.

I modelli generativi vengono addestrati utilizzando grandi quantità di dati. Questo ha sollevato interrogativi importanti: quali contenuti possono essere utilizzati per l’addestramento? Come devono essere gestite le opere protette dal diritto d’autore? E quali informazioni devono essere rese disponibili?

L’AI Act introduce specifici obblighi per i fornitori di modelli di AI per finalità generali, compresi alcuni obblighi relativi alle politiche sul rispetto del diritto d’autore dell’Unione europea. Questo non significa in alcun modo che l’AI Act risolva da solo tutte le controversie sul copyright legate all’intelligenza artificiale. Il rapporto tra AI, diritto d’autore e utilizzo dei contenuti continua infatti a essere un settore giuridico complesso, nel quale intervengono anche altre norme europee e nazionali. Si tratta di campi in continua evoluzione e per questo costantemente soggetti ad aggiornamenti e modifiche.

L’AI Act e il GDPR sono due normative differenti, anche se in alcuni casi possono applicarsi contemporaneamente. Il GDPR riguarda principalmente la protezione dei dati personali e il loro trattamento. L’AI Act, invece, ha un campo di applicazione più ampio e si concentra sulla regolamentazione dei sistemi di intelligenza artificiale attraverso un approccio basato sul rischio.

Un sistema di AI che tratta dati personali potrebbe quindi essere soggetto sia al GDPR sia all’AI Act. Per le aziende questo significa che la conformità non può essere affrontata considerando una singola normativa isolatamente. Privacy, sicurezza informatica, copyright e regolamentazione dell’AI possono infatti intersecarsi.

Per le imprese, l’AI Act rappresenta una trasformazione importante.

Frenare le aziende nell’utilizzo dell’intelligenza artificiale sarebbe un approccio controproducente per lo sviluppo tecnologico dell’Industria. Chi penserebbe mai, oggi, di non utilizzare più strumenti di AI? L’obiettivo è molto più delicato e complesso e consiste nel capire quali sistemi vale la pena utilizzare e quale ruolo devono avere all’interno dell’organizzazione.

Un primo passo verso la conformità all’AI Act consiste quindi nel mappare i sistemi di intelligenza artificiale utilizzati dall’organizzazione. Un’azienda dovrebbe, per esempio, chiedersi:

• quali strumenti di AI utilizziamo?
• chi li fornisce?
• quali dati vengono elaborati?
• per quali finalità?
• il sistema prende decisioni che riguardano persone?
• quali rischi comporta?
• siamo soggetti a obblighi specifici previsti dall’AI Act?

Questo processo di mappatura è particolarmente importante per le organizzazioni che utilizzano sistemi potenzialmente classificabili come ad alto rischio. La conformità, peraltro, non riguarda esclusivamente il reparto IT. In molte aziende viene coinvolto anche l’ambito legale, compliance, sicurezza informatica, risorse umane, protezione dei dati e management.

L’introduzione dell’AI Act rende quindi sempre più importante una vera e propria strategia di AI governance.

Per i cittadini l’AI Act potrebbe avere effetti meno visibili, ma potenzialmente molto importanti. D’altronde, uno degli obiettivi della normativa è aumentare la trasparenza e ridurre i rischi associati all’utilizzo dell’AI in contesti sensibili. Immaginiamo, ad esempio, un sistema utilizzato in ambito lavorativo, educativo o nell’accesso a determinati servizi. Se un algoritmo contribuisce a prendere decisioni che possono avere conseguenze significative sulla vita di una persona, la normativa impone una serie di garanzie più rigorose.

Anche la trasparenza assume un ruolo centrale. In determinate situazioni, le persone devono poter sapere quando stanno interagendo con un sistema di AI o quando stanno visualizzando contenuti generati o manipolati artificialmente. Questo aspetto diventa particolarmente rilevante nell’epoca dei deepfake.

Una normativa senza conseguenze in caso di violazione avrebbe un’efficacia limitata. Proprio per questo, l’AI Act prevede sanzioni amministrative significative, la cui entità varia in base alla natura della violazione e, in determinati casi, può essere calcolata anche sulla base del fatturato dell’impresa. Il sistema sanzionatorio è quindi pensato per essere sufficientemente incisivo da incentivare le aziende a prendere sul serio gli obblighi previsti dalla normativa. È importante non interpretare l’AI Act esclusivamente come una legge sulle multe. Anzi, è fondamentale inquadrarlo in un’ottica differente, ovvero come necessità di integrare la gestione dei rischi dell’intelligenza artificiale nei normali processi aziendali.

L’AI Act non è una normativa che entra in vigore attraverso un unico “giorno X” in cui tutte le regole diventano contemporaneamente applicabili. Il regolamento prevede infatti un’applicazione graduale, con differenti date per differenti categorie di disposizioni. Questo approccio consente alle istituzioni, alle imprese e agli altri soggetti coinvolti di adeguarsi progressivamente ai nuovi obblighi. Per chi utilizza l’AI a livello professionale è quindi importante verificare quali disposizioni siano già applicabili e quali entreranno successivamente in vigore.

