Con l entrata in vigore progressiva dell AI Act il tema regolatorio smette di essere un esercizio teorico e diventa un progetto interno con scadenze, responsabilità e costi. Il regolamento europeo non parla di tecnologie ma di usi: lo stesso modello può risultare a rischio minimo in un contesto e ad alto rischio in un altro, a seconda della funzione che svolge e delle conseguenze che produce sulle persone.
Il primo passo è l inventario
Molte organizzazioni scoprono di avere più sistemi di intelligenza artificiale di quanti ne conoscano: funzioni incorporate in software gestionali, moduli di scoring nei CRM, assistenti attivati dai singoli reparti. Costruire un registro dei sistemi in uso, con finalità, dati trattati, fornitore e referente interno, è la premessa di qualunque valutazione: senza inventario la classificazione del rischio non è verificabile.
Alto rischio: documentazione e supervisione
Per i sistemi che ricadono nelle categorie ad alto rischio gli obblighi si concentrano su gestione del rischio, qualità dei dati di addestramento, documentazione tecnica, tracciabilità dei log, informazione agli utilizzatori e supervisione umana effettiva. Il punto delicato riguarda proprio la supervisione: non basta prevedere un operatore che approvi, servono strumenti che gli permettano di capire e, se necessario, ribaltare la decisione del sistema.
Formazione e catena di fornitura
Due aspetti vengono spesso sottovalutati. Il primo è l obbligo di alfabetizzazione: chi utilizza questi strumenti deve essere formato su capacità e limiti, e la formazione va documentata. Il secondo è contrattuale: quando il sistema è fornito da terzi, le informazioni necessarie alla conformità sono in mano al fornitore, e vanno richieste per contratto invece che ricostruite a posteriori.
Chi sta affrontando bene questa fase tende a trattare la conformità come una funzione di governance permanente, non come un adempimento una volta per tutte: i sistemi cambiano, i casi d uso si moltiplicano e la classificazione va rivista con la stessa periodicità di un registro dei trattamenti.
Partecipa alla community