L’intelligenza artificiale nelle imprese: rischi giuridici e obblighi fondamentali

Le organizzazioni molto spesso introducono l’intelligenza artificiale in due modi: procurandosi deliberatamente un sistema di intelligenza artificiale dedicato o attraverso la graduale aggiunta di funzioni di intelligenza artificiale a strumenti già in uso, come suite per ufficio, sistemi di gestione dei documenti, piattaforme di videoconferenza, sistemi di monitoraggio, software di contabilità o strumenti di assistenza clienti.

Allo stesso tempo, i dipendenti possono utilizzare in modo indipendente strumenti generativi disponibili al pubblico per comporre testi, riassumere documenti, tradurre, analizzare dati o creare codice di programma. Tale utilizzo può accelerare il lavoro, ma espone anche l'organizzazione a rischi se nello strumento vengono introdotti dati personali, segreti commerciali, documentazione riservata o contenuti protetti dai diritti di terzi.

La valutazione iniziale dovrebbe pertanto riguardare sistemi, licenze e fornitori, nonché pratiche di lavoro effettive. Ciò consente di determinare quali usi dovrebbero essere consentiti, limitati, soggetti a ulteriore revisione o disciplinati da procedure specifiche.

Il regolamento europeo sull’intelligenza artificiale distingue le pratiche vietate, i sistemi di IA ad alto rischio, i sistemi soggetti a specifici obblighi di trasparenza e gli altri usi con un onere normativo inferiore. La classificazione dipende dalla finalità prevista del sistema e dalle concrete circostanze d’uso, non soltanto dal nome commerciale o dalla descrizione generale del prodotto.

Le norme si applicano in fasi successive. Gli obblighi di alfabetizzazione in materia di IA e la maggior parte dei divieti originari si applicano dal 2 febbraio 2025, mentre la maggior parte delle altre disposizioni si applica dal 2 agosto 2026. A seguito delle modifiche del luglio 2026, i requisiti e gli obblighi relativi ai sistemi di IA ad alto rischio di cui all’allegato III si applicano dal 2 dicembre 2027; per i sistemi ad alto rischio connessi ai prodotti di cui all’allegato I si applicano dal 2 agosto 2028. Per alcuni nuovi divieti e obblighi di marcatura valgono termini transitori specifici, tra cui il 2 dicembre 2026. La data applicabile va verificata in base al tipo di sistema e al ruolo dell’organizzazione.

Il ruolo dell'organizzazione

Un’organizzazione può essere il deployer di un sistema, ma in determinate circostanze può assumere anche gli obblighi del fornitore. Ciò può avvenire quando immette il sistema sul mercato con il proprio nome, lo modifica in modo sostanziale o ne cambia la finalità prevista.

Prima dell'implementazione, l'organizzazione dovrebbe determinare lo scopo del sistema, le persone interessate, i dati trattati, il suo ruolo nel processo decisionale e le rispettive posizioni legali dell'organizzazione e del fornitore. La dichiarazione di conformità di un fornitore è solo un elemento della valutazione.

Gli strumenti generativi possono comporre testo, immagini, suoni, codice di programmazione e altri contenuti. I loro risultati potrebbero contenere imprecisioni, fatti inventati, pregiudizi o porzioni di contenuto che assomigliano a opere protette. Il risultato viene quindi controllato prima dell'uso nella comunicazione legale, commerciale o pubblica.

I dati riservati e personali vengono inseriti solo in strumenti approvati, con impostazioni di trattamento note e il quadro contrattuale appropriato. In particolare occorre verificare se il fornitore utilizza i dati inseriti per l'addestramento del modello, per quanto tempo vengono archiviati, dove vengono elaborati, chi vi accede e come vengono cancellati.

Quando vengono trattati dati personali, le norme sulla protezione dei dati si applicano indipendentemente dalla classificazione del sistema ai sensi dell’AI Act. Occorre determinare finalità e base giuridica del trattamento, categorie e quantità dei dati, periodo di conservazione, diritti degli interessati, misure di sicurezza ed eventuali trasferimenti al di fuori dello Spazio economico europeo.

È necessaria particolare attenzione quando un sistema di IA valuta, classifica o profila persone oppure incide sull’occupazione, sull’accesso all’istruzione, al credito, alle assicurazioni, ai servizi pubblici o sull’esercizio di diritti. Oltre all’AI Act possono applicarsi le norme sulla protezione dei dati, sul lavoro, sulla parità di trattamento, sul procedimento amministrativo e sulla tutela dei consumatori.