• 2 febbraio 2025: diventano applicabili, tra le altre, le disposizioni relative alle pratiche di AI vietate e agli obblighi in materia di alfabetizzazione sull’intelligenza artificiale (AI literacy).
• 2 agosto 2025: iniziano ad applicarsi diverse disposizioni relative alla governance e ai modelli di AI per finalità generali (GPAI), oltre al relativo regime sanzionatorio previsto dal Regolamento.
• 2 agosto 2026: diventa applicabile la maggior parte delle disposizioni dell’AI Act, comprese numerose regole che interessano concretamente aziende, fornitori e utilizzatori di sistemi di intelligenza artificiale.
• 2 agosto 2027: diventano applicabili alcune disposizioni relative ai sistemi di AI ad alto rischio collegati ai prodotti disciplinati dalla normativa europea indicata nell’Allegato I.

Le scadenze non riguardano quindi tutte le organizzazioni nello stesso modo: per capire quali obblighi siano applicabili è necessario considerare il tipo di sistema AI utilizzato, il livello di rischio e il ruolo ricoperto dall’azienda.

Secondo i critici della regolamentazione, norme troppo severe potrebbero rendere l’Europa meno competitiva rispetto a Stati Uniti, Cina e altri mercati tecnologici. D’altra parte, sostenitori dell’AI Act sottolineano che un quadro normativo chiaro può aumentare la fiducia nelle nuove tecnologie e creare condizioni comuni per le imprese che operano nel mercato europeo. Come la maggior parte delle volte, la risposta sta nel mezzo: è necessario trovare un equilibrio. Una regolamentazione ben progettata può, almeno in teoria, contribuire a creare un mercato nel quale le aziende competono non soltanto sulla velocità di sviluppo, ma anche sulla sicurezza, affidabilità e qualità dei propri sistemi.

L’AI Act rappresenta una delle più importanti iniziative legislative europee nel campo della tecnologia.

Forse il cambiamento più importante introdotto da questa normativa non sarà rappresentato da un singolo divieto o da una singola sanzione. Il vero cambiamento potrebbe essere culturale. Da tutti noi, l’Intelligenza artificiale è sempre stata inquadrata principalmente come una questione tecnologica. Oggi è sempre più evidente che l’AI riguarda anche diritto, etica, sicurezza, economia e società.

Le aziende dovranno imparare a valutare i rischi prima di adottare determinati sistemi. I dipendenti dovranno acquisire nuove competenze. Gli sviluppatori dovranno considerare la conformità normativa durante la progettazione. I consumatori dovranno diventare più consapevoli delle modalità con cui gli algoritmi influenzano le loro esperienze digitali.

La sfida, tuttavia, è appena iniziata. L’Intelligenza artificiale evolve molto più rapidamente delle normative. Nuovi modelli, nuove applicazioni e nuove forme di automazione continueranno a emergere nei prossimi anni e in quelli a venire.

Il successo dell’AI Act dipenderà quindi non solo dalle regole scritte nel regolamento, ma anche dalla capacità delle istituzioni di applicarle, delle aziende di adeguarsi e dell’intero ecosistema tecnologico di sviluppare l’intelligenza artificiale mantenendo al centro sicurezza, trasparenza e diritti delle persone.

Il quesito, quindi, non dovrebbe essere scegliere tra innovazione e regolamentazione. L’obiettivo finale è invece riuscire a costruire un sistema nel quale l’innovazione possa crescere senza sacrificare le tutele fondamentali.

Quando è entrato in vigore l’AI Act?
L’AI Act è entrato in vigore il 1° agosto 2024, ma le sue disposizioni diventano applicabili progressivamente secondo diverse scadenze previste dal Regolamento.

L’AI Act si applica a tutte le aziende?
L’applicazione dell’AI Act dipende dal ruolo dell’organizzazione, dal tipo di sistema di intelligenza artificiale utilizzato e dal relativo livello di rischio.

Quali sistemi di AI sono vietati dall’AI Act?
L’AI Act vieta determinate pratiche considerate a rischio inaccettabile, tra cui specifiche forme di manipolazione, sfruttamento delle vulnerabilità e social scoring.

AI Act e GDPR possono applicarsi contemporaneamente?
Sì. Se un sistema di intelligenza artificiale tratta dati personali, l’organizzazione può essere soggetta sia agli obblighi previsti dall’AI Act sia a quelli stabiliti dal GDPR.

Cosa dovrebbero fare le aziende per prepararsi all’AI Act?
Un primo passo consiste nel mappare i sistemi di AI utilizzati, identificarne finalità, fornitori e dati trattati e verificare il livello di rischio e gli eventuali obblighi applicabili.