Se vivi nell’Unione Europea e utilizzi prodotti o servizi basati sull’IA per questioni personali o di lavoro, è probabile che l’EU AI Act abbia un impatto su di te in qualche modo.

Potresti aver già notato uno dei suoi effetti: etichette o informative che indicano che un’immagine, un video, un clip audio o altri contenuti sono stati generati o manipolati utilizzando l’IA su piattaforme come Instagram o TikTok(nuova finestra). Queste norme sono diventate applicabili ad agosto 2026 come parte delle regole di trasparenza dell’EU AI Act e fanno parte di una legge molto più ampia che viene introdotta per fasi.

L’EU AI Act vieta inoltre determinati usi dell’IA, impone requisiti rigorosi ai sistemi considerati ad alto rischio e stabilisce regole per le aziende che sviluppano, forniscono o utilizzano l’IA, con disposizioni diverse che entrano in vigore in momenti differenti.

Quindi, cos’è esattamente l’EU AI Act, quali sistemi di IA copre e cosa significa per te o per la tua azienda? Ecco cosa devi sapere.

Cos’è l’EU AI Act?

L’EU AI Act è la legge dell’Unione Europea per regolamentare l’intelligenza artificiale. Nota ufficialmente come Regolamento (UE) 2024/1689, la sua finalità è rendere l’IA più sicura, trasparente, affidabile e incentrata sull’essere umano, tutelando al contempo i diritti fondamentali e consentendo l’innovazione e l’adozione dell’IA nell’UE.

In parole semplici, puoi considerare l’EU AI Act come il GDPR per l’IA, anche se regolamenta aspetti diversi: il GDPR disciplina principalmente la raccolta e il trattamento dei dati personali, mentre l’EU AI Act disciplina lo sviluppo, la fornitura, la distribuzione e l’uso dei sistemi di IA, in particolare quando possono influire sui diritti delle persone, sulla sicurezza o su decisioni di vita importanti.

Come viene gestito il rischio dell’IA ai sensi della legge europea sull’intelligenza artificiale

Invece di regolamentare tutta l’IA allo stesso modo, l’EU AI Act adotta un approccio basato sul rischio, che può essere classificato in quattro livelli:

  • Inaccettabile (vietato)
  • Ad alto rischio
  • Rischio limitato (trasparenza)
  • Rischio basso o nullo

I primi otto divieti sono entrati in vigore a febbraio 2025, mentre l’ultimo diventerà efficace a dicembre 2026.

In generale, maggiore è il danno potenziale che un sistema di IA può causare, più severe sono le regole. La legge non definisce formalmente quattro “livelli di rischio”, ma le sue norme vengono spesso raggruppate in quattro macro-categorie per renderle più facili da comprendere.

Gli esempi reali riportati di seguito non sono casi giudiziari emersi ai sensi dell’EU AI Act. Illustrano invece i tipi di danni o usi che la legge sull’IA intende prevenire, limitare o regolamentare nell’UE.

IA a rischio inaccettabile

Alcuni usi dell’IA sono considerati intrinsecamente inaccettabili, anziché qualcosa da poter gestire tramite la mitigazione dei rischi, la documentazione o la supervisione. Ecco cosa è vietato:

Manipolazione e inganno

IA che manipola o trae in inganno le persone spingendole a prendere decisioni dannose che altrimenti non prenderebbero.

Un uomo belga è morto suicida nel 2023(nuova finestra) dopo che un chatbot di IA lo ha incoraggiato e ha rispecchiato i suoi sentimenti per settimane.

Sfruttamento delle persone vulnerabili

IA che si approfitta delle persone a causa della loro età, di una disabilità o della loro situazione sociale ed economica.

La piattaforma di chatbot Character.AI e Google hanno concordato nel gennaio 2026 di risolvere con un accordo le cause legali(nuova finestra) per i danni causati agli adolescenti, tra cui una causa intenta da una madre il cui figlio adolescente si è tolto la vita dopo aver sviluppato un profondo legame emotivo con un chatbot che lo incoraggiava a “tornare a casa” da lui.

