Il primo errore che le aziende commettono nell'affrontare l'AI Act è chiedersi "siamo soggetti alla normativa?" come se la risposta fosse un sì o un no unico per tutta l'organizzazione. In realtà gli obblighi si valutano sistema per sistema, e dipendono dal ruolo che l'azienda ricopre rispetto a quello specifico sistema di IA.

Obblighi del provider

Sei provider se sviluppi (o fai sviluppare per tuo conto) un sistema di IA e lo immetti sul mercato UE o lo metti in servizio con il tuo nome o marchio, anche gratuitamente. È il ruolo con gli obblighi più estesi:

  • Implementare un sistema di gestione del rischio lungo tutto il ciclo di vita del sistema (solo per i sistemi ad Alto Rischio).
  • Garantire la qualità dei dataset usati per addestramento, validazione e test, per limitare bias e discriminazioni.
  • Predisporre documentazione tecnica dettagliata e conservarla a disposizione delle autorità.
  • Garantire logging automatico degli eventi rilevanti durante il funzionamento del sistema.
  • Progettare il sistema per consentire una sorveglianza umana efficace.
  • Registrare i sistemi ad Alto Rischio in un database UE prima dell'immissione sul mercato.

Obblighi del deployer

Sei deployer se utilizzi, sotto la tua autorità, un sistema di IA sviluppato da altri nell'ambito della tua attività professionale — è la situazione della maggior parte delle aziende, che non sviluppano IA in proprio ma la usano nei processi di lavoro. Gli obblighi sono più circoscritti, ma tutt'altro che trascurabili:

  • Usare il sistema secondo le istruzioni fornite dal provider.
  • Assicurare una sorveglianza umana concreta da parte di persone competenti e con autorità sufficiente.
  • Monitorare il funzionamento del sistema e segnalare al provider eventuali rischi o incidenti.
  • Informare i lavoratori coinvolti quando un sistema ad Alto Rischio viene usato sul posto di lavoro.
  • Per i deployer di sistemi ad Alto Rischio con determinate caratteristiche (enti pubblici, servizi essenziali, credito, assicurazioni): condurre una valutazione d'impatto sui diritti fondamentali (FRIA) prima della messa in servizio.

L'obbligo trasversale: la formazione

C'è un solo obbligo che si applica sia ai provider sia ai deployer, indipendentemente dalla categoria di rischio del sistema usato: l'alfabetizzazione in materia di IA prevista dall'Art. 4. È anche l'obbligo più immediato da rispettare, perché è già in vigore dal 2 febbraio 2025.

Da dove iniziare

Prima di parlare di documentazione tecnica o valutazioni d'impatto, conviene mappare con precisione: quali sistemi di IA sono usati in azienda, in quali ambiti, e con quale ruolo (provider o deployer) l'azienda si posiziona rispetto a ciascuno. È un lavoro di poche ore che chiarisce a cascata tutto il resto.