Per le decisioni che producono effetti legali o comparabilmente significativi, dovrebbe essere determinato il ruolo reale dell’automazione e la possibilità dell’intervento umano. La sorveglianza umana ha senso quando la persona responsabile comprende i limiti del sistema, può verificare i dati rilevanti e modificare o interrompere il risultato con motivazione.

Alcuni sistemi devono informare le persone che stanno interagendo con l’intelligenza artificiale, mentre obblighi di etichettatura possono applicarsi a contenuti sintetici o manipolati. L'obbligo preciso dipende dal tipo di sistema e di contenuto, dal metodo di pubblicazione e dal ruolo dell'organizzazione.

La maggior parte delle organizzazioni acquisisce un sistema di intelligenza artificiale come servizio o come parte di una soluzione informativa più ampia. Prima di stipulare un contratto, dovrebbero ottenere una chiara descrizione del suo scopo e dei suoi limiti, delle fonti e dei flussi di dati, delle misure di sicurezza, dei subappaltatori, dei meccanismi di controllo e della documentazione necessaria per adempiere ai propri obblighi.

L'accordo disciplina gli usi consentiti, i livelli di servizio, la riservatezza, il trattamento e la conservazione dei dati, i diritti di proprietà intellettuale, la segnalazione degli incidenti, la cooperazione nella sorveglianza, le modifiche al sistema, i diritti di audit, la responsabilità e la restituzione o cancellazione dei dati al termine del servizio.

Le responsabilità si distribuiscono tra fornitore e deployer in base ai ruoli effettivamente assunti. L’organizzazione resta responsabile della finalità prescelta, dei dati, delle persone autorizzate all’uso e del modo in cui il sistema viene integrato nel processo aziendale.

La documentazione dovrebbe riflettere le procedure effettive. Un registro senza un proprietario assegnato, una regola senza un processo di approvazione o una formazione senza istruzioni chiare hanno un valore limitato. In pratica, i dipendenti dovrebbero sapere quali strumenti possono utilizzare, quali dati possono inserire, quando è necessaria un’ulteriore revisione e a chi segnalare un problema.

• registrazioni dei sistemi di intelligenza artificiale, dei loro scopi, dei fornitori, degli utenti e dei dati chiave
• regole di utilizzo consentito e limitato, in particolare per gli strumenti generativi
• procedura di verifica e approvazione di un nuovo sistema o di modifiche significative ad un sistema esistente
• responsabilità chiaramente definite per gli appalti, la valutazione giuridica, la sicurezza informatica, la protezione dei dati e l’uso aziendale
• regole di sorveglianza umana, controllo dei risultati e informazione delle persone interessate dal sistema
• procedura per segnalare un errore, un incidente, un risultato errato o il sospetto di un utilizzo non autorizzato
• formazione adattata al ruolo dei dipendenti e ai rischi degli strumenti che effettivamente utilizzano
• verifica periodica dei fornitori, delle impostazioni, degli usi e delle modifiche normative

Una valutazione giuridica, organizzativa e tecnica più dettagliata è particolarmente importante quando il sistema tratta insiemi sensibili o estesi di dati personali, dati biometrici, monitora il comportamento, profila gli individui o partecipa alla decisione sui loro diritti e possibilità.

Situazioni che richiedono ulteriore revisione

La comparsa di uno di questi elementi è un segnale per un'analisi più approfondita. La classificazione finale e le misure necessarie dipendono dalla funzione effettiva del sistema, dai dati, dall'effetto giuridico e dal contesto di utilizzo.

• sistemi relativi all’occupazione, alla valutazione delle prestazioni o alla cessazione del rapporto di lavoro
• identificazione biometrica, categorizzazione delle persone o analisi avanzate di videosorveglianza
• sistemi che influenzano l’accesso ai servizi pubblici, all’istruzione, al credito, alle assicurazioni o ad altri diritti importanti
• processo decisionale automatizzato con effetti significativi legali o comparabili
• formazione o adeguamento del modello sui dati interni, riservati o personali dell'organizzazione
• pubblicazione pubblica di contenuti sintetici e sistemi che interagiscono direttamente con gli utenti
• collegare i sistemi di intelligenza artificiale con processi chiave aziendali, di sicurezza o infrastrutturali
• trasferimento dei dati verso soggetti terzi o verso paesi esterni allo Spazio Economico Europeo