Punteggio sociale

IA che classifica le persone in base al loro comportamento o alle loro caratteristiche personali e utilizza tali punteggi per riservare loro un trattamento ingiusto.

Il sistema di credito sociale della Cina è stato utilizzato per impedire ai cittadini con punteggi bassi di acquistare biglietti aerei o ferroviari. Nel 2021, la Cina ha firmato un impegno non vincolante dell’ONU(nuova finestra) per porre fine al social scoring, ma da allora ha solo continuato ad espandere il sistema, e non è chiaro quanta parte di esso si basi ancora sull’IA.

Polizia predittiva

IA che prevede se qualcuno commetterà un reato basandosi unicamente sulla profilazione o sui tratti della personalità. Altri usi dell’IA nelle forze dell’ordine, come la valutazione delle prove o la stima del rischio basata su fatti verificabili, sono considerati ad alto rischio ma non sono vietati.

A dicembre 2025, la polizia olandese ha dismesso CAS, un algoritmo utilizzato dal 2017 per prevedere dove fosse più probabile che si verificassero reati, dopo che un audit ha riscontrato pregiudizi rafforzati dal controllo di polizia storicamente eccessivo in determinati quartieri.

Database di riconoscimento facciale

IA che estrae indiscriminatamente immagini da Internet o da riprese di videosorveglianza per creare database di riconoscimento facciale.

L’azienda statunitense Clearview AI ha raccolto miliardi di foto online (comprese molte di cittadini dell’UE) per le forze dell’ordine e le agenzie governative, ed è stata sanzionata per decine di milioni di euro dalle autorità di regolamentazione dell’UE(nuova finestra).

Riconoscimento delle emozioni

IA che cerca di dedurre come si sentono i dipendenti o gli studenti nei luoghi di lavoro o nelle scuole, salvo che per autentiche ragioni mediche o di sicurezza. Il riconoscimento delle emozioni al di fuori di questi due contesti rientra nelle regole ad alto rischio anziché essere vietato.

Nel 2018, una scuola media di Hangzhou, in Cina, ha installato telecamere nelle aule(nuova finestra) che scansionavano i volti degli studenti per misurare quanto fossero attenti e concentrati, scatenando un dibattito nazionale sulla sorveglianza dei minori. Secondo quanto riferito, quel programma è stato messo in pausa dopo le polemiche, ma un monitoraggio simile si è presto diffuso in altre scuole.

Entro il 2022, alcune strutture sono passate alle fasce per onde cerebrali, estendendo la sorveglianza all’apprendimento a distanza e al tracciamento dei compiti estivi(nuova finestra).

Profilazione biometrica sensibile

IA che utilizza dati biometrici per dedurre caratteristiche quali la razza, le opinioni politiche, l’appartenenza sindacale, la religione, la vita sessuale o l’orientamento sessuale. La categorizzazione biometrica per altri scopi è ad alto rischio, ma non vietata.

Nel 2025, il World Uyghur Congress ha citato in giudizio(nuova finestra) Hikvision, Huawei e Dahua in Francia, sostenendo che la tecnologia di riconoscimento facciale abbia aiutato a identificare e perseguitare gli uiguri.

Riconoscimento facciale in tempo reale da parte della polizia

Riconoscimento facciale in tempo reale utilizzato dalle forze dell’ordine negli spazi pubblici, tranne in un numero limitato di casi rigorosamente controllati, come la ricerca di persone scomparse o rapite, la prevenzione di una minaccia imminente o la localizzazione di sospettati di reati gravi. Il riconoscimento facciale che non avviene in tempo reale, non si svolge in uno spazio pubblico o non è utilizzato dalle forze dell’ordine è ad alto rischio anziché vietato.

