In questo articolo, a cura di Anna Italiano, avvocato e collaboratrice dell’Osservatorio Artificial Intelligence,analizzeremo approfonditamente i principali aspetti del Regolamento, dall’approccio basato sul rischio insito nelle tecnologie intelligenti prospettato dal legislatore europeo, ai principali obblighi normativi, fino alle sanzioni previste in caso di inadempienza.
L’AI Act (Artificial Intelligence Act) è il primo regolamento globale specificamente progettato per governare lo sviluppo, la commercializzazione e l’utilizzo dei sistemi di Intelligenza Artificiale. Il regolamento mira ad assicurare che i sistemi di IA immessi sul mercato europeo e utilizzati nell’UE siano sicuri e rispettino i diritti fondamentali e i valori dell’Unione stimolando contemporaneamente gli investimenti e l’innovazione nel settore dell’Intelligenza Artificiale in Europa.
L’AI Act adotta un approccio olistico che va oltre la mera regolamentazione tecnica, abbracciando una visione strategica dell’Intelligenza Artificiale come tecnologia abilitante per il futuro dell’Europa. Il Regolamento stabilisce un framework che permette alle aziende europee di competere a livello globale mantenendo standard etici elevati, creando un vantaggio competitivo basato sulla fiducia e sulla trasparenza.
L’obiettivo fondamentale dell’AI Act è creare un ecosistema di Intelligenza Artificiale “trustworthy” (affidabile) che possa prosperare in un ambiente regolamentato ma non eccessivamente restrittivo. Questo equilibrio delicato mira a proteggere i cittadini europei dai rischi dell’IA mentre promuove l’innovazione e la competitività dell’industria europea nel settore tecnologico più strategico del 21° secolo.
L’AI Act allinea la definizione di Intelligenza Artificiale a quella utilizzata dall’Organizzazione per la Cooperazione e lo Sviluppo Economico, per garantire che tale definizione fornisca criteri sufficientemente chiari per distinguere l’AI dai sistemi software più semplici. Più in particolare, la nuova normativa descrive un sistema di Intelligenza Artificiale come “un sistema automatizzato progettato per funzionare con diversi livelli di autonomia, che deduce dagli input ricevuti come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali”. Questa definizione pone l’accento sulle caratteristiche di autonomia, capacità generativa e di influenza dell’ambiente circostante come elementi peculiari delle tecnologie intelligenti.
Le principali casistiche di esclusione dall’ambito di applicazione dell’AI Act riguardano:
L’AI Act è basato su quell’approccio “risk-based” che ritroviamo anche in altre normative (prima tra tutte, il GDPR): maggiore è il rischio insito nell’utilizzo di un determinato sistema Intelligenza Artificiale, più importanti e penetranti saranno, conseguentemente, le responsabilità di chi sviluppa e usa quel sistema, sino a giungere a un divieto di utilizzo delle applicazioni e delle tecnologie il cui rischio è considerato inaccettabile.
Per meglio comprendere questo principio, la tabella seguente sintetizza la classificazione dei sistemi di AI prevista dal Regolamento, ordinata dal livello di rischio più elevato a quello nullo.
Nelle sezioni successive, approfondiamo ciascuna categoria per evidenziarne caratteristiche, ambiti d’applicazione e principali implicazioni normative.
| Categoria di rischio AI | Descrizione sintetica | Esempi di pratiche/sistemi | Principali obblighi o conseguenze |
| Rischio inaccettabile (vietato) | Utilizzi considerati lesivi dei diritti fondamentali o manipolativi | – Sfruttamento vulnerabilità e tecniche subliminali – Social scoring pubblico/privato – Scraping non mirato di immagini facciali – Riconoscimento emozioni in lavoro/istruzione – Categorizzazione biometrica su dati sensibili – Polizia predittiva per persone | Divieto assoluto di immissione sul mercato e utilizzo |
| Alto rischio | Sistemi potenzialmente dannosi per salute, sicurezza, diritti o democrazia | – Componenti di sicurezza di prodotti (es. dispositivi medici) – IA in settori critici: istruzione, sanità, giustizia, PA, selezione personale, sicurezza pubblica | Valutazione di conformità ex ante, requisiti su dati, trasparenza, sorveglianza umana, accuratezza, cybersicurezza |
| Rischio limitato | Sistemi che richiedono solo trasparenza per garantire uso consapevole | – Chatbot e assistenti virtuali – Riconoscimento emozioni/categorizzazione biometrica non vietata – Generazione di contenuti e deepfake | Obbligo di informare l’utente che interagisce con una IA o contenuto generato da IA |
| Rischio minimo o nullo | Applicazioni quotidiane non soggette a obblighi specifici | – Filtri antispam – Sistemi di raccomandazione (intrattenimento) – Videogiochi e strumenti di produttività | Nessun obbligo specifico, ma conformità a GDPR e normative generali UE |
Anzitutto, il Regolamento pone un divieto generale e radicale rispetto a determinati utilizzi dell’AI il cui rischio è considerato inaccettabile.
In particolare, è fatto divieto di immettere sul mercato e utilizzare:
I sistemi di AI ad alto rischio, individuati all’art. 6 dell’AI Act, sono quei sistemi che possono porre rischi significativi per la salute e la sicurezza, per i diritti fondamentali delle persone, la democrazia, lo Stato di diritto e le libertà individuali.
