L'AI Act spiegato semplice: cosa ti riguarda

La titolare di un negozio di bricolage usa un chatbot per scrivere le schede prodotto, un altro sul suo sito per rispondere alle domande dei clienti, e ha appena provato uno strumento che smista i CV ricevuti. Ha sentito dire che «l'Europa ha approvato una legge sull'IA» e si chiede se sia in difetto. Con ogni probabilità no, ma uno di questi tre usi merita più attenzione degli altri due.

Questo articolo dà il quadro generale del regolamento europeo sull'IA, spesso chiamato AI Act. Non sostituisce né il testo né una consulenza legale. Una parte del calendario è stata modificata da testi più recenti: controlla sempre le date sui siti ufficiali prima di prendere una decisione.

Che cos'è, in tre righe

Il regolamento (UE) 2024/1689 è una legge europea che disciplina l'immissione sul mercato e l'utilizzo dei sistemi di IA. Il principio è semplice: più l'uso è rischioso per le persone, più gli obblighi sono pesanti. Non cerca di regolare il funzionamento interno di ogni modello, ma quello che ne fai.

Distingue due ruoli che contano per te:

• Il fornitore sviluppa un sistema di IA o lo immette sul mercato con il proprio nome: un'azienda che costruisce un chatbot, o un editore che vende un software per smistare i CV.
• Il deployer (chi utilizza il sistema) usa un sistema di IA in ambito professionale. La titolare del negozio di bricolage che collega un chatbot al proprio sito è un deployer.

Un uso strettamente personale e non professionale non rientra nella legge. Se usi un chatbot per aiutarti a scrivere una lettera al tuo padrone di casa, non hai alcuna pratica da fare.

Quattro livelli di rischio

La maggior parte degli usi descritti nel nostro blog rientra nell'ultima riga o nella riga «trasparenza». I divieti si applicano da febbraio 2025. Per il resto, le date di applicazione sono scaglionate e sono state ritoccate da testi successivi, in particolare per i sistemi ad alto rischio: consulta il calendario aggiornato sul sito della Commissione europea o della CNIL (l'autorità francese per la protezione dei dati).

Cosa ti riguarda se sei un professionista

Sapere cosa fai con l'IA

Il regolamento chiede alle aziende che usano l'IA di adottare misure affinché i loro team la comprendano a sufficienza, in base al proprio ruolo. La formulazione esatta di questo obbligo è cambiata, ma il principio resta quello di formare le persone che la usano. In concreto, una piccola struttura può partire da una pagina interna: quali strumenti sono autorizzati, quali dati non ci si mettono mai (vedi cosa è meglio non incollare mai), chi verifica i risultati. Gli errori da principiante offrono una base di discussione.

Informare quando serve

Se il tuo sito propone un chatbot, le persone che lo usano devono sapere di parlare con un'IA, a meno che non sia ovvio. Un contenuto che imita persone o eventi reali (immagine, video, audio) deve essere segnalato come generato o modificato, con alcune eccezioni, per esempio per le opere artistiche o satiriche, dove l'indicazione può essere discreta. Può essere interessato anche un testo di interesse pubblico pubblicato per informare. Per le immagini, leggi anche l'uso commerciale delle immagini IA.

Fare attenzione agli usi ad alto rischio

Smistare CV, valutare candidati, valutare dipendenti, decidere l'accesso a un credito o a una formazione: questi usi rientrano nella categoria alto rischio. Se sei un deployer, devi in particolare seguire le istruzioni del fornitore, mantenere una reale supervisione umana e informare le persone interessate. Se stai valutando uno strumento di questo tipo, esigi dal tuo fornitore ciò che è tenuto a darti e fai validare l'uso da un giurista o da un responsabile della protezione dei dati. In più si applica il GDPR. Il nostro articolo sui bias dell'IA mostra perché questo ambito è delicato.

Fare l'inventario dei tuoi usi

Il primo passo pratico è sapere che cosa fate con l'IA. Ecco un prompt per compilare questo elenco insieme alle persone del team, che servirà da base per una discussione con un giurista. L'IA non è una consulente legale: ciò che classifica è un'ipotesi da verificare.

Dirigo un negozio di bricolage con 12 dipendenti. Ecco l'elenco degli usi dell'IA nella nostra azienda:

1. [USO 1, ES.: SCRITTURA DELLE SCHEDE PRODOTTO CON UN CHATBOT GENERALISTA]
2. [USO 2, ES.: CHATBOT PER RISPONDERE AI CLIENTI SUL SITO]
3. [USO 3, ES.: STRUMENTO PER SMISTARE I CV RICEVUTI]

Per ogni uso, compila una tabella: uso, il mio ruolo (fornitore o deployer), livello di rischio probabile secondo il regolamento europeo sull'IA (vietato, alto rischio, trasparenza, minimo), possibile obbligo, domanda da porre a un giurista.
Non citare nessun articolo né nessuna data precisa: per questi punti, scrivi «da verificare nel testo aggiornato». Se un uso è troppo vago per essere classificato, fammi la domanda invece di tirare a indovinare.

Tieni l'ultima istruzione: il calendario è cambiato più volte e l'IA tende a citare con sicurezza date superate. Verifica ogni risposta nel testo ufficiale o presso un professionista.

Cosa non sei tenuto a fare

Non devi fare l'audit del modello che sta dietro a ChatGPT, Claude o Mistral: gli obblighi che gravano sui progettisti di modelli generali spettano a loro, non ai loro utenti. Non devi nemmeno fermare tutto: la grande maggioranza degli usi di scrittura, sintesi o ricerca di idee rientra nel rischio minimo.

Devi invece sapere cosa usi, formare le persone che se ne servono e non affidare a un'IA, senza controllo umano, una decisione che riguarda la vita professionale o finanziaria di una persona.

Per questa settimana

Fai l'elenco di tutti gli strumenti di IA che il tuo team usa, compresi quelli che i dipendenti hanno aperto di propria iniziativa: chiedilo direttamente a loro. Passalo nel prompt qui sopra, poi sottoponi gli usi classificati «alto rischio» o «trasparenza» al tuo giurista o al tuo responsabile della protezione dei dati, con la data del giorno sul tuo elenco.