Nel 2025, l’Ungheria ha vietato gli eventi del Pride LGBTQ e ha approvato una legge che consentiva alla polizia di utilizzare il riconoscimento facciale in tempo reale per identificare i partecipanti. Gruppi per le libertà civili hanno impugnato la legge(nuova finestra), sostenendo che violasse direttamente l’Articolo 5 dell’EU AI Act. Ad aprile 2026, la massima corte dell’UE ha stabilito che l’Ungheria aveva violato i diritti fondamentali delle persone LGBTQ; le accuse contro gli organizzatori del Pride sono state archiviate e un cambio di governo nello stesso mese ha revocato il divieto.

Abuso sessuale e contenuti intimi non consenzienti

Sistemi di IA che generano materiale pedopornografico (CSAM) o che generano o manipolano rappresentazioni sessualmente esplicite o intime di persone reali e identificabili senza il loro consenso.

Grok, il chatbot di IA integrato in X, aveva una “modalità spicy” che generava deepfake sessualizzati di persone reali, compresi minori, producendo oltre 4,4 milioni di immagini in poco più di 9 giorni. A gennaio 2026, i procuratori generali degli stati USA hanno preteso che xAI eliminasse questa funzionalità, e sono seguite numerose cause legali(nuova finestra).

IA ad alto rischio

I sistemi di IA ad alto rischio sono ammessi sul mercato dell’UE a condizione che il fornitore rispetti un insieme di obblighi rigorosi. Un sistema di IA è considerato ad alto rischio in uno dei seguenti due casi:

  1. È un prodotto o un componente di sicurezza di un prodotto già disciplinato dalle leggi dell’UE sulla sicurezza dei prodotti e soggetto a una valutazione della conformità da parte di terze parti, come dispositivi medici, macchinari, ascensori o giocattoli. Questi sistemi sono classificati come ad alto rischio ai sensi dell’Articolo 6(1) e dell’Allegato I, e diventeranno soggetti agli obblighi previsti per l’alto rischio a partire da agosto 2028.
  2. Rientra in una delle categorie di casi d’uso specifici elencate nell’Articolo 6(2) e nell’Allegato III. Gli obblighi per questo gruppo iniziano a dicembre 2027 e comprendono quanto segue:

Biometria

Ciò include l’identificazione biometrica remota non in tempo reale, non in uno spazio accessibile al pubblico o non utilizzata dalle forze dell’ordine, la categorizzazione biometrica per scopi diversi dalla deduzione dei tratti sensibili vietati di cui sopra e il riconoscimento delle emozioni al di fuori del contesto lavorativo o scolastico (è esclusa la verifica biometrica di base, come lo sblocco del telefono con il volto).

Nel 2019 una scuola superiore svedese ha sperimentato il riconoscimento facciale per monitorare le presenze degli studenti. L’autorità per la protezione dei dati della Svezia ha sanzionato la scuola(nuova finestra), stabilendo che gli studenti non potevano prestare un valido consenso data la loro posizione di dipendenza dalla scuola.

Infrastrutture critiche

L’IA che gestisce le infrastrutture digitali, il traffico stradale o la fornitura di acqua, gas, riscaldamento o elettricità è considerata ad alto rischio.

Ad agosto 2024, Praga ha distribuito un sistema di controllo del traffico basato sull’IA(nuova finestra) che regola i tempi dei semafori in tempo reale in base alle condizioni correnti e dà la priorità ai trasporti pubblici e ai veicoli di emergenza. Si tratta di una delle prime distribuzioni su larga scala di questo tipo in Europa.

Istruzione e formazione professionale

L’IA che decide chi viene ammesso a una scuola o a un programma di formazione, assegna voti, valuta il giusto livello di istruzione per qualcuno o effettua il monitoraggio degli studenti durante gli esami è considerata ad alto rischio.

L’autorità di regolamentazione degli esami in Inghilterra ha utilizzato un algoritmo per assegnare i voti del 2020 dopo che la pandemia di COVID ha portato ad annullare gli esami, eseguendo il downgrade di molti studenti(nuova finestra) e penalizzando quelli delle scuole storicamente con risultati inferiori. Ciò ha scatenato proteste e una marcia indietro del governo.