Consistono nello specifico in:
L’AI Act prevede che i sistemi di AI ad alto rischio siano soggetti a una serie di specifici requisiti e obblighi per accedere al mercato dell’UE, tra i quali:
L’AI Act prevedere inoltre che i sistemi di Artificial Intelligence debbano essere sottoposti a una procedura di valutazione della conformità ex ante. Si tratta di un processo strutturato di verifica normativa e tecnica che coinvolge sia i produttori che, eventualmente enti terzi di controllo, con l’obiettivo di evitare, tramite una sorta di filtro preventivo, che sistemi potenzialmente pericoloso o discriminatori vengano immessi sul mercato europeo senza adeguate garanzie.
Inoltre, poiché i sistemi di AI sono sviluppati e distribuiti attraverso catene del valore complesse, la normativa chiarisce l’assegnazione delle responsabilità e i ruoli dei vari attori coinvolti in tali catene, con particolare attenzione alle ipotesi in cui un operatore apponga il proprio nome o marchio su un sistema AI ad alto rischio già immesso sul mercato, vi apporti una modifica sostanziale o ne modifichi le finalità.
La produzione e l’utilizzo di sistemi di AI che presentano solo un rischio limitato saranno soggetti a meri obblighi di trasparenza. Nello specifico, l’art. 50 dell’AI Act reca determinati obblighi di trasparenza che si applicano ai sistemi:
In questi casi l’utente dovrà essere informato di stare interagendo con una IA, o che un determinato contenuto è stato generato da una IA (si pensi, ad esempio, ai contenuti deepfake, che dovranno essere marcati come tali). L’obiettivo è consentire all’utente di interagire con la tecnologia in modo consapevole e di assumere decisioni informate.
Tutti i sistemi di Intelligenza Artificiale non rientrati tra le pratiche vietate, tra i sistemi ad alto rischio e tra quelli a rischio limitato di cui all’art. 50 dell’AI Act, sono da qualificarsi come a rischio minimo o nullo. Quest’ultima categoria, di carattere residuale, comprende sistemi e applicazioni non soggetti a obblighi specifici sanciti dalla nuova normativa, ma subordinati al rispetto della legislazione europea generale. Alcuni esempi includono:
Pur non richiedendo regolamentazione specifica, restano applicabili GDPR, normative sui consumatori e altre legislazioni settoriali pertinenti.
L’AI Act introduce un regime normativo specifico e articolato per i fornitori di modelli di Intelligenza Artificiale per finalità generali, come GPT, Claude o Llama, vale a dire quei modelli che sono in grado di svolgere un’ampia gamma di compiti distinti e che possono essere integrati in molteplici applicazioni a valle. I fornitori di modelli di AI per finalità generali sono tenuti a:
Il Regolamento prevede, poi, obblighi aggiuntivi e più stringenti per i modelli considerati “a rischio sistemico”, intendendosi per tali i modelli che:
Inoltre, la nuova normariva presume che un modello di IA per finalità generali abbia capacità di impatto elevato e, quindi, rientri nei modelli a rischio sistemico, quando la quantità cumulativa di calcolo utilizzata per il suo addestramento misurata in operazioni in virgola mobile è superiore a 10^25.
Per i modelli a rischio sistemico, i fornitori dovranno:
Per garantire l’applicazione dell’AI Act, è stata istituito una struttura di governance su più livelli:
Guardando gli adempimenti previsti dall’AI Act, dai dati di Ricerca dell’Osservatorio Artificial Intelligence emerge che in Italia oltre un’azienda su due ha avviato iniziative di alfabetizzazione. Nonostante ciò, solo il 15% ha un progetto strutturato e integrato con altre normative applicabili (ad esempio per la protezione dei dati o per applicazioni specifiche della propria industry).
L’AI Act prevede diverse misure a sostegno dell’innovazione, con un’attenzione particolare a creare un ambiente normativo armonizzato che favorisca lo sviluppo responsabile e competitivo dell’Intelligenza Artificiale in Europa. Tra queste misure, la più importante è certamente costituita dalle cc.dd. “regulatory sanboxes”. Si tratta di spazi di sperimentazione normativa controllati, istituiti dalle autorità competenti, in cui fornitori e potenziali fornitori di sistemi di IA possono sviluppare, addestrare, testare e convalidare sistemi di IA innovativi, anche in condizioni reali, sotto supervisione normativa.
Il sistema di sanzioni è basato su una percentuale del fatturato annuo globale nell’esercizio finanziario precedente della società che ha commesso la violazione o, se superiore, su un importo predeterminato:
Sono previste sanzioni più proporzionate per PMI e startup in caso di violazione delle disposizioni dell’AI Act.
Nell’ambito della regolamentazione dell’AI, con l’AI Act l’Unione europea si pone come un ente all’avanguardia e attivo. Tuttavia, per mantenere tale vantaggio sarà fondamentale per l’UE aggiornare questi regolamenti coerentemente allo stato dell’arte e allo sviluppo della tecnologia. L’IA è cresciuta raggiungendo valori record negli ultimi anni. Una legislazione aggiornata ed efficace consentirà di impedire gli usi ad altissimo rischio e, in generale, di sviluppare un approccio risk-based.
Allo stesso tempo, però, le regolamentazioni dovrebbero anche cercare di evitare di normare in modo eccessivo le progettualità meno critiche. L’obiettivo finale è infatti quello di giungere a un corretto equilibrio tra regolamentazione e un’economia florida. Diversamente da quanto avvenuto rispetto al passato (come nel caso del Cloud), il confronto dell’UE con i vari player del settore dell’AI fa ben sperare che in futuro si possa raggiungere tale obiettivo.
Contenuti suggeriti dell’Osservatorio Artificial Intelligence
