Con l’AI Act l’Unione europea ha scelto un approccio basato sul rischio: più un sistema di intelligenza artificiale può incidere sui diritti delle persone, più gli obblighi per chi lo sviluppa e chi lo usa sono stringenti.
Alcune pratiche sono vietate del tutto, come il social scoring da parte delle autorità pubbliche o il riconoscimento delle emozioni sul luogo di lavoro e a scuola. Altre, come i sistemi usati per selezionare il personale, valutare il merito creditizio o accedere ai servizi pubblici essenziali, sono classificate ad alto rischio.
Gli obblighi per i sistemi ad alto rischio
Chi immette sul mercato un sistema ad alto rischio deve adottare un sistema di gestione dei rischi, curare la qualità dei dati di addestramento, tenere una documentazione tecnica, garantire la sorveglianza umana e registrare il sistema nella banca dati europea. Chi lo utilizza, i cosiddetti deployer, deve usarlo secondo le istruzioni e, se è un ente pubblico, svolgere una valutazione d’impatto sui diritti fondamentali.
Il rapporto con il GDPR
L’AI Act non sostituisce il GDPR: i due regolamenti si applicano insieme. Quando un modello tratta dati personali servono una base giuridica, la minimizzazione dei dati e, nei casi previsti, una valutazione d’impatto sulla protezione dei dati. Il Garante privacy e le autorità di vigilanza sul mercato dovranno coordinarsi, e non sempre i confini sono chiari.
I modelli per finalità generali
Per i modelli di IA per finalità generali, come i grandi modelli linguistici, sono previsti obblighi di trasparenza sui dati di addestramento e sul rispetto del diritto d’autore. I modelli con rischio sistemico devono anche valutare e mitigare i rischi e segnalare gli incidenti gravi alla Commissione.
L’applicazione è graduale e si completa nell’arco di tre anni: le imprese italiane hanno davanti un lavoro di mappatura dei sistemi già in uso che conviene iniziare subito.
Partecipa alla community