Il 2 agosto è la data di entrata in vigore dell‘obbligo di trasparenza previsto dall’AI Act per chi utilizza un sistema di AI sotto la propria autorità.
Cosa significa tutto questo? Che qualsiasi azienda che integra modelli linguistici, sistemi di scoring, o strumenti di analisi automatizzata nei propri processi, dovrà essere in grado di dimostrare che ogni uso dell’AI è governato, tracciato, protetto. Trasparente. Un requisito non opzionale ma necessario per continuare ad essere un “deployer” europeo di AI (una realtà che non sviluppa un modello in proprio ma che lo utilizza in modo consapevole) senza incorrere in sanzioni.
Utilizzi chatbot per dialogare con i clienti? Sei una banca, un’assicurazione, un soggetto pubblico che dialoga con i cittadini? Gli utenti devono avere la massima trasparenza rispetto alla “macchina” che dialoga con loro e le organizzazioni devono redigere una valutazione di impatto della propria AI.
Facciamo un passo indietro, a quanto già entrato in vigore dell’AI Act (Regolamento UE 2024/1689) che rimane ad oggi l’unico impianto normativo per l’utilizzo dell’AI in Europa e che andrà a regime completamente fra un anno, il 2 agosto 2027.
Primo passo, febbraio 2025: in vigore il divieto delle pratiche AI inaccettabili (art. 5) e obbligo di alfabetizzazione AI del personale (art. 4).
Secondo passo, un anno fa, 2 agosto 2025: in vigore le regole sui modelli di uso generale (Gpai), le linee di governance europea e la designazione delle autorità nazionali preposte al controllo della normativa. In Italia, il compito spetta all’Agenzia per la Cybersicurezza Nazionale con AgID come autorità di notifica (legge 132/2025).
Terzo passo, fra due settimane, 2 agosto 2026: l’AI Act entra nella fase operativa, in vigore l’obbligo di trasparenza sull’AI utilizzata nei sistemi ad alto rischio (art.26) con sanzioni per chi lo infrange.
Chi non garantisce questa trasparenza può essere sanzionato: fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate, fino a 15 milioni o il 3% del fatturato per la violazione degli altri obblighi. Basta un contenzioso con un dipendente, un reclamo da un cliente, per essere nella condizione di dover mostrare le prove del proprio operato.
Ogni azienda dovrà quindi garantire che sta usando l’AI in modo diligente, conforme alla normativa.
In che modo?
Censendo ogni sistema AI in uso al proprio interno (anche quelli che non sono mai stati autorizzati e che vedono dilagare il fenomeno della shadow AI). Classificando i livelli di rischio rispetto a quanto stabilito dall’AI Act. Verificando di avere definito chi sorveglia l’utilizzo dell’AI al proprio interno, di avere svolto la formazione necessaria per i dipendenti (un obbligo già in vigore da 18 mesi) e di aver definito gli strumenti da utilizzare. Verificando di avere i log immutabili delle registrazioni attivate (unico modo per dimostrare la conformità) e documentando tutto l’operato in un fascicolo che si possa consegnare in caso di controllo o contenzioso.
Non significa che dal 2 agosto non si potrà più usare l’AI per migliorare processi e business, ma che bisognerà farlo nell’unico modo corretto che l’Unione europea predispone. Per la realizzazione dei contenuti con l’AI, la Commissione europea aveva poche settimane fa pubblicato un Codice di buone pratiche per fornire indicazioni operative a fornitori e distributori di sistemi di intelligenza artificiale generativa. Tutti elementi che stanno allineandosi su agosto.
Poi, fra un anno, l’ultimo passaggio. Il 2 agosto 2027, la trasparenza sarà estesa anche ai sistemi ad alto rischio integrati in prodotti già regolamentati.
© RIPRODUZIONE RISERVATA