Occupazione e gestione dei lavoratori

Riguarda l’IA utilizzata per selezionare o valutare i candidati a un posto di lavoro, oppure che influisce su promozioni, assegnazione di compiti o monitoraggio delle prestazioni sul lavoro.

Un tribunale italiano ha giudicato l’algoritmo di classificazione dei rider di Deliveroo(nuova finestra) discriminatorio(nuova finestra), in quanto penalizzava i lavoratori delle consegne per la scarsa disponibilità senza verificare le ragioni legittime, come malattie o scioperi. Deliveroo è stata condannata a risarcire i danni.

Servizi essenziali

L’IA che decide l’idoneità ai sussidi pubblici o all’assistenza sanitaria, valuta il merito di credito, stabilisce il prezzo delle assicurazioni sulla vita o sulla salute o effettua il triage delle chiamate di emergenza è considerata ad alto rischio.

L’autorità fiscale olandese ha utilizzato un sistema algoritmico di rischio frode che ha segnalato erroneamente circa 26.000 genitori(nuova finestra), prendendo di mira in modo sproporzionato le persone con doppia nazionalità, per la restituzione dei sussidi. Lo scandalo ha fatto cadere il governo olandese a gennaio 2021.

Forze dell’ordine

L’IA che valuta il rischio di una vittima o di un reo, analizza l’affidabilità delle prove o profila le persone durante le indagini penali è considerata ad alto rischio.

Inghilterra e Galles utilizzano OASys per valutare il rischio di recidiva per oltre 7 milioni di persone(nuova finestra), incidendo sulle decisioni relative a cauzione, condanna e libertà vigilata. Le valutazioni ufficiali hanno riscontrato che è meno preciso per gli individui neri, asiatici e di etnia mista rispetto ai reati commessi da persone bianche, e i detenuti hanno una capacità limitata di contestare i dati inesatti usati per i loro punteggi. È in fase di sviluppo un sistema sostitutivo (ARNS), con un lancio nazionale previsto per il 2026.

Migrazione, asilo e controllo delle frontiere

Riguarda l’IA che valuta la sicurezza o il rischio migratorio, esamina le domande di asilo o identifica le persone alla frontiera.

Il Ministero dell’Interno britannico ha respinto la richiesta di asilo di una donna marocchina e di suo figlio(nuova finestra) citando un documento di sicurezza che si è rivelato inesistente. In sede di ricorso, un giudice di un tribunale superiore ha ipotizzato che la lettera di diniego mostra segnali di allucinazione dell’IA, definendola “analoga all’affidarsi a prove false”.

Giustizia e processi democratici

L’IA che assiste i giudici nell’interpretazione dei fatti o della legge, o i sistemi che potrebbero influenzare gli esiti elettorali o il modo in cui le persone votano, sono considerati ad alto rischio.

Forse l’esempio più noto: Cambridge Analytica ha raccolto i dati di un numero massimo di 87 milioni di utenti Facebook senza consenso per costruire profili psicografici per annunci politici mirati(nuova finestra), in particolare per la campagna di Trump del 2016 e per il referendum sulla Brexit.

Requisiti per i sistemi di IA ad alto rischio

Ai sensi dell’EU AI Act, i sistemi di IA ad alto rischio devono soddisfare requisiti rigorosi prima di poter essere immessi sul mercato o messi in servizio. Questi includono:

Gestione dei rischi: I fornitori devono identificare, valutare e ridurre i rischi potenziali durante l’intero ciclo di vita del sistema.

Qualità dei dati: I dati di addestramento, convalida e test devono essere adeguati e gestiti per ridurre errori ed esiti discriminatori.

Registrazione e tracciabilità: I sistemi devono conservare un log della propria attività in modo da poter tracciare il loro funzionamento e i relativi risultati.

Documentazione tecnica: I fornitori devono documentare come funziona il sistema, per cosa è stato progettato e in che modo è conforme all’AI Act.

