Premessa

L’interesse per l’intelligenza artificiale (IA) è significativamente aumentato negli ultimi anni, accompagnato da evoluzioni tecnologiche sempre più veloci che rafforzano l’idea di una innovazione destinata a far parte delle nostre vite.

Secondo una ricerca del Politecnico di Milano solo in Italia gli investimenti in intelligenza artificiale nel 2023 sono stati pari a 760 milioni di Euro (destinati a superare il miliardo di Euro nel 2024) in un mercato che a livello mondiale è stimato in 200 miliardi di Euro nel 2024.

Il tema non è sfuggito all’attenzione delle Istituzioni e nella Gazzetta Ufficiale dell’Unione Europea del 12 luglio 2024 è stato pubblicato l’AI Act - ovvero il Regolamento (UE) 2024/1689 del 13 giugno 2024 - che stabilisce regole armonizzate sull’intelligenza artificiale.

Contesto

Il Regolamento si propone di agevolare la protezione delle persone fisiche, delle imprese, della democrazia e dello Stato di diritto e la protezione dell'ambiente, promuovendo nel contempo l'innovazione e l'occupazione, rendendo l'Unione Europea un leader nell'adozione di un'IA affidabile. Ciò perché i sistemi di IA possono essere facilmente impiegati in un'ampia gamma di settori dell'economia e in molte parti della società, anche a livello transfrontaliero, e possono facilmente circolare in tutta l'Unione.

L'IA consiste infatti in una famiglia di tecnologie in rapida evoluzione che contribuisce al conseguimento di un'ampia gamma di benefici a livello economico, ambientale e sociale nell'intero spettro delle attività industriali e sociali ma può, nel contempo, a seconda delle circostanze relative alla sua applicazione ed al suo utilizzo, comportare rischi e pregiudicare gli interessi pubblici e i diritti fondamentali tutelati dal diritto dell'Unione.

E’ chiara la volontà di sostenere nuove soluzioni innovative e consentire la formazione di un ecosistema europeo di attori pubblici e privati che creino sistemi di IA in linea con i valori dell'Unione e sblocchino il potenziale della trasformazione digitale in tutte le regioni dell'Unione. Tale trasformazione può avvenire stabilendo regole nonché misure a sostegno dell'innovazione, con particolare attenzione alle piccole e medie imprese (PMI), comprese le start-up.

Elemento chiave è la nozione di «deployer» inteso come qualsiasi persona fisica o giuridica, compresi un'autorità pubblica, un'agenzia o altro organismo, che utilizza un sistema di IA sotto la propria autorità, salvo nel caso in cui il sistema di IA sia utilizzato nel corso di un'attività personale non professionale. È altresì opportuno ricordare che il Regolamento si applica alle istituzioni, agli organi e agli organismi dell'Unione quando agiscono in qualità di fornitori o “deployer” di un sistema di IA.

Al fine di introdurre un insieme proporzionato ed efficace di regole vincolanti per i sistemi di IA è infine opportuno avvalersi di un approccio basato sul rischio definito in modo chiaro.

Obiettivi

Lo scopo del Regolamento è migliorare il funzionamento del mercato interno e promuovere la diffusione di un'intelligenza artificiale (IA) antropocentrica e affidabile, nel rispetto della privacy e dell’ambiente: in particolare, il Regolamento stabilisce:

• regole armonizzate per l'immissione sul mercato, la messa in servizio e l'uso dei sistemi di IA nell'Unione;
• divieti di talune pratiche di IA;
• requisiti specifici per i sistemi di IA ad alto rischio e obblighi per gli operatori di tali sistemi;
• regole di trasparenza armonizzate per determinati sistemi di IA;
• regole armonizzate per l'immissione sul mercato di modelli di IA per finalità generali;
• regole in materia di monitoraggio del mercato, vigilanza del mercato, governance ed esecuzione;
• misure a sostegno dell'innovazione, con particolare attenzione alle PMI, comprese le start-up.

