Cosa è un sistema di intelligenza artificiale per il diritto europeo, quali principi guidano l’AI Act e chi vigila sulla sua applicazione: tre questioni che precedono qualsiasi adempimento concreto. Senza una corretta qualificazione tecnica del sistema, senza un quadro chiaro dei principi del regolamento e senza la mappa delle autorità competenti, è impossibile costruire una compliance solida. Questa guida ricostruisce in modo operativo il vocabolario fondamentale del Reg. UE 2024/1689 e la struttura di governance prevista a livello europeo e italiano.

1. Il quadro normativo

Il legislatore europeo ha impiegato oltre tre anni per arrivare all’AI Act: la prima proposta della Commissione risale al 21 aprile 2021, l’entrata in vigore al 1° agosto 2024. Un tempo congruo con il normale iter legislativo europeo, ma lungo se misurato sulla velocità di evoluzione della tecnologia oggetto della disciplina. Tra la prima bozza e il testo finale è accaduto un fatto che ha cambiato radicalmente lo scenario: a fine novembre 2022 è stato lanciato ChatGPT, e con lui è esploso il fenomeno dell’AI generativa, una tipologia di sistema che la prima versione del regolamento non aveva pienamente considerato. Il risultato è un testo che è stato ampiamente integrato in corso d’opera, soprattutto sui modelli di intelligenza artificiale per finalità generali (GPAI).

L’AI Act è strutturato su 113 articoli e 180 considerando, ma il quadro normativo non si esaurisce qui. Il regolamento rimanda a numerose fonti secondarie che dovranno essere progressivamente adottate dalla Commissione: atti delegati, atti di esecuzione, linee guida. Sono questi strumenti che consentiranno di mantenere il regolamento operativo nel tempo, aggiornandolo all’evoluzione tecnologica.

La conseguenza operativa è significativa. L’AI Act non è un testo chiuso e auto-applicativo: è un’architettura normativa in costruzione. Per le aziende questo significa che la compliance non si esaurisce con la lettura del regolamento, ma richiede un monitoraggio costante delle fonti secondarie, dei codici di buone pratiche, delle linee guida dell’AI Office europeo e delle autorità nazionali competenti.

2. La definizione di sistema di intelligenza artificiale: portata e criticità

L’art. 3, n. 1, AI Act definisce il sistema di IA come un sistema automatizzato progettato per funzionare con livelli di autonomia variabili, che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall’input come generare output (previsioni, contenuti, raccomandazioni, decisioni) capaci di influenzare ambienti fisici o virtuali.

È una definizione deliberatamente ampia. Il legislatore ha rinunciato all’approccio iniziale (un elenco tassativo di tecniche e approcci contenuto in un allegato) per abbracciare una nozione funzionale, capace di coprire tecnologie attuali e future. Il vantaggio è la resistenza all’obsolescenza: una definizione troppo tecnica sarebbe già superata. Lo svantaggio è la difficoltà applicativa: una nozione così larga rischia di estendere il perimetro applicativo del regolamento a praticamente qualsiasi sistema digitale che dedurra output dagli input ricevuti.

C’è anche una tensione interna al regolamento. Il Considerando 12 auspica una definizione “chiara” e capace di distinguere i sistemi di IA dai tradizionali software basati su regole. La definizione finale, però, è generica al punto da rendere questa distinzione non immediata. Le aziende dovranno quindi compiere un’analisi tecnico-giuridica caso per caso per stabilire se i propri sistemi rientrano nel perimetro del regolamento, ed è prevedibile che la prassi applicativa e le linee guida dell’AI Office svolgeranno un ruolo decisivo nel chiarire i contorni della nozione.

Lo stesso problema definitorio si pone, peraltro, anche per altre categorie chiave dell’AI Act: la nozione di “rischio”, quella di “fornitore” e “deployer”, quella di “uso improprio ragionevolmente prevedibile”, ciascuna delle quali richiederà precisazioni e adattamenti a seconda dell’industry coinvolta.

