AI Act: tra compliance e formazione per un vantaggio competitivo

L’AI Act rappresenta il primo quadro normativo organico dell’Unione europea dedicato all’intelligenza artificiale. L’individuazione delle diverse scadenze applicative e degli obblighi previsti dal Regolamento rappresenta un passaggio fondamentale per gli operatori interessati.

A decorrere dal 2 agosto 2026 trovano applicazione ulteriori disposizioni, tra cui gli obblighi di trasparenza per le aziende che utilizzano chatbot, assistenti virtuali o altri sistemi di intelligenza artificiale che interagiscono con le persone. L’adeguamento all’AI Act, tuttavia, non si esaurisce nel rispetto dei nuovi obblighi normativi.
Per le imprese rappresenta anche l’opportunità di definire un modello di governance dell’intelligenza artificiale che integri profili di compliance, soluzioni tecnologiche e percorsi di formazione, favorendo un utilizzo dei sistemi di AI consapevole, responsabile e conforme al quadro regolatorio.

È in questa prospettiva che Orbyta Tax&Legal segue da vicino l’evoluzione di questo nuovo quadro normativo, affiancando le imprese nell’interpretazione degli obblighi applicabili e nel relativo percorso di adeguamento.

L’AI Act è entrato in vigore il 1° agosto 2024, ma le scadenze applicative sono state successivamente modificate nell’ambito del cosiddetto "AI Omnibus", ovvero, il pacchetto legislativo volto a semplificare l’attuazione del l Regolamento e a differire alcune scadenze applicative relative ai sistemi di AI ad alto rischio. In particolare, i sistemi di AI ad alto rischio "stand alone", la cui applicazione era prevista per il 2 agosto 2026, vedrebbero posticipata la propria applicazione al 2 dicembre 2027. Per i sistemi di AI ad alto rischio integrati in prodotti già regolamentati dall’UE, come dispositivi medici, macchinari o ascensori, passerebbero invece dal 2 agosto 2027 al 2 agosto 2028. Il differimento riguarda esclusivamente i sistemi classificati come ad alto rischio e non incide sulle ulteriori disposizioni del Regolamento già applicabili o destinate ad applicarsi secondo il calendario previsto.

A decorrere dal 2 agosto 2026 trovano applicazione, tra gli altri, gli obblighi di trasparenza verso gli utenti previsti per i sistemi che interagiscono direttamente con le persone, come chatbot e assistenti virtuali. Le organizzazioni che impiegano tali sistemi sono pertanto chiamate a verificare gli obblighi applicabili in relazione al proprio ruolo e alle modalità di utilizzo dei sistemi di AI, adottando, ove necessario, le misure organizzative e di compliance richieste dal Regolamento, senza attendere le successive scadenze applicative.

L’articolo 1 dell’AI Act chiarisce che lo scopo del Regolamento è migliorare il funzionamento del mercato interno e promuovere la diffusione di un’intelligenza artificiale antropocentrica e affidabile, garantendo al contempo un livello elevato di protezione della salute, della sicurezza e dei diritti fondamentali. Per raggiungere questo obiettivo, il Regolamento stabilisce quattro principali ambiti di disciplina:

• regole armonizzate per l‘immissione sul mercato, la messa in servizio e l’uso dei sistemi di AI nell’Unione, comprese le regole di trasparenza e le attività di monitoraggio del mercato;
• divieti per alcune pratiche di AI considerate inaccettabili;
• requisiti specifici per i sistemi ad alto rischio e obblighi per gli operatori coinvolti;
• misure a sostegno dell’innovazione, con particolare attenzione alle PMI e alle start-up

Il Regolamento classifica, inoltre, i sistemi di AI in quattro livelli di rischio, dove all’aumentare del livello di rischio risultano incrementati anche gli obblighi previsti dal Regolamento. Il rischio inaccettabile è vietato, il rischio alto comporta obblighi stringenti, il rischio limitato richiede il rispetto degli obblighi di trasparenza verso gli utenti e, infine, il rischio minimo prevede vincoli meno stringenti.