Informazioni per chi distribuisce il sistema: Le persone e le organizzazioni che utilizzano il sistema devono ricevere istruzioni chiare sulle sue capacità, sui suoi limiti e sul suo uso corretto.

Supervisione umana: I sistemi devono essere progettati in modo che persone qualificate possano comprenderne, monitorarne e interdirne il funzionamento quando necessario.

Accuratezza, robustezza e cybersicurezza: I sistemi devono soddisfare standard adeguati di accuratezza, affidabilità, resilienza e protezione da minacce alla sicurezza.

Tuttavia, l’articolo 6(3) prevede alcune deroghe per i sistemi di IA elencati nell’Allegato III. Essi non dovrebbero essere considerati ad alto rischio se non “presentano un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche, anche non influenzando materialmente l’esito del processo decisionale”. L’articolo 6(3) include ulteriori dettagli su come stabilire se un sistema di IA rientri in questa deroga.

IA a rischio trasparenza (rischio limitato)

Per quanto riguarda il rischio di trasparenza, l’Articolo 50 si concentra sull’IA che può rendere difficile per le persone distinguere tra contenuti generati dall’IA o creati dall’uomo. Le preoccupazioni riguardano principalmente l’inganno, il furto di identità, la disinformazione, la manipolazione e la frode ai danni dei consumatori. Questi sistemi sono generalmente consentiti, ma fornitori e utenti devono rendere l’uso dell’IA sufficientemente trasparente. Gli obblighi di trasparenza dell’Articolo 50 sono entrati in vigore ad agosto 2026.

Ci sono quattro situazioni principali coperte dalle regole di trasparenza dell’IA:

Interazioni con l’IA

Quando un sistema di IA interagisce direttamente con una persona, il fornitore deve chiarire che sta interagendo con l’IA anziché con un essere umano. Ciò potrebbe applicarsi ai sistemi interattivi che includono IA conversazionale o agenti del servizio clienti.

Deve essere fornita un’informativa sull’IA fin dall’inizio della prima interazione e in modo accessibile, chiaro e ben distinguibile. L’IA che funziona solo in background o che comunica da macchina a macchina non è coperta da questo specifico requisito.

Contenuti standard generati dall’IA

I fornitori di sistemi di IA che generano o manipolano testi, immagini, audio o video devono rendere l’output tecnicamente identificabile come generato o manipolato dall’IA, ad esempio tramite metadati leggibili da dispositivo.

Questo non significa necessariamente aggiungere un’etichetta visibile per la persona che guarda il contenuto. I semplici strumenti di modifica che non alterano sostanzialmente l’input dei dati o il loro significato sono esenti.

Deepfake e certi contenuti di pubblico interesse

Se un’organizzazione crea o manipola immagini, audio o video deepfake, un solo marcatore leggibile da dispositivo non è sufficiente. Deve dichiararlo chiaramente al pubblico in un modo facilmente percepibile, come attraverso un’etichetta visibile o una nota udibile.

Lo stesso standard si applica al testo generato o manipolato dall’IA pubblicato per informare il pubblico su questioni di pubblico interesse, a meno che un essere umano non lo abbia revisionato in modo significativo e se ne sia assunto la responsabilità editoriale.

Riconoscimento delle emozioni e categorizzazione biometrica

Le persone devono essere informate quando l’IA viene utilizzata per rilevare le loro emozioni o categorizzarle utilizzando dati biometrici; questo si applica indipendentemente dal fatto che il sistema sia classificato anche come ad alto rischio.

IA a rischio basso o nullo

La maggior parte dei sistemi di IA rientra in questa categoria e non è oggetto di ulteriori requisiti obbligatori ai sensi dell’AI Act. Alcuni esempi includono i filtri spam e l’IA utilizzata nei videogiochi. I fornitori possono comunque seguire volontariamente le migliori pratiche e i codici di condotta.

Cosa sono i modelli GPAI e quali obblighi hanno?