2.1 Il ruolo delle fonti secondarie e della prassi

Tre tipologie di fonti secondarie contribuiranno a dare contenuto operativo al regolamento:

• gli atti delegati, che la Commissione può adottare per integrare elementi non essenziali del regolamento (ad esempio per aggiornare la definizione stessa di sistema di IA, per riflettere le innovazioni tecnologiche). Il potere di delega ha una durata iniziale di cinque anni, prorogabile
• gli atti di esecuzione, strumenti operativi adottati dalla Commissione per garantire l’applicazione uniforme del regolamento in tutti gli Stati membri (ad esempio per facilitare l’elaborazione di codici di buone pratiche a livello dell’Unione)
• le linee guida, atti di soft law con cui la Commissione fornirà chiarimenti pratici a supporto degli operatori per interpretare e applicare correttamente le diverse disposizioni del regolamento

A questo si aggiungono gli orientamenti dell’AI Office europeo e delle autorità nazionali competenti, che eserciteranno una funzione interpretativa e chiarificatrice tipica della governance regolamentare europea moderna. La flessibilità è il prezzo da pagare per la capacità di adattamento; la prevedibilità ne risente, almeno nella fase iniziale.

3. I principi dell’AI Act e l’approccio basato sul rischio

Il pilastro portante dell’AI Act è la finalità di assicurare una tecnologia conforme ai valori dell’Unione Europea: protezione della salute, della sicurezza, dei diritti fondamentali sanciti dalla Carta dei diritti fondamentali, della democrazia, dello Stato di diritto e dell’ambiente. Non importa dove la tecnologia sia prodotta o sviluppata: se un cittadino europeo o una persona presente sul territorio dell’UE ne è interessata, il sistema deve rispettare le regole europee.

Per raggiungere questo obiettivo l’AI Act adotta il cosiddetto risk-based approach, l’approccio basato sul rischio. Le applicazioni di intelligenza artificiale sono classificate in base alle attività che mirano a realizzare e al potenziale impatto sui diritti fondamentali:

• alcune pratiche sono vietate in modo assoluto perché incompatibili con i valori europei (social scoring, manipolazione comportamentale, tra le altre)
• i sistemi ad alto rischio sono ammessi ma soggetti a un complesso quadro di obblighi di conformità
• i sistemi a rischio limitato sono ammessi con obblighi specifici di trasparenza
• i sistemi a rischio minimo sono liberamente utilizzabili

Più alto è il rischio per i diritti fondamentali, maggiori sono gli oneri organizzativi e documentali. Il regolamento si applica non solo alle imprese che sviluppano IA, ma anche a quelle che la distribuiscono e che la utilizzano nel proprio business, ciascuna con un ruolo e obblighi specifici.

3.1 Le implicazioni per le imprese: un sistema di compliance trasversale

Sarebbe un errore strategico pensare che la compliance AI Act riguardi solo le tech company. Il regolamento impatta in modo trasversale ogni azienda che utilizzi sistemi di IA nei propri processi: istituti di credito, assicurazioni, aziende sanitarie, industriali, agenzie HR, retailer, web agency.

Sarebbe altrettanto rischioso pensare di poter scaricare gli obblighi di compliance sul fornitore del sistema. Quando un’impresa utilizza un sistema di IA in un’attività ad alto rischio (gestione di curriculum, monitoraggio dei dipendenti, finalità giudiziarie, scoring creditizio, infrastrutture critiche), gli sviluppatori del sistema non possono rispondere per la personalizzazione e l’applicazione concreta che l’azienda utilizzatrice ne fa. Sarà la singola impresa, in funzione delle proprie dimensioni e degli ambiti di impiego, a dover implementare un sistema organizzativo proporzionato, capace di garantire qualità degli input, supervisione umana del processo, valutazione dell’impatto sui diritti fondamentali, trasparenza dell’output.

