Con l’avvicinarsi delle principali scadenze previste dall’AI Act europeo, le aziende che utilizzano sistemi di intelligenza artificiale devono verificare che processi, dati e responsabilità siano gestiti correttamente. Non si tratta più di capire se adottare l’AI, ma di farlo in modo conforme e sostenibile. A quasi due anni dall’entrata in vigore della normativa (agosto 2024), il tempo delle valutazioni teoriche è scaduto. Per le aziende che guidano l’innovazione, l’obiettivo a brevissimo termine non è più comprendere l’astratto funzionamento dell’AI, ma rafforzare la governance del dato per ridurre i rischi normativi e garantire che gli investimenti in AI producano valore nel lungo periodo.

L’errore più comune è considerare l’AI Act come un impianto normativo isolato. Al contrario, la nuova disciplina si innesta sulle fondamenta già consolidate del GDPR, richiedendo un cambio di passo organizzativo: la trasparenza e la verificabilità dei processi algoritmici sono i presupposti minimi per difendere la solidità del business sul mercato.

L’azienda come deployer: ruoli e responsabilità

Per muoversi in sicurezza, il management deve innanzitutto chiarire la propria posizione giuridica. Nella maggior parte dei casi, le aziende non sviluppano direttamente sistemi di AI, ma utilizzano soluzioni fornite da terzi. In questo scenario assumono il ruolo di “Deployer”, cioè di utilizzatori del sistema. Pur non essendo responsabili dello sviluppo della tecnologia, devono comunque garantirne un utilizzo corretto e conforme alle norme.

Questa responsabilità varia in funzione del livello di rischio attribuito al sistema di AI dal legislatore europeo:

• Sistemi ad alto rischio (in vigore da agosto 2026): è l’area che richiede l’intervento immediato delle direzioni IT e Legal. Comprende i software utilizzati in ambiti delicati come la gestione delle risorse umane (algoritmi di screening dei CV o di valutazione delle performance), la valutazione del merito creditizio e la sicurezza delle infrastrutture critiche. L’uso di questi strumenti è subordinato a una rigorosa due diligence sul fornitore e a un controllo umano effettivo.
  
  
• Pratiche vietate: tecnologie escluse a priori dal mercato europeo, come lo scoring sociale, la manipolazione comportamentale subliminale o la sorveglianza biometrica di massa in tempo reale.
  
  
• Trasparenza specifica: riguarda i sistemi di interazione diretta (chatbot di assistenza clienti) e l’AI generativa. L’obbligo qui è informativo: l’utente deve essere esplicitamente consapevole di interagire con una macchina e i contenuti generati devono essere tracciabili.
  
  
• Rischio minimo: applicazioni industriali ottimizzate, filtri antispam o sistemi di AI integrati nei CRM per funzioni base. Non prevedono obblighi stringenti, ma possono beneficiare dell’adozione di policy e codici di condotta interni per favorire un utilizzo responsabile.

AI Act e GDPR: dove si incontrano

Il punto di contatto più delicato tra AI Act e protezione dei dati personali riguarda la fase di addestramento e utilizzo dei modelli. Alimentare un algoritmo con qualsiasi dato disponibile viola il principio cardine di minimizzazione del GDPR. Tuttavia, la vera sfida per i dipartimenti Legal ed IT supera la semplice anonimizzazione dei dati in ingresso.

I sistemi ad alto rischio attivano obblighi di data governance quantitativa e qualitativa (Articolo 10 dell’AI Act) per l’identificazione di possibili distorsioni o discriminazioni nei dati utilizzati per l’addestramento. Inoltre, sorge un paradosso tecnico-giuridico di difficile risoluzione: un tema ancora aperto riguarda il diritto alla cancellazione dei dati e la sua applicazione ai modelli di machine learning. Quando un modello è già stato addestrato utilizzando informazioni personali, rimuovere completamente l’influenza di quei dati può essere complesso e costoso. Per questo motivo la gestione dei dataset e delle basi giuridiche del trattamento deve essere affrontata fin dalle prime fasi del progetto.

