Avvocato - Regolamentazione dell'IA: conformità, obblighi di formazione e documentazione Speyer

Il Regolamento sull'IA si applica ai fornitori, agli operatori, agli importatori e ai distributori di sistemi di IA, nonché ai loro rappresentanti autorizzati. Riguarda non solo le aziende che sviluppano l'IA, ma anche quelle che si limitano a utilizzarla. Il regolamento ha effetto extraterritoriale non appena i risultati del sistema vengono utilizzati all'interno dell'Unione europea. Le eccezioni si applicano solo in ambiti ben definiti, come l'IA militare o l'uso esclusivamente personale.

L'obbligo di mantenere un'adeguata competenza in materia di intelligenza artificiale, come previsto dall'articolo 4, è in vigore dal 2 febbraio 2025. Si applica a tutte le aziende che utilizzano l'IA nelle proprie attività quotidiane. Ciò richiede una comprensione fondamentale del funzionamento dell'IA, la consapevolezza dei rischi ad essa inerenti e la conoscenza delle normative specifiche dell'azienda. La formazione deve essere ripetuta regolarmente e documentata per iscritto.

Tra le attività vietate rientrano, ad esempio, l'attribuzione di punteggi sociali da parte di enti governativi, l'uso del riconoscimento delle emozioni in contesti professionali e istituzioni educative, la raccolta indiscriminata di dati biometrici per la creazione di database e alcune forme di sorveglianza biometrica in tempo reale negli spazi pubblici. Sono inoltre vietati i metodi che sfruttano deliberatamente le vulnerabilità cognitive o esercitano un'influenza indebita sugli individui. Tali divieti sono in vigore dal 2 febbraio 2025.

Per intelligenza artificiale ad alto rischio si intendono i sistemi utilizzati in ambiti particolarmente sensibili, come la selezione del personale, la valutazione del merito creditizio, la valutazione del percorso formativo, le infrastrutture critiche, le forze dell'ordine o come componenti di sicurezza. I fornitori di tali sistemi sono tenuti ad attuare una gestione del rischio, garantire la qualità dei dati, creare documentazione tecnica e completare una procedura di valutazione della conformità. Anche gli operatori sono soggetti a specifici obblighi.

Gli operatori sono inoltre soggetti a diversi obblighi fondamentali. Tra questi, la verifica dell'idoneità del sistema, la garanzia del monitoraggio da parte di personale qualificato, l'obbligo per i dipendenti di possedere competenze sufficienti in materia di IA e, a seconda del settore di applicazione, l'adempimento degli obblighi di trasparenza e informazione nei confronti delle parti interessate, nonché degli obblighi di tenuta dei registri per l'IA ad alto rischio. I dettagli specifici dipendono dalla classe di rischio.

GPAI si riferisce a modelli di uso generale, come ad esempio i modelli linguistici di grandi dimensioni. Dal 2 agosto 2025, i fornitori di questi modelli sono soggetti a specifici obblighi in materia di documentazione tecnica, fornitura di informazioni ai fornitori a valle, conformità alle normative sul diritto d'autore e aggregazione dei dati di addestramento utilizzati. Per i modelli particolarmente potenti con rischio sistemico, si applicano requisiti ancora più rigorosi.

Gli obblighi principali relativi all'IA ad alto rischio entreranno in vigore il 2 agosto 2026. Per i sistemi ad alto rischio specifici integrati come componenti di sicurezza in prodotti regolamentati, quali dispositivi medici o macchinari, i requisiti si applicheranno a partire dal 2 agosto 2027. I preparativi dovrebbero iniziare con largo anticipo rispetto a tali scadenze, poiché l'implementazione della gestione del rischio, della garanzia della qualità dei dati e della valutazione della conformità richiederà un impegno considerevole.

Chiunque violi le pratiche vietate rischia sanzioni fino a 35 milioni di euro o il 7% del proprio fatturato annuo globale, a seconda di quale dei due importi sia maggiore. Le violazioni dei requisiti relativi all'IA ad alto rischio possono essere sanzionate con multe fino a 15 milioni di euro o il 3% del fatturato annuo globale. Fornire informazioni false, fuorvianti o incomplete alle autorità può comportare sanzioni fino a 7,5 milioni di euro o l'1% del fatturato annuo globale.

Il Regolamento sull'IA esiste indipendentemente dal GDPR. Non appena l'IA elabora dati personali, entrambi i quadri giuridici devono essere rispettati simultaneamente. Una valutazione d'impatto sulla protezione dei dati ai sensi dell'articolo 35 del GDPR e una valutazione d'impatto sui diritti fondamentali ai sensi del Regolamento sull'IA possono sovrapporsi nei contenuti e devono essere eseguite in modo coordinato. Allo stesso modo, gli accordi sul trattamento dei dati, i diritti degli interessati e le basi giuridiche per il trattamento dei dati rimangono vincolanti.

È sempre consigliabile avvalersi di un supporto legale in materia di regolamentazione dell'IA quando si concepisce, si implementa o si espande l'intelligenza artificiale all'interno di un'azienda. Ciò include la selezione e la strutturazione contrattuale dei fornitori di IA, la definizione di una governance strutturata dell'IA, lo sviluppo di strutture di formazione e documentazione e la comunicazione con le autorità di regolamentazione, i consigli di fabbrica e le persone interessate. Una consulenza legale tempestiva previene la negligenza involontaria nell'adempimento degli obblighi e crea la flessibilità necessaria per un'implementazione finanziariamente solida.