Tra le pratiche vietate rientrano la manipolazione delle persone attraverso tecniche che influenzano il comportamento senza che l’interessato ne sia consapevole, lo sfruttamento di persone vulnerabili come bambini o anziani, il social scoring, la previsione di crimini basata esclusivamente sull’analisi della personalità e l’utilizzo invasivo dei dati
biometrici. Per utilizzo invasivo di dati biometrici s’intende: la creazione o l’espansione non mirata di banche dati di riconoscimento facciale, il riconoscimento delle emozioni in determinati contesti lavorativi e scolastici, l’estrazione di dati sensibili e il riconoscimento facciale in tempo reale, ammesso solo in casi eccezionali come la prevenzione di azioni terroristiche o la ricerca di persone scomparse.

Un sistema è considerato ad alto rischio quando è utilizzato come componente di sicurezza di un prodotto soggetto a normativa europea, o è esso stesso tale prodotto, ed è sottoposto a valutazione di conformità da parte di terzi. Rientrano, inoltre, in questa categoria i sistemi impiegati in settori come biometria, infrastrutture, istruzione, lavoro, servizi essenziali, giustizia e migrazione, come l’AI in un dispositivo medico diagnostico, in un’auto autonoma o in macchinari industriali.

Sul versante opposto della scala, il rischio limitato comprende i sistemi soggetti a specifici obblighi di trasparenza, come i chatbot e gli assistenti virtuali che interagiscono direttamente con le persone, per i quali l’utente deve essere messo nelle condizioni di sapere di star interagendo con un sistema di intelligenza artificiale. Il rischio minimo, infine, riguarda i sistemi che non rientrano in nessuna delle categorie precedenti e per i quali il Regolamento non prevede vincoli specifici, lasciandone libero l’utilizzo.

Tra i concetti introdotti dall’AI Act, uno dei più rilevanti per le aziende è quello di AI Literacy, ovvero l’alfabetizzazione in materia di intelligenza artificiale. L’articolo 4 del Regolamento impone ai fornitori e ai deployer di adottare misure adeguate affinché il proprio personale e gli altri soggetti che operano per loro conto dispongano di un livello di AI Literacy proporzionato al ruolo ricoperto, all’esperienza, alla formazione e al livello di rischio dei sistemi utilizzati. In pratica, chi lavora con l’intelligenza artificiale deve sapere cos’è, quando è opportuno usarla, quando evitarla, quali rischi comporta e quali regole è tenuto a rispettare.

Tuttavia, trattare questo obbligo come un mero adempimento sarebbe riduttivo.
Le aziende che oggi investono seriamente sulla formazione delle persone, sviluppando non solo competenze tecniche ma altresì capacità di giudizio e consapevolezza nell’uso degli strumenti di AI, si trovano nella posizione di trasformare un vincolo normativo in un vantaggio competitivo reale posto che adottano l’intelligenza artificiale in modo più efficace e sicuro con l’obiettivo di ridurre i rischi operativi e reputazionali.

Di fronte a tale articolato quadro, con scadenze differenziate e obblighi che dipendono dal ruolo e dal tipo di sistema utilizzato, orientarsi non è semplice e la sola lettura giuridica del Regolamento non basta a governare il cambiamento in atto. Occorre, infatti, un approccio che unisca competenze trasversali, capaci di leggere in modo integrato il quadro normativo, le tecnologie utilizzate e le persone che impiegano tali tecnologie nell’ambito dell’attività aziendale.
Orbyta, in quanto gruppo multidisciplinare che supporta aziende e istituzioni nella trasformazione digitale e nello sviluppo di modelli di innovazione sostenibile, anche in contesti di forte incertezza, affronta l’AI Act partendo proprio da questa prospettiva integrata.
In concreto, ciò significa integrare la mappatura dei sistemi di AI in uso, la valutazione dei rischi secondo il Regolamento, la scelta di strumenti tecnologici sicuri, l’adozione di modelli formativi pensati per sviluppare competenze e un approccio consapevole all’utilizzo dell’AI.