Ambito di applicazione

Il Regolamento si applica:

• ai fornitori che immettono sul mercato o mettono in servizio sistemi di IA o immettono sul mercato modelli di IA per finalità generali nell'Unione, indipendentemente dal fatto che siano stabiliti o ubicati nell'Unione o in un paese terzo;

• ai deployer dei sistemi di IA che hanno il loro luogo di stabilimento o sono situati all'interno dell'Unione;

• ai fornitori e ai deployer di sistemi di IA che hanno il loro luogo di stabilimento o sono situati in un paese terzo, laddove l'output prodotto dal sistema di IA sia utilizzato nell'Unione;

• agli importatori e ai distributori di sistemi di IA;

• ai fabbricanti di prodotti che immettono sul mercato o mettono in servizio un sistema di IA insieme al loro prodotto e con il loro nome o marchio;

• ai rappresentanti autorizzati di fornitori, non stabiliti nell'Unione;

• alle persone interessate che si trovano nell'Unione.

Definizioni

Oltre alla definizione di “deployer” soprariportata, l’AI Act riporta le seguenti ulteriori principali definizioni; in particolare:

• “sistema di IA”: un sistema automatizzato progettato per funzionare con livelli di autonomia variabili e che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali;

• “rischio”: la combinazione della probabilità del verificarsi di un danno e la gravità del danno stesso;

• “fornitore”: una persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali o che fa sviluppare un sistema di IA o un modello di IA per finalità generali e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuito.

Pratiche di IA vietate

Sono vietate le pratiche di IA seguenti:

• l'immissione sul mercato, la messa in servizio o l'uso di un sistema di IA che utilizza tecniche subliminali che agiscono senza che una persona ne sia consapevole o tecniche volutamente manipolative o ingannevoli aventi lo scopo o l'effetto di distorcere materialmente il comportamento di una persona o di un gruppo di persone, pregiudicando in modo considerevole la loro capacità di prendere una decisione informata;

• l'immissione sul mercato, la messa in servizio o l'uso di un sistema di IA che sfrutta le vulnerabilità di una persona fisica o di uno specifico gruppo di persone, dovute all'età, alla disabilità o a una specifica situazione sociale o economica, con l'obiettivo o l'effetto di distorcerne materialmente il comportamento;

• l'immissione sul mercato, la messa in servizio o l'uso di sistemi di IA per la valutazione o la classificazione delle persone fisiche o di gruppi di persone per un determinato periodo di tempo sulla base del loro comportamento sociale o di caratteristiche personali o della personalità;

• l'immissione sul mercato, la messa in servizio per tale finalità specifica o l'uso di un sistema di IA per effettuare valutazioni del rischio relative a persone fisiche al fine di valutare o prevedere il rischio che una persona fisica commetta un reato, unicamente sulla base della profilazione di una persona fisica o della valutazione dei tratti e delle caratteristiche della personalità, a meno che non si tratti di sistemi di IA utilizzati a sostegno della valutazione umana del coinvolgimento di una persona in un'attività criminosa;

• l'immissione sul mercato, la messa in servizio per tale finalità specifica o l'uso di sistemi di IA che creano o ampliano le banche dati di riconoscimento facciale mediante scraping non mirato di immagini facciali da internet o da filmati di telecamere a circuito chiuso;

• l'immissione sul mercato, la messa in servizio per tale finalità specifica o l'uso di sistemi di IA per inferire le emozioni di una persona fisica nell'ambito del luogo di lavoro e degli istituti di istruzione, tranne laddove l'uso del sistema di IA sia destinato a essere messo in funzione o immesso sul mercato per motivi medici o di sicurezza;

• l'immissione sul mercato, la messa in servizio per tale finalità specifica o l'uso di sistemi di categorizzazione biometrica che classificano individualmente le persone fisiche sulla base dei loro dati biometrici per trarre deduzioni o inferenze in merito a razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o filosofiche, vita sessuale o orientamento sessuale;

