FAQ Intelligenza Artificiale

L’AI Act, il Regolamento UE 2024/1689, è la prima legge al mondo che regolamenta l’intelligenza artificiale in modo completo. La timeline: entrata in vigore ad agosto 2024, divieti per i sistemi AI vietati da febbraio 2025, obblighi per i sistemi ad alto rischio da agosto 2025, piena applicazione per tutti i sistemi ad agosto 2026. Le quattro categorie sono: AI vietate (manipolazione subliminale, scoring sociale), AI ad alto rischio (sanità, trasporti, giustizia), AI generative (obblighi di trasparenza) e AI a rischio limitato (requisiti minimi). Le sanzioni possono arrivare fino a 35 milioni di euro o al 7% del fatturato annuo globale.

Qualsiasi azienda che sviluppa, importa, distribuisce o utilizza sistemi AI nell’Unione Europea deve valutare la propria conformità. L’auto-valutazione segue quattro passi: identificare i sistemi AI — software che genera output come previsioni, raccomandazioni o decisioni — classificarne il rischio secondo l’Allegato III, verificare gli obblighi specifici per categoria e documentare tutto con registri dettagliati. I settori più impattati sono sanità, servizi finanziari, recruiting, law enforcement, trasporti ed educazione. Data la complessità normativa, un audit legale professionale può identificare i rischi nascosti e ottimizzare la strategia di compliance.

I sistemi di AI generativa hanno obblighi specifici, sia per i fornitori sia per gli utilizzatori. I fornitori di modelli fondazionali devono produrre documentazione tecnica — architettura, dati di training, capacità — informazioni sul copyright, una sintesi dei dataset di training e sistemi di gestione del rischio e del bias. Gli utilizzatori professionali devono informare che i contenuti sono generati da AI, mantenere la supervisione umana, verificare l’accuratezza degli output e monitorare e correggere le discriminazioni. Le sanzioni: fino a 15 milioni di euro o il 3% del fatturato per la mancata trasparenza, fino a 7,5 milioni o l’1,5% per la violazione degli obblighi documentali.

La responsabilità segue una catena che può coinvolgere più parti: l’utilizzatore finale, per l’uso e la supervisione; il deployer, per la configurazione e il monitoraggio; il fornitore del sistema, per difetti di progettazione o training; il fornitore dei dati, per qualità e bias nei dataset. I principi chiave: chi mantiene la supervisione è sempre responsabile, la responsabilità è maggiore per i danni prevedibili, esiste un obbligo di due diligence sull’affidabilità del sistema. Per proteggersi: documentare la due diligence, implementare un monitoraggio continuo, mantenere una supervisione umana significativa, stipulare assicurazioni specifiche per i rischi AI e inserire clausole di responsabilità nei contratti con i fornitori.

Sì, nella maggior parte dei casi l’utilizzatore mantiene la responsabilità finale per gli output dell’AI. Chi decide di usare l’output ne è responsabile, esiste un obbligo di supervisione umana e di verifica, e la responsabilità è proporzionale al rischio del settore. La responsabilità può essere ridotta solo in caso di malfunzionamenti imprevedibili, ma serve la prova di una due diligence completa. Le best practice: processi human-in-the-loop, documentazione delle verifiche, uso dell’AI come supporto decisionale e non come sostituzione, formazione del team sui limiti dello strumento.

La gestione del bias algoritmico è un obbligo legale crescente. Il framework di gestione si articola in cinque fasi: un assessment iniziale con l’audit dei dati di training e degli algoritmi, un monitoraggio continuo con test periodici sui gruppi protetti, una mitigazione proattiva con tecniche di debiasing, la documentazione delle misure adottate e una revisione periodica. Le autorità europee hanno già avviato procedimenti per discriminazione algoritmica nel credit scoring e nel recruitment. Sul piano normativo rilevano l’art. 22 del GDPR, sul diritto a non essere sottoposti a decisioni automatizzate, e i requisiti dell’AI Act per i sistemi ad alto rischio.

È una delle questioni legali più controverse. Negli Stati Uniti sono in corso class action contro diversi sviluppatori di AI; nell’Unione Europea il dibattito è aperto tra eccezione per il text and data mining e violazione del copyright; nel Regno Unito esiste un’eccezione limitata. I criteri di valutazione sono la finalità — commerciale o di ricerca — la natura dell’opera, la quantità utilizzata e l’impatto economico sul mercato dell’opera originale. Le raccomandazioni: utilizzare dataset con licenze chiare, implementare sistemi di opt-out per i creatori, documentare tutte le fonti, consultare esperti legali prima del training e monitorare le evoluzioni legislative.

Dipende dalla giurisdizione. Negli Stati Uniti la tendenza è verso l’assenza di copyright per gli output puramente AI; nel Regno Unito il diritto può spettare a chi organizza la creazione; nell’Unione Europea è richiesto un intervento creativo umano per la protezione. I fattori determinanti sono il livello di controllo creativo umano, l’originalità dell’output, la specificità del prompt e il post-processing. Maggiore è l’intervento umano, maggiore è la probabilità di ottenere protezione. Le strategie: documentare il processo creativo, combinare l’output AI con elementi originali, registrare le opere composite e definire chiaramente i diritti nei contratti.

Serve un approccio proattivo su tre fronti. La due diligence sui fornitori: verificare i dati di training e le licenze, valutare le politiche di compliance, controllare le coperture assicurative per le violazioni di proprietà intellettuale. I controlli operativi: la review degli output per similarità con opere esistenti, strumenti di detection, una supervisione umana qualificata. Le clausole contrattuali: l’indennità del fornitore per le violazioni da training data, il diritto di audit, le limitazioni d’uso sugli output problematici e il diritto di recesso. La best practice emergente è implementare sistemi di copyright clearance per tutti gli output AI usati commercialmente.

I contratti AI richiedono clausole specifiche, oltre a quelle dei tradizionali accordi software. Le sezioni essenziali: le definizioni di AI, le performance metrics e le soglie di accuratezza, la disciplina dei training data, gli standard di bias e fairness, i livelli di explainability. Sul fronte della responsabilità: l’allocazione dei rischi per gli errori dell’AI, i limiti di responsabilità, le assicurazioni minime, l’indemnification per le violazioni IP. Sulla compliance: gli obblighi dell’AI Act per categoria di rischio, gli audit rights, la documentazione tecnica. E ancora la proprietà intellettuale di algoritmi, modelli e output, e la data protection in conformità al GDPR. Una clausola innovativa è la AI Evolution Clause, per gestire gli aggiornamenti del sistema nel tempo.

La struttura organizzativa prevede un AI Ethics Board multidisciplinare, un AI Officer come responsabile operativo, un Risk Committee per la valutazione continua dei rischi e un Technical Review Team. I processi: un AI Inventory con la mappatura completa dei sistemi, un Risk Assessment per ciascuno, un Approval Process per le nuove implementazioni, un monitoraggio continuo e cicli di revisione periodici. Le policy comprendono una AI Ethics Policy, un Risk Management Framework, la gestione dei fornitori e un Incident Response Plan. La documentazione include le Model Card per ogni sistema, un Algorithm Register centralizzato e i Decision Log. Un trend recente è l’integrazione della governance AI nei framework ESG.