Le nuove regole europee per l’intelligenza artificiale

L’AI Act è la legge con cui l’Unione Europea ha stabilito le regole del gioco per creare, vendere e usare l’intelligenza artificiale.

L’obiettivo è mettere le persone al centro: favorire una tecnologia utile e affidabile, evitando che algoritmi fuori controllo danneggino la salute, la sicurezza o i diritti dei cittadini.

Il meccanismo è molto simile a quello già usato per le automobili o i medicinali: non si vieta la ricerca scientifica, ma prima di commercializzare un prodotto si impongono controlli severi e standard di sicurezza proporzionati al pericolo che un guasto potrebbe causare alla collettività.

L’AI Act funziona infatti su una scala di rischio. Da una parte ci sono i sistemi innocui, come un algoritmo che suggerisce un brano musicale, che non richiedono quasi nessun vincolo perché un loro errore non crea pericoli reali.

Dall’altra parte ci sono le applicazioni ad alto impatto, come un software che seleziona candidati per un posto di lavoro o che gestisce impianti critici: in questi casi la legge impone requisiti rigidissimi, pretendendo massima trasparenza, precisione tecnica e, soprattutto, la costante supervisione di una persona in carne e ossa.

La classificazione dei rischi secondo il regolamento comunitario

La conformità normativa si basa sulla distinzione in quattro livelli di pericolosità per i sistemi algoritmici:

• Rischio inaccettabile (sistemi vietati): tecnologie espressamente bandite dal mercato UE, come il punteggio sociale (social scoring in stile statale), la manipolazione subliminale del comportamento e l’identificazione biometrica remota in tempo reale nei luoghi pubblici.
• Rischio alto (sistemi ad alto impatto): algoritmi impiegati in infrastrutture critiche, sanità, giustizia, istruzione e gestione del personale aziendale, sottoposti a valutazioni preventive di conformità e rigorosa gestione dei dati di addestramento.
• Rischio specifico di trasparenza: sistemi di interazione con utenti (come assistenti conversazionali e generatori di deepfake) che devono rendere palese all’utente di trovarsi di fronte a una macchina e contrassegnare i contenuti prodotti.
• Rischio minimo o nullo (la maggior parte delle applicazioni): filtri antispam per la posta elettronica, algoritmi per videogiochi o gestionali di inventario, che rimangono liberi da obblighi stringenti se non l’adesione a codici di condotta volontari.

Cosa devono fare le aziende per mettersi in regola

Per evitare pesanti multe, tutte le organizzazioni che creano o usano l’intelligenza artificiale devono seguire alcuni passaggi fondamentali:

• Creare un inventario di tutta l’AI aziendale: fare un elenco chiaro e completo di tutti i programmi, le app e i software intelligenti utilizzati nelle attività di lavoro quotidiane.
• Controllare i dati usati per “istruire” l’AI: verificare che le informazioni fornite ai modelli siano corrette, aggiornate, rispettose della privacy e prive di pregiudizi o discriminazioni.
• Tenere traccia del funzionamento e spiegare le decisioni: conservare registri tecnici sulle attività svolte dal software e preparare documenti chiari che spieghino come l’algoritmo arriva alle sue risposte.
• Garantire sempre la supervisione umana (human-in-the-loop): affidare a persone in carne e ossa il compito di monitorare il lavoro dell’AI, dando loro il potere di bloccarla o correggerla se fa errori o si comporta in modo strano.