• l'uso di sistemi di identificazione biometrica remota «in tempo reale» in spazi accessibili al pubblico a fini di attività di contrasto a meno che, e nella misura in cui, tale uso sia strettamente necessario per uno degli obiettivi seguenti:

• • la ricerca mirata di specifiche vittime di sottrazione, tratta di esseri umani o sfruttamento sessuale di esseri umani, nonché la ricerca di persone scomparse;
  • la prevenzione di una minaccia specifica, sostanziale e imminente per la vita o l'incolumità fisica delle persone fisiche o di una minaccia reale e attuale o reale e prevedibile di un attacco terroristico;
  • la localizzazione o l'identificazione di una persona sospettata di aver commesso un reato, ai fini dello svolgimento di un'indagine penale, o dell'esercizio di un'azione penale o dell'esecuzione di una sanzione penale.

Sistemi di IA ad alto rischio

Un sistema di IA è considerato ad alto rischio se si verificano entrambe le condizioni:

a) il sistema di IA è destinato a essere utilizzato come componente di sicurezza di un prodotto, o il sistema di IA è esso stesso un prodotto;

b) il prodotto, il cui componente di sicurezza a norma della lettera a) è il sistema di IA, o il sistema di IA stesso in quanto prodotto, è soggetto a una valutazione della conformità da parte di terzi ai fini dell’immissione sul mercato o della messa in servizio di tale prodotto.

D’altro canto, un sistema di IA non è considerato ad alto rischio se non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche, anche nel senso di non influenzare materialmente il risultato del processo decisionale.

In ogni caso prima che un sistema di intelligenza artificiale ad alto rischio venga utilizzato da alcuni enti che forniscono servizi pubblici, dovrà in ogni caso essere valutato l’impatto sui diritti fondamentali.

Sistema di gestione dei rischi

In relazione ai sistemi di IA ad alto rischio deve essere istituito, attuato, documentato e mantenuto un sistema di gestione dei rischi. Tale sistema è inteso come un processo iterativo continuo pianificato ed eseguito nel corso dell'intero ciclo di vita di un sistema di IA ad alto rischio, che richiede un riesame e un aggiornamento costanti e sistematici. Esso comprende le fasi seguenti:

• identificazione e analisi dei rischi noti e ragionevolmente prevedibili che il sistema di IA ad alto rischio può porre per la salute, la sicurezza e i diritti fondamentali quando il sistema di IA ad alto rischio è utilizzato conformemente alla sua finalità prevista;

• stima e valutazione dei rischi che possono emergere quando il sistema di IA ad alto rischio è usato conformemente alla sua finalità prevista e in condizioni di uso improprio ragionevolmente prevedibile;

• valutazione di altri eventuali rischi derivanti dall'analisi dei dati raccolti dal sistema di monitoraggio successivo all'immissione sul mercato;

• adozione di misure di gestione dei rischi opportune e mirate intese ad affrontare i rischi individuati.

Obblighi dei Deployer

I deployer di sistemi di IA ad alto rischio:

• adottano idonee misure tecniche e organizzative per garantire di utilizzare tali sistemi conformemente alle istruzioni per l’uso che accompagnano i sistemi;

• affidano la sorveglianza umana a persone fisiche che dispongono della competenza, della formazione e dell’autorità necessarie nonché del sostegno necessario;

• monitorano il funzionamento del sistema di IA ad alto rischio sulla base delle istruzioni per l’uso;

• qualora abbiano individuato un incidente grave, i deployer ne informano immediatamente anche il fornitore, in primo luogo, e successivamente l'importatore o il distributore e le pertinenti autorità di vigilanza del mercato;

• conservano i log generati automaticamente da tale sistema di IA ad alto rischio, nella misura in cui tali log sono sotto il loro controllo, per un periodo adeguato alla prevista finalità del sistema di IA ad alto rischio, di almeno sei mesi, salvo diversamente disposto dal diritto dell'Unione o nazionale applicabile, in particolare dal diritto dell'Unione in materia di protezione dei dati personali;

• se sono istituti finanziari soggetti a requisiti in materia di governance, di dispositivi o di processi interni stabiliti a norma del diritto dell'Unione in materia di servizi finanziari conservano i log come parte della documentazione conservata a norma del pertinente diritto dell'Unione in materia di servizi finanziari.