I modelli GPAI (General-Purpose AI) sono modelli di IA progettati per gestire molti compiti diversi anziché un unico scopo specifico e limitato. Tra gli esempi di modelli GPAI rientrano i modelli linguistici di grandi dimensioni (LLM) che alimentano ChatGPT, Gemini, Claude e Meta AI. Possono generare o analizzare contenuti e possono essere integrati in altri sistemi e applicazioni di IA.

I modelli GPAI sono oggetto di requisiti specifici ai sensi dell’AI Act. I fornitori devono mantenere una documentazione tecnica, fornire agli sviluppatori a monte e a valle informazioni sulle capacità e sui limiti del modello, rispettare le norme sul diritto d’autore dell’UE e pubblicare una sintesi pubblica che descriva i tipi di dati (come testo, immagini, audio o video) e le fonti (ad esempio dataset pubblici, dataset privati, siti web sottoposti a scraping, dati utente o dati sintetici) utilizzati per addestrare il modello.

I modelli GPAI che presentano un rischio sistemico — ovvero sufficientemente potenti o ampiamente utilizzati da far sì che eventuali problemi possano causare danni su larga scala in tutta l’UE — devono affrontare requisiti aggiuntivi, tra cui la valutazione dei modelli e test avversari, la gestione continua dei rischi, la segnalazione degli incidenti e una protezione della cybersicurezza più solida.

L’EU AI Act vieta ai sistemi di IA di utilizzare i dati delle persone per l’addestramento dell’IA?

No. L’EU AI Act non vieta l’uso dei dati delle persone per l’addestramento dell’IA. Richiede tuttavia ai sistemi ad alto rischio di utilizzare dati di buona qualità e ai fornitori di IA per scopi generali di essere trasparenti su ciò su cui si sono addestrati, ma la possibilità legale di utilizzare dati personali per addestrare l’IA è disciplinata principalmente dal GDPR. Le aziende devono disporre di una base giuridica valida per il trattamento dei dati personali e rispettare i diritti e le garanzie applicabili in materia di protezione dei dati.

L’EU AI Act tutela la proprietà intellettuale?

Sì, ma solo in modo limitato e indiretto. L’EU AI Act non crea nuovi diritti di proprietà intellettuale né sostituisce la legge esistente sul diritto d’autore. Tuttavia, richiede ai fornitori di GPAI di rispettare le norme sul diritto d’autore dell’UE, di rispettare l’opt-out dei titolari dei diritti per il text e data mining e di pubblicare un riepilogo dei contenuti utilizzati per addestrare i loro modelli.

Cronologia di attuazione dell’EU AI Act

Ecco le date importanti che devi conoscere:

1° agosto 2024: L’EU AI Act è entrato in vigore.

2 febbraio 2025: Hanno iniziato ad applicarsi le disposizioni generali e le definizioni dell’Act, insieme ai primi otto divieti sulle pratiche di IA proibite. Hanno iniziato ad applicarsi anche i requisiti per i fornitori e gli utenti volti a fornire supporto all’alfabetizzazione sull’IA tra il personale.

2 agosto 2025: Sono entrate in vigore le regole per i modelli GPAI, insieme alle disposizioni sulla governance dell’IA e sulle sanzioni.

27 luglio 2026: L’AI Omnibus è entrato in vigore. Nota ufficialmente come Regolamento (UE) 2026/1744, l’AI Omnibus è un emendamento del 2026 all’EU AI Act pensato per semplificarne l’attuazione, ridurre gli oneri di conformità e concedere più tempo alle aziende e alle autorità di regolamentazione per prepararsi, mantenendo inalterate le tutele fondamentali della legge in materia di sicurezza e diritti fondamentali.

2 agosto 2026: È diventata applicabile la maggior parte del restante AI Act, comprese le norme sulla trasparenza che richiedono un’informativa o una marcatura tecnica per determinati sistemi di IA e contenuti generati dall’IA.

2 dicembre 2026: Entra in vigore il nono divieto relativo al materiale CSAM generato dall’IA e alle rappresentazioni intime o sessualmente esplicite non consenzienti. Entro questa data, anche i fornitori di sistemi di IA immessi sul mercato prima del 2 agosto 2026 che generano testi, immagini, audio o video sintetici devono conformarsi ai requisiti di marcatura leggibile da dispositivo previsti dall’Act.