Anche pensare che basti il DPO già nominato per la compliance privacy è poco realistico. Le competenze richieste per gestire la compliance AI Act sono diverse e in parte esulano dalla normativa privacy. In molti contesti emergerà la necessità di una figura dedicata, una sorta di “AI officer”, che il regolamento non prevede espressamente ma che la prassi applicativa renderà di fatto necessaria nelle organizzazioni più strutturate.

3.2 Il vantaggio competitivo della conformità: l’effetto Bruxelles

Gli oneri di compliance non vanno letti solo come costo. La conformità all’AI Act può diventare un asset competitivo. All’interno del mercato europeo, i sistemi di IA conformi al regolamento sono per definizione sistemi “sicuri” e rispettosi dei diritti fondamentali. Questo elemento può tradursi in fiducia, scelta preferenziale da parte di consumatori e imprese, e in alcuni casi anche in un’estensione del modello europeo ad altri ordinamenti extra-UE.

Il fenomeno è già stato sperimentato con il GDPR: la regolamentazione europea della privacy è stata progressivamente ripresa, in tutto o in parte, da numerose giurisdizioni mondiali, dalla California al Brasile, dalla Corea del Sud al Sud Africa. Lo stesso “effetto Bruxelles” potrebbe ripetersi con l’AI Act, dando alla tecnologia conforme al modello europeo un vantaggio competitivo globale, specie nei mercati istituzionali, sanitari e regolati. Le imprese che si conformano in anticipo rispetto alle scadenze formali del regolamento si troveranno in posizione di vantaggio quando il modello europeo si diffonderà in altri ordinamenti.

4. La governance europea: AI Office, AI Board e organi consultivi

Il regolamento istituisce un sistema di governance articolato su due livelli, europeo e nazionale, ciascuno con organi e competenze specifiche.

A livello europeo il ruolo centrale è assunto dall’AI Office (Ufficio per l’IA), istituito ex art. 64 AI Act all’interno della Commissione Europea. È il centro di competenze in materia di IA dell’Unione e svolge funzioni cruciali:

• monitoraggio, supervisione e applicazione dei requisiti del regolamento per i modelli e i sistemi GPAI in tutti gli Stati membri
• vigilanza sui rischi sistemici imprevisti derivanti dallo sviluppo e implementazione dei GPAI
• valutazione delle capacità dei modelli e indagine sugli incidenti di potenziale non conformità
• adozione di codici di condotta volontari per facilitare la conformità dei fornitori GPAI
• cooperazione internazionale sull’intelligenza artificiale e coordinamento con la comunità scientifica
• supporto alla creazione di sandbox regolamentari, ambienti controllati in cui le aziende possono testare i sistemi di IA
• assistenza informativa a PMI e startup nell’adeguamento al regolamento

L’AI Office è organizzato in cinque unità (eccellenza nell’IA e nella robotica; regolamentazione e conformità; sicurezza AI; innovazione e coordinamento delle politiche AI; AI per il bene della società) e due ruoli consulenziali (consulente scientifico principale; consulente per gli affari internazionali).

Accanto all’AI Office, l’art. 65 AI Act istituisce l’AI Board (Consiglio europeo per l’intelligenza artificiale). È composto da un rappresentante per ciascuno Stato membro, designato per un periodo di tre anni rinnovabile una volta. La sua funzione è di coordinamento e indirizzo: facilita la cooperazione tra le autorità nazionali, raccoglie e condivide buone pratiche, fornisce consulenza alla Commissione sull’attuazione del regolamento, redige raccomandazioni. Alle riunioni partecipa anche il Garante europeo della protezione dei dati, come osservatore senza diritto di voto.

