AI Act operativo in Europa: nuove regole di privacy e sicurezza per le aziende

• Ufficialmente partiti i divieti UE in materia di AI: anche le aziende devono adeguarsi all’AI Act.
• Il primo step è la definizione dei rischi cosiddetti inaccettabili, vietati dalla legge e che violano i diritti dei cittadini.
• Ci saranno multe salate a chi non si adegua alle nuove regole sull’intelligenza artificiale.

Al via le nuove regole per la tutela della privacy e della sicurezza in materia di intelligenza artificiale. È ufficialmente operativo l’AI Act, legge che per la prima volta al mondo si prefigge di regolamentare l’intelligenza artificiale ed evitare minacce che sarebbero inaccettabili.

Dal condizionamento subliminale ai cosiddetti punteggi sociali, dal riconoscimento facciale all’identificazione in luoghi pubblici, ecco un elenco di nuove regole a cui le aziende che sviluppano AI dovranno attenersi, pena multe a dir poco salate.

AI Act ora in vigore: le pratiche vietate

Stando alla normativa, è necessario suddividere i vari sistemi di intelligenza artificiale in base al livello di rischio che presentano. L’AI Act ne individua quattro: rischio minimo (ad esempio un semplice filtro antispam), rischio limitato, ad alto rischio e a rischio inaccettabile (opzioni che violano la legge).

Se il rischio è limitato, allora i relativi obblighi di trasparenza risultano più leggeri; se invece i sistemi di AI si caratterizzano per un elevato livello di rischio, allora va da sé che i requisiti per l’accesso all’interno del mercato comunitario risulteranno più specifici e stringenti.

A seguire, le nuove regole dell’AI Act ora operative che riguardano il divieto assoluto di sistemi AI a rischio inaccettabile, a cui le aziende direttamente coinvolte devono prestare attenzione.

1. Manipolazione cognitiva del comportamento

È fatto divieto di utilizzare sistemi di intelligenza artificiale che mirino a influenzare il comportamento delle persone in maniera subliminale, quindi inconsapevole e senza che l’utente ne sia al corrente.

2. Social scoring

Il regolamento vieta l’utilizzo dei cosiddetti punteggi sociali ovvero la capacità di alcuni software di AI di classificare le persone in base alle loro opinioni o al loro comportamento.

3. Profilazione dei dati biometrici per la polizia predittiva

La nuova normativa non consente di utilizzare i dati biometrici sia fisici che comportamentali per calcolare le probabilità che una persona commetta un reato, in riferimento ad esempio a specifiche caratteristiche di razza, orientamento sessuale, religione e via di seguito.

4. Riconoscimento facciale

Assolutamente vietato creare database in cui è possibile identificare una persona prendendo le immagini dai social oppure da telecamere di sicurezza. 

Le restrizioni sul riconoscimento facciale si applicano anche per quanto riguarda l’identificazione delle persone in tempo reale e in luoghi pubblici, ai fini di operazioni di polizia (eccezion fatta in caso di terrorismo o rapimenti).

Infine, la legge vieta di utilizzare software di intelligenza artificiale per analizzare le espressioni delle persone e capire le loro intenzioni ed emozioni in ambito lavorativo o scolastico.

AI Act, testo definitivo: il quadro normativo per le aziende

Ufficialmente, il testo del Regolamento approvato dal Consiglio UE a marzo 2024 è entrato in vigore il 1° agosto ma solo a partire dal 2 febbraio diventa operativo e i divieti in esso previsti sono validi a tutti gli effetti.

Si tratta di un regolamento che ha l’obiettivo di sviluppare e adottare modelli di intelligenza artificiale che siano affidabili e sicuri per il mercato unico dell’Unione Europea¹.

Sia i soggetti pubblici che privati che promuovono l’adozione e lo sviluppo di questi sistemi sono tenuti a garantire il rispetto dei diritti fondamentali dei cittadini UE.

Le nuove regole dell’AI Act si applicano ai settori facenti parte del diritto comunitario, eccezion fatta per i sistemi utilizzati dalla ricerca e dal comparto militare.

Il testo definitivo dell’AI Act² promuove e favorisce l’innovazione e prevede che l’apprendimento normativo avvenga sull’evidenza. Non solo sandbox, ovvero ambienti sterili e controllati per lo sviluppo dei software, bensì anche la convalida dei sistemi di AI sperimentati in condizioni reali.

Il prossimo step è fissato al 2 agosto 2025, data limite entro la quale le aziende dovranno disporre di un registro dei test condotti per lo sviluppo delle loro AI nonché garantire la massima trasparenza sul rispetto dei protocolli di sicurezza per i sistemi AI a rischio limitato. Per quanto riguarda invece i sistemi AI a rischio alto, la scadenza è fissata al 2 agosto 2026.

L’AI Act prevede sanzioni e multe salate

L’Unione Europea vuole dunque prevenire i rischi, ergo gli abusi, possibili legati ad un utilizzo non regolarizzato dell’intelligenza artificiale.

A tale scopo e per garantire l’applicazione della nuova normativa, ha istituito alcuni specifici organi di governo. Nella fattispecie di tratta di:

• ufficio AI all’interno della Commissione, per il rispetto delle regole comuni nell’Unione Europea;
• gruppo scientifico di esperti indipendenti per la corretta applicazione della normativa;
• comitato per l’AI formato dai rappresentanti degli Stati membri per consigliare e applicare in maniera coerente ed efficace la legge sull’AI;
• forum consultivo per trasmettere le competenze tecniche al Comitato e alla Commissione.

Previste ovviamente multe e sanzioni per i trasgressori. L’azienda non ottemperante rischia un’ammenda pari all’1,5% e fino al 7% del fatturato, da calcolarsi sulla base dell’ultimo esercizio finanziario disponibile oppure da un minimo di 7,5 milioni di euro a un massimo di 35 milioni di euro (dipende da quello che risulta essere l’importo più elevato, tra quello fisso e quello in percentuale).

Per quanto riguarda PMI e start up, si prevedono sanzioni amministrative proporzionali. Se il sistema di intelligenza artificiale è considerato ad alto rischio, allora dovranno necessariamente risultare registrati nell’apposita banca dati prevista per i sistemi di AI ad alto rischio.

Ricordiamo infine, il coordinamento di tali disposizioni con altre leggi già in vigore, quali il GDPR, il NIS2 e il DORA.

AI Act, nuove regole – Domande frequenti

1. The EU Artificial Intelligence Act, EU Artificial Intelligence Act, artificialintellingenceact.eu ↩︎
2. Rettifica regolamento UE AI Act, Parlamento europeo, europarl.europa.eu ↩︎