2 agosto 2027: Entro questa data, gli Stati membri dell’UE devono disporre di almeno uno spazio di sperimentazione normativa per l’IA a livello nazionale affinché le aziende possano sviluppare e testare sistemi di IA sotto la supervisione delle autorità.

2 dicembre 2027: Le regole sull’IA ad alto rischio iniziano ad applicarsi ai sistemi utilizzati in ambiti sensibili come la biometria, le infrastrutture critiche, l’istruzione, l’occupazione, i servizi essenziali, le forze dell’ordine, la migrazione e l’amministrazione della giustizia.

2 agosto 2028: I requisiti ad alto rischio iniziano ad applicarsi ai sistemi di IA che fanno parte di prodotti regolamentati disciplinati dalla legislazione dell’UE sui prodotti, o che ne costituiscono componenti di sicurezza, come determinati macchinari, dispositivi medici, giocattoli e ascensori.

Come preparare la tuaazienda alla conformità all’EU AI Act

Per le aziende, il più grande cambiamento pratico è che la conformità inizia dal comprendere quale ruolo svolga l’azienda e che tipo di IA utilizzi. Un’azienda che usa semplicemente un assistente di scrittura basato sull’IA avrà molti meno obblighi rispetto a una che sviluppa un algoritmo di assunzione, vende un dispositivo medico basato sull’IA o fornisce un modello GPAI. L’Act può applicarsi anche ad aziende al di fuori dell’UE se immettono sistemi di IA o modelli GPAI sul mercato dell’UE o se l’output del loro sistema di IA viene utilizzato nell’UE.

Per prepararsi a rispettare e mantenere la conformità all’EU AI Act, la tua azienda dovrebbe:

Sapere quale IA utilizzi: Tieni traccia dei sistemi di IA utilizzati all’interno dei tuoi team (compresi gli strumenti di terze parti) e comprendi per cosa vengono usati. Questo può includere l’IA impiegata in ambito HR, nel servizio clienti, nel marketing, nella sicurezza, nell’analisi dei dati e in altri processi aziendali.

Determinare il tuo ruolo: Stabilisci se la tua azienda è un fornitore che sviluppa o vende un sistema di IA, un utente che ne fa uso oppure un importatore o distributore. Ad ogni ruolo si applicano obblighi diversi.

Classificare l’IA in base al rischio: Verifica se un qualsiasi uso dell’IA sia vietato, ad alto rischio, oggetto di requisiti di trasparenza o a rischio minimo. Se ad esempio utilizzi l’IA per selezionare i candidati a un lavoro, le regole sono notevolmente più severe rispetto ai filtri spam basati sull’IA.

Interrompere gli usi dell’IA vietati: Esegui un audit dei tuoi strumenti e flussi di lavoro di IA per individuare eventuali pratiche vietate e disattivare o sostituire i sistemi che superano il limite. Concentrati in particolare sull’IA utilizzata per monitorare i dipendenti, profilare le persone, analizzare dati biometrici, manipolare il comportamento o effettuare valutazioni sensibili sugli individui.

Formare i dipendenti che utilizzano l’IA: I fornitori e gli utenti devono adottare misure per fornire supporto all’alfabetizzazione sull’IA tra i dipendenti e le altre persone che utilizzano sistemi di IA per loro conto. La formazione dovrebbe riflettere il modo in cui l’IA viene effettivamente utilizzata e i rischi connessi.

Soddisfare i requisiti di trasparenza dell’IA: Potresti dover comunicare alle persone quando stanno interagendo con l’IA, applicare un’etichetta a determinati contenuti generati o manipolati dall’IA o informarle quando vengono utilizzati sistemi consentiti di riconoscimento delle emozioni o di categorizzazione biometrica.

