Il contesto attuale dell’AI Act e le recenti proroghe

L’adozione dell’intelligenza artificiale sta accelerando rapidamente, forse più velocemente di quanto le organizzazioni riescano a governarla. Un recente studio IBM ha rilevato che il 77 % delle organizzazioni intervistate ammette che l’AI è in crescita e sta già superando la loro capacità di gestirla e controllarla.

A questo punto sorge una domanda importante: l’AI dovrebbe essere regolamentata? Nonostante la diffusione dell’AI nelle aziende, resta un interrogativo legittimo: la sua adozione è effettivamente regolamentata nelle organizzazioni? L’EU AI Act sta iniziando a fornire una risposta e i requisiti di trasparenza previsti dal regolamento sono già in vigore.

Tuttavia, gli ultimi aggiornamenti dell’EU AI Act indicano che alcune scadenze sono state posticipate. Questo ha indotto molte organizzazioni a credere di avere ancora tempo per implementare i cambiamenti necessari. In realtà, l’UE ha rinviato solo le disposizioni relative ai sistemi di AI ad alto rischio, non i requisiti di responsabilità per le altre tipologie di sistemi.

Che cosa è stato rinviato e cosa rimane obbligatorio

Le proroghe riguardano esclusivamente le parti del regolamento che impongono obblighi più gravosi ai sistemi ad alto rischio. Tutti gli altri obblighi – tra cui la trasparenza, la documentazione dei controlli e la registrazione delle decisioni – rimangono pienamente applicabili fin da subito.

La vera domanda è: “Cosa deve accadere, concretamente, adesso e quanto tempo ha davvero a disposizione la mia azienda?”

Classificazione dei sistemi di AI secondo il rischio

Se un’organizzazione utilizza l’AI, potrebbe essere già soggetta agli obblighi previsti dall’AI Act dell’UE. La natura di tali obblighi dipende dalle categorie di rischio dei sistemi di AI.

Tra le categorie vietate figurano:

Molte imprese rientrano inevitabilmente nella categoria di rischio limitato; in questo caso, qualsiasi organizzazione che utilizzi chatbot o AI generativa per creare contenuti o immagini è tenuta a rispettare l’obbligo di trasparenza. La regola fondamentale di questa categoria è semplice: evitare che le persone scambino l’AI per un essere umano.

Scadenze chiave per i sistemi ad alto rischio

La scadenza più importante in questo contesto è il 2 dicembre 2026. È a partire da questa data che entra in vigore l’obbligo di apposizione di un watermark per tutti i sistemi di AI generativa – in particolare per quelli già presenti sul mercato prima del 2 agosto 2026, secondo il calendario aggiornato dal Digital Omnibus sulla regolamentazione dell’AI.

Se un’organizzazione utilizza l’AI generativa per creare contenuti di marketing, immagini di prodotto o qualsiasi materiale destinato ai clienti, deve disporre di un sistema di etichettatura già operativo prima di tale data.

Responsabilità nella scelta e nell’uso dei fornitori

Quando un’organizzazione acquista un sistema di AI da un fornitore affidabile, potrebbe essere portata a presumere immediatamente che il sistema sia conforme. È importante notare, tuttavia, che l’AI Act dell’UE non disciplina la materia in base alla scelta di un fornitore affidabile o al tempo dedicato ai test del sistema; la normativa si fonda su evidenze concrete e richiede specificamente valutazioni del rischio, registrazioni delle approvazioni e report di monitoraggio.

L’articolo 9 dell’AI Act impone alle organizzazioni di individuare eventuali problemi, indagarne le cause, valutarne la gravità, implementare misure di controllo, documentare ogni aspetto e verificare l’efficacia della soluzione adottata.

Inoltre, per la maggior parte dei sistemi ad alto rischio, l’articolo 12 prescrive la conservazione dei log per almeno sei mesi. Sebbene nella maggior parte dei casi i log possano essere conservati dal fornitore, solitamente vengono cancellati automaticamente dopo 30 giorni: una criticità che deve essere risolta.

Supervisione umana e decisioni operative

Riguardo la supervisione umana, l’articolo 14 pone un interrogativo fondamentale: l’essere umano sta effettivamente prendendo una decisione o si limita ad approvare quanto suggerito dall’AI? Gli operatori che utilizzano sistemi ad alto rischio devono comprendere le capacità e i limiti del sistema, saperne interpretare gli output e, soprattutto, sapere quando contestarli e quando non tenerne conto.

Una volta messi da parte allegati, scadenze e articoli, l’EU AI Act pone un quesito semplice: “La vostra organizzazione sa cosa sta facendo l’AI che utilizza ed è in grado di dimostrarlo?” I mesi supplementari servono a preparare questa risposta, non a rimandarla.

Come costruire un inventario efficace dei sistemi di AI

Le organizzazioni dovrebbero esaminare attentamente le suddette categorie di rischio prima di stilare un inventario dei sistemi di AI. Tuttavia, molte si scontrano con un problema: durante la creazione dell’inventario, non sanno a quale fascia di rischio appartengano i propri sistemi.

Spesso i fornitori assegnano ai sistemi di AI nomi generici e accattivanti dal punto di vista commerciale, che non ne rivelano immediatamente la classificazione normativa. Si pensi, ad esempio, a un sistema denominato “Intelligent Talent Acquisition Platform”, che all’apparenza è uno strumento utile ed efficiente, ma se viene impiegato per prendere decisioni in fase di assunzione rientra nella categoria ad alto rischio prevista dall’EU AI Act.

Un esercizio utile per andare oltre l’etichetta assegnata al sistema e comprenderne le effettive funzioni consiste nel definire il processo in questi termini: il sistema analizza X, genera Y e ciò determina Z. Un’organizzazione capace di formulare una descrizione di questo tipo per ciascuno dei propri sistemi sarà in grado di classificarli correttamente.

Responsabilità e vantaggi dell’inventario

È proprio questo che l’EU AI Act richiede alle organizzazioni: non di rinunciare all’AI, ma di assumerne la responsabilità. In ultima analisi, ogni inventario compilato, ogni sistema classificato e ogni registro conservato rappresentano una risposta preparata in anticipo per la persona che si trova dall’altra parte dell’algoritmo.

Con un inventario chiaro, le aziende possono:

In sintesi, la proroga dell’AI Act non offre un “cuscinetto” di impunità, ma un’estensione temporale per adeguare i processi di governance, documentazione e supervisione umana. Le aziende che approfittano di questo tempo per costruire un solido inventario, definire ruoli di responsabilità e implementare meccanismi di monitoraggio saranno quelle che riusciranno a trarre il massimo vantaggio dall’AI, mantenendo al contempo il rispetto delle normative europee.