Per districarsi in questa complessità, l’introduzione di sistemi algoritmici richiede oggi due adempimenti paralleli e integrati:

• DPIA (Valutazione di Impatto sulla Protezione dei Dati): focalizzata sulla sicurezza dei flussi, sulle basi giuridiche del trattamento e sui rischi di data leakage.
  
  
• FRIA (Fundamental Rights Impact Assessment): prevista dall’Articolo 27 dell’AI Act in specifici casi di utilizzo di sistemi ad alto rischio, in particolare da parte di enti pubblici e organizzazioni che operano in ambiti sensibili. Si tratta di una valutazione d’impatto sui diritti fondamentali delle persone potenzialmente coinvolte dall’utilizzo del sistema.

Il ruolo della supervisione umana

Un’altra assunzione errata è la convinzione che basti affiancare un operatore umano alla macchina per essere in regola con il principio del controllo (Human-in-the-Loop). I dati sull’interazione uomo-macchina evidenziano il rischio opposto: il bias di automazione, ovvero la tendenza psicologica del personale a fidarsi acriticamente dell’output del software, considerandolo intrinsecamente corretto.

La supervisione umana non può ridursi a una semplice approvazione delle decisioni suggerite dall’algoritmo. Le persone coinvolte devono essere adeguatamente formate per comprendere i limiti dello strumento, individuare possibili errori e intervenire quando necessario.

AI Literacy: competenze e consapevolezza 

A questo proposito, tra gli aspetti più concreti introdotti dall’AI Act vi è il tema dell’AI Literacy, ovvero la necessità di garantire competenze adeguate alle persone che utilizzano o supervisionano sistemi di intelligenza artificiale.

Questo non significa trasformare ogni dipendente in un esperto di machine learning, ma assicurarsi che comprenda le opportunità, i limiti e i rischi associati all’utilizzo dell’intelligenza artificiale. Policy aziendali, formazione continua e linee guida operative diventano quindi elementi essenziali della governance.

Il rischio crescente della Shadow AI

In molte organizzazioni i dipendenti utilizzano strumenti di AI generativa senza che l’azienda ne abbia piena visibilità. Questo fenomeno, noto come Shadow AI, può comportare l’inserimento di dati personali, informazioni riservate o documenti aziendali in piattaforme esterne non preventivamente autorizzate.

Per ridurre questo rischio è fondamentale adottare policy chiare, definire strumenti approvati dall’organizzazione e monitorarne l’utilizzo attraverso processi di governance adeguati.

La conformità passa anche dalla supply chain AI

Molte organizzazioni utilizzano modelli, API e piattaforme sviluppati da fornitori esterni. La conformità non dipende quindi solo dalle procedure interne, ma anche dalle garanzie offerte dai partner tecnologici. Aspetti come la gestione dei dati, la trasparenza dei modelli, la documentazione disponibile e la ripartizione delle responsabilità contrattuali diventano elementi essenziali per una governance efficace dell’AI.

La vera domanda che le organizzazioni dovrebbero porsi oggi non è se utilizzare l’intelligenza artificiale, ma se dispongono delle competenze, dei processi e dei controlli necessari per governarla in modo efficace.

Per questo motivo è utile avviare una valutazione preliminare dei sistemi AI già presenti in azienda, individuando eventuali aree di rischio e definendo un percorso di adeguamento coerente con gli obiettivi di business.

L’AI Act e il GDPR rappresentano due tasselli di un percorso più ampio che richiede consapevolezza, responsabilità e capacità di adattamento. Le aziende che sapranno affrontare questa trasformazione con un approccio strutturato saranno quelle in grado di cogliere il valore dell’AI senza esporre il proprio business a rischi inutili.

Scopri la sezione editoriale di Next04: articoli, approfondimenti e analisi pensati per chi lavora ogni giorno al fianco dell’evoluzione.