Applicare controlli più severi all’IA ad alto rischio: I fornitori devono gestire i rischi, utilizzare dati adeguati, conservare la documentazione e i log, garantire la supervisione umana e soddisfare i requisiti di accuratezza, sicurezza e affidabilità. Potrebbero inoltre dover completare le valutazioni di conformità e registrare il sistema. Le aziende che utilizzano l’IA ad alto rischio devono seguire le istruzioni del fornitore, monitorarne le prestazioni e conservare i registri richiesti.

Verificare gli obblighi GPAI: Se fornisci modelli GPAI, hai requisiti separati che riguardano la documentazione tecnica, le informazioni per gli sviluppatori a valle, la conformità al diritto d’autore e le sintesi dei contenuti di addestramento. I modelli che presentano un rischio sistemico sono soggetti a requisiti aggiuntivi di sicurezza e cybersicurezza.

Esaminare i fornitori di IA: Se utilizzi l’IA di terze parti, controlla i sistemi forniti dai venditori, come sono classificati, quale documentazione è disponibile e chi è responsabile della conformità a ciascuna parte dell’EU AI Act. Modificare o rietichettare determinati sistemi di IA può anche trasferire le responsabilità del fornitore sulla tua azienda.

Mantenere aggiornata la governance dell’IA: I sistemi di IA, i loro usi e le leggi possono cambiare. Le aziende dovrebbero documentare il modo in cui l’IA viene utilizzata, monitorare i sistemi per individuare nuovi rischi o incidenti e rivalutare la conformità quando un sistema di IA viene modificato in modo sostanziale o destinato a un uso diverso.

La conformità all’AI Act non sostituisce altri obblighi di legge. Le aziende che utilizzano dati personali, materiale protetto da copyright o l’IA in settori regolamentati potrebbero anche dover rispettare leggi come il GDPR, le norme sul diritto d’autore dell’UE, la legge sulla tutela dei consumatori e le normative specifiche del settore.

Sviluppa un approccio all’IA basato sulla privacy

L’EU AI Act adotta un approccio all’IA basato sul rischio e non devi necessariamente usare l’IA in prima persona per esserne influenzato. Se vivi nell’UE, l’IA può influire sui contenuti che vedi, sui servizi con cui interagisci o sulle decisioni prese nei tuoi confronti, ad esempio la possibilità di acquistare determinate cose. Familiarizzare con l’Act può quindi aiutarti a capire quando l’IA deve essere dichiarata, quali tutele si applicano e quando potresti essere in grado di mettere in discussione o contestare il modo in cui viene utilizzato un sistema di IA.

Per le aziende, gli obblighi dipendono dal ruolo svolto dall’organizzazione, dal modo in cui vengono utilizzati i suoi sistemi di IA e dal livello di rischio correlato.

Per chi sceglie di utilizzare l’IA, Lumo offre un’alternativa europea incentrata sulla privacy. Il nostro assistente di IA non registra mai nei log le tue chat e non si addestra sui tuoi dati. I tuoi dati sono protetti da una crittografia con accesso zero in modo che solo tu possa leggere i tuoi contenuti. Nemmeno Proton può vedere i tuoi dati.

Le stesse tutele si estendono a Lumo for Business, il nostro assistente di IA per i team, che consente alle organizzazioni di fornire ai dipendenti uno strumento di IA approvato aiutando al contempo a mantenere privato il carattere confidenziale dei dati aziendali, dei clienti e di altre informazioni sensibili. L’uso di Lumo non rende di per sé un’azienda conforme all’EU AI Act, ma può fornire supporto a un approccio più attento alla privacy nell’adozione e nella gestione dell’IA all’interno di un’organizzazione.

Chatta con Lumo(nuova finestra) Ottieni Lumo for Business

Se l’IA è una novità per te o vuoi comprendere la tecnologia alle spalle di queste regole, consulta la nostra guida all’IA per un approfondimento su privacy dell’IA, sorveglianza, rischi di sicurezza e una panoramica delle pratiche spesso ingannevoli di alcuni dei fornitori di IA più popolari.