La rivoluzione digitale ha cambiato radicalmente il modo in cui produciamo, comunichiamo e interagiamo con i dati, portando con sé nuove tipologie di rischio, come la gestione dei dati, la sicurezza informatica, la trasparenza e le responsabilità legate a tecnologie sempre più avanzate.
Con l’avvento di Internet e delle connessioni globali abbiamo ottenuto l’accesso immediato alle informazioni e la digitalizzazione dei processi produttivi. Tuttavia, questo ha anche generato nuove minacce, come gli attacchi informatici, la manipolazione dei dati e la sorveglianza di massa.
Così, anche il diritto ha continuato a evolversi per adattarsi alle trasformazioni imposte dall’innovazione tecnologica, seguendo principi di flessibilità giuridica per garantire una compliance internazionale sull’AI.
Normative europee sull’Intelligenza Artificiale
Come già avvenuto in altri ambiti, l’Unione Europea, ha regolamentato l’Intelligenza Artificiale con l’AI Act (Regolamento UE 2024/1689), che si affianca alle norme europee per l’AI già esistenti nella strategia europea per il digitale. Queste ultime includono il GDPR, il Data Governance Act, Data Act, Digital Services Act (DSA), Digital Markets Act (DMA), e Cybersecurity Act. Inoltre, le direttive NIS e NIS 2 per rafforzare la sicurezza informatica nel contesto europeo.
Queste regole si applicano anche alle imprese tecnologiche straniere che vogliono operare nel mercato europeo, assicurando che queste rispettino gli stessi standard di sicurezza e trasparenza dei principi regolatori di AI.
Fiducia nell’intelligenza artificiale: le normative europee esistenti in tema di AI
Il Regolamento sull’Intelligenza Artificiale (AI Act) adotta un approccio basato sul rischio: più elevato è il rischio connesso all’uso dell’Intelligenza Artificiale, più stringenti sono gli obblighi normativi previsti dai principi regolatori dell’AI.
Per questo motivo, l’AI Act introduce una classificazione dei sistemi di Intelligenza Artificiale basata sul livello di rischio:
- AI vietate, pratiche di intelligenza artificiale vietate e incompatibili con i diritti fondamentali e con i principi supremi dell’ordinamento giuridico
- Sistemi ad alto rischio, sistemi di AI che toccano settori strategici come sanità, istruzione, reclutamento del personale e amministrazione della giustizia, oltre ai sistemi di Intelligenza Artificiale che funzionano come componente di sicurezza
- Tecnologie a rischio limitato, soggette a obblighi di trasparenza
- Sistemi a basso rischio, non soggetti a obblighi stringenti, ma comunque inseriti in un quadro normativo ispirato a principi di affidabilità e correttezza
L’AI Act si applica, in modo differenziato, ai vari operatori coinvolti nella catena di fornitura e utilizzo dell’AI, tra cui: fornitori, distributori e deployer (utilizzatori).
Data la complessità del Regolamento europeo sull’Intelligenza Artificiale, non è possibile affrontare in un singolo articolo tutti i dettagli forniti dalla regolamentazione sull’AI in Europa.
In sintesi, resta tuttavia importante distinguere alcune regole:
- le AI vietate non possono essere immesse sul mercato europeo (l’elenco completo è riportato nell’articolo 5 dell’AI Act)
- le tecnologie di AI a rischio limitato sono invece ammesse, ma richiedono specifici obblighi di trasparenza, tra cui l’informazione all’utente del fatto che sta interagendo con un sistema di Intelligenza Artificiale
Obblighi dell’AI Act per i deployer: cosa devono fare le aziende che usano AI ad alto rischio
Il report prodotto da Confindustria, L’Intelligenza Artificiale per il Sistema Italia, ha illustrato più in dettaglio gli obblighi che ricadono sull’imprenditore che intende integrare sistemi di Intelligenza Artificiale ad alto rischio nella propria organizzazione, nella veste di deployer e non di fornitore.
La lista dei casi in cui un sistema di AI viene definito come “ad alto rischio” può essere trovata nell’articolo 6 dell’AI Act e nel suo Annex III. La normativa attribuisce al datore di lavoro la responsabilità di valutare i rischi legati all’uso dell’AI e la responsabilità per i danni che questa può provocare.
Questo implica investimenti significativi in tecnologia, organizzazione e formazione, e richiede di gestire temi complessi che vanno dalla privacy alla sicurezza sul lavoro, dal controllo a distanza alla tutela della salute dei lavoratori. Si tratta di ambiti già disciplinati anche da altre normative europee, come il GDPR per la privacy e il Regolamento macchine per la sicurezza sul lavoro, e da disposizioni nazionali in materia di privacy, normativa su privacy, sicurezza sul lavoro e Statuto dei lavoratori.
Quali obblighi introduce l’AI Act per le aziende che adottano l’Intelligenza Artificiale?
