L'AI Act europeo: cosa cambia per una piccola impresa

L'AI Act europeo è entrato in vigore il 1° agosto 2024. È la prima normativa dedicata all'intelligenza artificiale adottata da una grande giurisdizione che regola lo sviluppo, la vendita e l'uso dei sistemi di IA. Molti strumenti già in uso ogni giorno, come un chatbot sul proprio sito o un software che aiuta a selezionare le candidature, possono rientrare nel campo di applicazione della normativa.

Cosa regola la normativa

La norma serve a mantenere sicuri i sistemi di IA e a tutelare i diritti fondamentali in tutta l'Unione Europea. Invece di trattare ogni applicazione allo stesso modo, suddivide i sistemi in quattro livelli di rischio e assegna a ciascuno obblighi diversi.

Ogni categoria porta con sé un insieme diverso di obblighi, dal divieto assoluto all'assenza di obblighi specifici. Uno script che traccia le visite al sito non richiede la stessa attenzione di un sistema usato per valutare candidature di lavoro. I quattro livelli di rischio sono:

• Rischio inaccettabile: vietato. Rientrano qui il social scoring (l'assegnazione di un "punteggio" alle persone), il riconoscimento delle emozioni sul posto di lavoro, la raccolta di immagini di volti dal web per creare database di riconoscimento facciale e alcune forme di polizia predittiva rivolte a persone specifiche.
• Rischio alto: consentito, ma a condizioni rigide. Rientrano in questa categoria alcuni dispositivi medici che incorporano IA e specifici sistemi usati in ambiti come selezione del personale, istruzione, accesso a servizi essenziali, giustizia, attività delle forze dell'ordine, gestione della migrazione e controllo delle frontiere.
• Rischio limitato: consentito, con obblighi di trasparenza. Chatbot e sistemi di IA che interagiscono direttamente con le persone, sistemi che generano o manipolano contenuti sintetici come i deepfake, e altri sistemi soggetti agli obblighi di trasparenza rientrano in questa categoria. Chi li utilizza deve informare gli utenti quando stanno interagendo con un sistema di IA o quando un contenuto è stato generato o manipolato artificialmente.
• Rischio minimo: nessun obbligo specifico. Filtri antispam, motori di raccomandazione e molti strumenti di produttività quotidiana rientrano qui.

Gli obblighi sui sistemi ad alto rischio, previsti in origine per il 2 agosto 2027, partono ora in due fasi in seguito al rinvio deciso con il Digital Omnibus: dal 2 dicembre 2027 per sistemi come selezione del personale, istruzione e servizi essenziali, dal 2 agosto 2028 per quelli dentro prodotti già regolati, come dispositivi medici e ascensori.

Dove si colloca di solito una piccola impresa

Nella maggior parte dei casi le piccole imprese non sviluppano sistemi di IA, ma utilizzano servizi realizzati da altri. In questi casi sono considerate deployer, cioè utilizzatori del sistema.

Gli obblighi del deployer dipendono dal livello di rischio del sistema. Un chatbot di assistenza clienti rientra di solito nella categoria a rischio limitato: l'obbligo principale è la trasparenza, informare chi scrive che sta parlando con un sistema di IA. Uno strumento usato per supportare la selezione del personale può invece rientrare tra i sistemi ad alto rischio. In questi casi gli obblighi possono includere la supervisione umana, l'uso del sistema secondo le istruzioni del fornitore, il monitoraggio del suo funzionamento e, quando previsto, la conservazione dei registri delle attività.

Sistemi militari e di difesa, strumenti sviluppati solo per la ricerca e l'IA usata al di fuori di un contesto professionale restano fuori dal campo di applicazione della normativa.

Cosa succede se un'impresa ignora le regole

Le sanzioni variano in base al tipo di violazione e possono essere calcolate sul fatturato globale annuo o su un importo fisso. Per le pratiche vietate si può arrivare fino a 35 milioni di euro o al 7% del fatturato globale. Le violazioni legate agli altri obblighi, inclusi quelli sui sistemi ad alto rischio, possono arrivare fino a 15 milioni di euro o al 3%. Fornire informazioni false o incomplete alle autorità può comportare multe fino a 7,5 milioni di euro o all'1,5% del fatturato.

Per piccole e medie imprese e startup il regolamento prevede l'applicazione dell'importo più basso tra la cifra fissa e la percentuale, non il più alto: in questo caso gli obblighi restano gli stessi, ma l'esposizione economica è nettamente ridotta.

Cosa succede se usi l'IA fuori dal lavoro

L'AI Act non tocca l'uso personale, e non obbliga ad etichettare contenuti generati o manipolati con l'IA. L'esenzione finisce al confine del contesto professionale.

Un sito costruito con un generatore IA o un builder drag-and-drop nasconde spesso problemi come plugin e script che si accumulano nel tempo, che potrebbero causare rallentamenti, falle di sicurezza e difficoltà a stare al passo con le normative vigenti.

Se hai bisogno di un sito web affidabile, sicuro e veloce contattami, la prima consulenza è gratuita.