Il sistema europeo è completato da due organi consultivi previsti dagli artt. 67 e 68 AI Act:

• il Forum consultivo, composto da rappresentanti dell’industria, delle startup, delle PMI, della società civile e del mondo accademico, oltre a membri istituzionali permanenti come l’Agenzia per i diritti fondamentali, l’ENISA, il CEN, il CENELEC e l’ETSI. Si riunisce almeno due volte all’anno e fornisce pareri e raccomandazioni a richiesta dell’AI Board o della Commissione
• il Gruppo di esperti scientifici indipendenti, selezionati dalla Commissione tra esperti con competenze scientifiche o tecniche specifiche, indipendenti da qualsiasi fornitore di sistemi o modelli, chiamati a sostenere l’attività di esecuzione del regolamento sia a livello europeo sia, su richiesta, degli Stati membri (art. 69 AI Act)

5. La governance nazionale e il caso italiano

Nonostante la natura intrinsecamente sovranazionale della materia, il regolamento attribuisce un ruolo cruciale alle autorità nazionali. L’art. 70 AI Act impone a ciascuno Stato membro di istituire o designare almeno due autorità competenti:

• l’autorità di notifica, che ha il compito di gestire, monitorare e vigilare la fase di certificazione dei sistemi di IA, in particolare di quelli ad alto rischio (artt. 28-39 AI Act)
• l’autorità di vigilanza del mercato, che controlla il rispetto del regolamento da parte di produttori, distributori e utilizzatori, con poteri di indagine e potere sanzionatorio

Le due funzioni non possono essere attribuite allo stesso soggetto, ma il regolamento lascia agli Stati membri ampia discrezionalità: possono istituire nuove autorità o designare autorità esistenti, una o più per ciascuna funzione. Sono richiesti requisiti strutturali specifici: competenza tecnica, esercizio indipendente e imparziale dei poteri, capacità di garantire l’attuazione del regolamento. Le autorità nazionali devono essere individuate e comunicate alla Commissione entro un anno dall’entrata in vigore del regolamento.

5.1 Il modello italiano: AgID e ACN

L’Italia ha optato per affidare le funzioni AI Act a due agenzie già esistenti. Il disegno di legge sull’intelligenza artificiale, attualmente in iter parlamentare [DA VERIFICARE stato attuale dell’iter], affida la funzione di vigilanza del mercato all’Agenzia nazionale per la cybersicurezza (ACN) e la funzione di notifica all’Agenzia per l’Italia digitale (AgID). Una scelta che riflette le competenze tecniche già consolidate dei due enti e che evita la creazione di una nuova autorità ad hoc.

Le sfide operative per le autorità nazionali sono di duplice natura. La prima è di supporto al sistema produttivo: la complessità della normativa europea richiede un’attività di accompagnamento agli operatori, in particolare PMI e startup, attraverso orientamenti, consulenze, attività di chiarimento. Lo stesso AI Act prevede espressamente questa funzione di assistenza.

La seconda è di coordinamento con le altre autorità di regolazione settoriale. L’AI Act non opera in un vuoto normativo: interseca competenze del Garante Privacy (data protection), dell’AGCM (tutela del consumatore, mercato digitale, Digital Markets Act), dell’AGCOM (contenuti digitali, Digital Services Act), della Banca d’Italia e di Consob (settore finanziario), della BCE (vigilanza prudenziale). È un quadro già complesso, esposto a sovrapposizioni di discipline e competenze che generano incertezza applicativa. La governance italiana dell’AI dovrà ridurre, non amplificare, questa complessità.

5.2 Le sandbox regolamentari: lo spazio dell’innovazione

Una funzione strategica delle autorità nazionali è la promozione delle sandbox regolamentari, ambienti controllati in cui le imprese possono sperimentare nuovi sistemi di IA prima dell’immissione sul mercato. L’art. 57 AI Act obbliga ciascuno Stato membro a istituirne almeno una entro 24 mesi dall’entrata in vigore del regolamento.

Le sandbox sono concepite come strumento di compliance assistita: l’autorità nazionale e il prospective provider definiscono congiuntamente un piano di sperimentazione, l’autorità accompagna l’impresa nell’identificazione dei rischi, nelle modalità di testing, nelle misure di mitigazione. Al termine viene elaborato un exit report con i risultati della sperimentazione. È un modello virtuoso che, se ben gestito, può ridurre i costi di compliance per le imprese e aumentare la qualità tecnica dei sistemi immessi sul mercato.

Conclusione in sintesi