Un sistema di intelligenza artificiale è definito come “un sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall’input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali” (art. 3 lett. 1 Reg.)

Tradotto in fattispecie concrete, la definizione porta a ricomprendere nell’ambito di applicazione del Regolamento una gamma ampissima di strumenti, dai più generali e noti (quali ChatGPT, Google Gemini, ecc.) a sistemi con finalità specifiche (es. bot di risposta automatica a quesiti dei clienti) a sistemi integrati all’interno di altri software (es. strumenti di calcolo basato sull’IA installato all’interno del programma gestionale aziendale).  

Come anticipato, dunque, il Regolamento non si rivolge solamente agli sviluppatori, ma prevede obblighi anche in capo ai “deployer”, ossia i soggetti che semplicemente utilizzano i sistemi di IA sviluppati da altri: di conseguenza, nel momento in cui impresa decide di integrare nelle proprie attività un sistema di intelligenza artificiale, dovrà verificare se lo stesso ricada nell’ambito di applicazione dell’AI ACT e conformarsi alle relative previsioni.

La prima categoria riguarda i sistemi di intelligenza artificiale che, presentando rischi inaccettabili per i diritti fondamentali, sicurezza e valori democratici, sono stati vietati all’interno dell’Unione Europea. Nell’elenco delle “pratiche di IA vietate” contenuto nell’art. 5 del Regolamento, diversi divieti possono potenzialmente riguardare sistemi adottabili delle imprese; tra questi vi rientrano quelli che:

• utilizzano tecniche subliminali aventi lo scopo o l’effetto di distorcere materialmente il comportamento di una persona o di un gruppo di persone;
• inferiscono le emozioni di una persona fisica nell’ambito del luogo di lavoro e degli istituti di istruzione (ad eccezione per motivi medici o di sicurezza);
• utilizzano sistemi di categorizzazione biometrica che deducono o inferiscono categorie sensibili (es. razza, opinioni politiche, credo, appartenenza sindacale, vita sessuale o orientamento sessuale);

Come anticipato, tali divieti sono già in vigore dal 02 febbraio 2025.

Il capo III del Regolamento individua i sistemi di IA definiti ad alto rischio e stabilisce gli obblighi ad esso connessi. Nelle prime tre sezioni del capo III, il Regolamento:

1. stabilisce quali sistemi di IA siano ad alto rischio;
2. prevede quali requisiti tecnici/organizzazioni siano obbligatori per tali sistemi;
3. stabilisce gli obblighi per i vari soggetti.

L’ultimo aspetto da considerare riguarda gli obblighi per gli operatori, distinti in base al ruolo adottato rispetto al sistema di IA.

Il Regolamento, oltre a specifici obblighi in capo agli sviluppatori, importatori e distributori, prevede in relazione ai sistemi di IA ad alto rischio anche obblighi in capo ai “deployer”, ossia i soggetti che “utilizzano un sistema di IA sotto la propria autorità”, ossia società, persone giuridiche, enti, ecc. che utilizzano i sistemi di IA. Tra questi obblighi vi sono:

1. garantire l’utilizzo del sistema conformemente alle istruzioni per l’uso;
2. affidare la sorveglianza umana a persone che possiedono la competenza, della formazione e dell’autorità necessarie nonché del sostegno necessario.
3. monitorare il funzionamento del sistema di IA ad alto rischio e in caso di incidente informare il fornitore o il distributore e la pertinente autorità di vigilanza del mercato;
4. conservano i log generati automaticamente da tale sistema di IA ad alto rischio per un periodo di minimo sei mesi;
5. quando il sistema IA prende o assiste decisioni su persone fisiche, informare gli interessati dell’uso del sistema;
6. prima di mettere in servizio o utilizzare un sistema di IA ad alto rischio sul luogo di lavoro, informare i rappresentanti dei lavoratori e i lavoratori interessati che saranno soggetti all’uso del sistema di IA ad alto rischio.

Un ulteriore obbligo è rappresentato dallo svolgimento della Fundamental Rights Impact Assessment (o FRIA), necessariaper valutare l’impatto del sistema di IA sui diritti fondamentali. L’art. 27 del Regolamento disciplina analiticamente i casi in cui è richiesta e i contenuti che deve presentare.

Considerata la diffusione crescente dei sistemi di intelligenza artificiale nelle organizzazioni e la varietà degli obblighi previsti, è fondamentale che le imprese inizino ad integrare le previsioni dell’AI Act all’interno dei propri modelli di compliance aziendale.

Il nuovo Regolamento richiede, infatti, una stretta collaborazione tra diverse funzioni aziendali (IT, risorse umane, amministrazione, ufficio legale, ecc.) con l’obiettivo di:

1. identificare i sistemi di IA utilizzati;
2. classificarli secondo il livello di rischio come indicato nel Regolamento;
3. verificare il rispetto degli obblighi previsti.

L’adeguamento alla nuova normativa richiede alle imprese di strutturare l’uso dei sistemi di intelligenza artificiale in modo trasparente, documentato e sicuro; occorre dunque integrare l’utilizzo dell’AI all’interno del sistema di gestione aziendale o, se presente, nel sistema di compliance, attraverso una revisione approfondita delle procedure interne, della documentazione privacy e dei regolamenti informatici.

Numerose sono infatti le interconnessioni con altre normative, in particolare con il d.lgs. 231/2001 sulla responsabilità degli enti e con il Regolamento (UE) 2016/679 (GDPR). Non a caso, l’art. 2 del Regolamento chiarisce che la nuova normativa lascia impregiudicati gli obblighi derivanti dal GDPR: ogni trattamento di dati personali tramite sistemi di IA dovrà quindi fondarsi su una delle basi giuridiche previste dall’art. 6 del GDPR.

Sul piano penale, si evidenzia infine che è attualmente in discussione al Parlamento italiano un Disegno di Legge sull’intelligenza artificiale che, in coordinamento con l’AI Act, introdurrà nuove fattispecie di reato e specifiche aggravanti per condotte illecite commesse mediante sistemi di IA.