Governance

Al fine di assicurare un’applicazione adeguata, sono stati istituiti diversi organi di governo:

• un ufficio per l’IA all’interno della Commissione Europea per far rispettare le regole comuni in tutta l’Unione Europea;

• un consiglio per l'IA europeo, composto di un rappresentante per Stato membro designato come punto di contatto unico, in cui il Garante europeo della protezione dei dati partecipa come osservatore;

• un gruppo scientifico di esperti indipendenti per sostenere le attività di esecuzione a norma del Regolamento;

• un comitato per l’IA per assistere la Commissione nell’applicazione dell’AI Act;

• un forum consultivo per fornire consulenza e competenze tecniche al consiglio per l'IA e alla Commissione, nonché per contribuire ai loro compiti a norma del Regolamento.

Infine, ciascuno Stato membro istituisce o designa, come autorità nazionali competenti ai fini del Regolamento, almeno un'autorità di notifica e almeno un'autorità di vigilanza del mercato.

Sanzioni

Gli Stati membri stabiliscono le norme relative alle sanzioni e alle altre misure di esecuzione, che possono includere anche avvertimenti e misure non pecuniarie, applicabili in caso di violazione del Regolamento da parte degli operatori; le sanzioni previste sono effettive e proporzionate. Tali sanzioni tengono conto degli interessi delle PMI, comprese le start-up, e della loro sostenibilità economica.

A titolo esemplificativo, la non conformità al divieto delle pratiche di IA è soggetta a sanzioni amministrative pecuniarie fino a 35 milioni di Euro o, se l'autore del reato è un'impresa, fino al 7% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore.

Entrata in vigore e applicazione

Il Regolamento è entrato in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea e si applicherà a decorrere dal 2 agosto 2026.

Tuttavia:

• I capi I e II (disposizioni generali e pratiche di IA vietate) si applicano a decorrere dal 2 febbraio 2025;

• Il capo III, sezione 4 (Autorità di notifica e organismi notificati), il capo V (Modelli di IA per finalità generali), il capo VII (Governance), il capo XII (Sanzioni) e l’art. 78 (Riservatezza dei dati trattati) si applicano a decorrere dal 2 agosto 2025, ad eccezione dell’art. 101 (Sanzioni pecuniarie per i fornitori di modelli di IA per finalità generali);

• L’art. 6, paragrafo 1 (Regole di classificazione per i sistemi di IA ad alto rischio), e i corrispondenti obblighi di cui al Regolamento, si applicano a decorrere dal 2 agosto 2027

Il Regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Conclusioni

L’attuale ritmo del progresso nel campo dell’intelligenza artificiale – generativa e non – rende per nulla semplice prevedere come influenzerà le Aziende e la società nel suo complesso ma sicuramente avrà un impatto su componenti chiave della crescita come capitale, lavoro e produttività.

In questo contesto, anche se l’Unione Europea è sicuramente indietro nello sviluppo dell’IA rispetto a Stati Uniti e Cina, con l’AI Act avvia un processo di adozione di una regolamentazione nel settore, destinato ad essere la base per altri atti normativi nazionali ed internazionali.

Il principio guida fondante sarà rappresentato dal fatto che i sistemi di intelligenza artificiale non potranno muovere e svilupparsi in un contesto non regolamentato, anche al fine di arrivare ad una competitività responsabile ed assicurare un elevato livello di protezione dei diritti umani.