Secondo l’AI Act, le modalità con cui il deployer deve adempiere ai propri obblighi normativi si articolano in quattro ambiti:
- sorveglianza
- trasparenza
- integrità
- sicurezza
L’obiettivo della normativa è garantire un monitoraggio effettivo dei sistemi di AI durante il loro utilizzo: controllare il funzionamento, capire cosa il sistema stia facendo in tempo reale e intervenire o interromperne l’uso quando necessario, attraverso quella che l’AI Act chiama “sorveglianza umana”.
Alfabetizzazione digitale e altri obblighi dell’AI Act per i deployer
Tra gli obblighi previsti dall’AI Act per i deployer rientra quello di alfabetizzazione digitale, disciplinato dall’articolo 4 del Regolamento e già in vigore dal 2 febbraio 2025, per garantire un livello adeguato di formazione e consapevolezza nell’utilizzo di sistemi di Intelligenza Artificiale.
Gli altri obblighi per le aziende che utilizzano sistemi di AI ad alto rischio sono descritti negli articoli 26 e 27 dell’AI Act, che definiscono rispettivamente le misure da adottare e il contenuto della valutazione di impatto sui diritti fondamentali, quando previsto dalla normativa sull’AI.
Obblighi dei deployer e compliance all’AI Act
L’articolo 26 definisce gli obblighi dei deployer di sistemi di Intelligenza Artificiale, imponendo loro di adottare misure tecniche e organizzative per garantire un utilizzo conforme alle istruzioni date dal fornitore. Quest’ultimo deve assicurare la disponibilità di tutte le informazioni utili per gestire correttamente la tecnologia, anche attraverso programmi di formazione sull’Intelligenza Artificiale.
Un elemento centrale della compliance all’AI Act è la verifica della qualità dei dati in ingresso. Salvo diversa indicazione normativa, il deployer deve conservare i log generati dal sistema di Intelligenza Artificiale per almeno sei mesi, a supporto delle attività di controllo.
L’approccio antropocentrico previsto dall’AI Act e la corretta gestione del rischio passano attraverso una sorveglianza continua dei sistemi di Intelligenza Artificiale, necessaria per segnalare subito eventuali anomalie al fornitore o, se questo non c’è, all’autorità competente.
Sul piano procedurale, prima di mettere in servizio o impiegare un sistema di AI ad alto rischio in ambito lavorativo, il deployer deve informare i lavoratori o i loro rappresentanti sull’utilizzo del sistema.
L’AI Act non regola in modo esaustivo la responsabilità civile per danni causati dai sistemi di Intelligenza Artificiale, che resta affidata alle norme nazionali come gli articoli 2050 e 2051 del Codice civile italiano, che configurano una responsabilità oggettiva per danni da AI.
AI Act e Digital Omnibus: evoluzione normativa e semplificazione
Infine, l’AI Act è un regolamento ancora in evoluzione. La Commissione europea nelle scorse settimane ha presentato il Digital Omnibus, un pacchetto di misure orientato a semplificare l’applicazione delle normative digitali, inclusa la disciplina sull’AI Act.
Se approvata nel suo testo attuale, il Digital Omnibus sostituirebbe l’obbligo di formazione sull’AI per i dipendenti, rimanderebbe l’entrata in vigore delle regole sui sistemi di AI ad alto rischio e impegnerebbe la Commissione Europea a fornire delle linee guida sull’AI Act, facilitando la compliance per le imprese all’interno di un quadro normativo digitale europeo.
AI affidabile e conforme: i servizi AI Trust di IT4LIA
Per sviluppare soluzioni di Intelligenza Artificiale affidabili e conformi all’AI Act, il progetto IT4LIA AI Factory, rivolto a enti pubblici e privati, mette a disposizione i suoi servizi dedicati all’AI Trust erogati da Agenzia per la cybersicurezza nazionale e Università di Bologna.
Questi servizi garantiscono sicurezza, trasparenza e compliance nazionale ed europea nello sviluppo di soluzioni di AI con IT4LIA AI Factory, offrendo supporto in materia di protezione dati, cybersicurezza e legal triage.
Scopri come accedere ai servizi di AI Trust fissando una call con i nostri esperti di Intelligenza Artificiale e HPC.
Corso di formazione: Introduzione all’AI Act
Visita la pagina dedicata alla formazione di IT4LIA AI Factory per scoprire l’offerta formativa di IT4LIA e, in particolare, Introduzione all’AI Act, il corso pensato per accompagnare professionisti e studenti universitari interessati al tema nella comprensione del nuovo quadro normativo europeo sull’Intelligenza Artificiale.
L’iniziativa, promossa da IT4LIA, si svolgerà online tra febbraio e marzo 2026 e si concentrerà sui principali aspetti normativi: dalle disposizioni generali alle pratiche di AI proibite, dai sistemi di AI ad alto rischio agli obblighi di trasparenza, fino agli strumenti a supporto dell’innovazione.
Giovanni Bognetti, Silvio La Torre (CONFINDUSTRIA)
