La legge UE AI: cosa significa realmente per le aziende che spediscono AI

Se costruisci, acquisti o distribuisci AI che tocca le persone nell'UE, la legge AI ora stabilisce le regole a cui rispondi. Le multe per pratiche vietate si applicano dal febbraio 2025, e gli obblighi di trasparenza per chatbot e contenuti sintetici si applicano dal 2 agosto 2026. Gli obblighi per il rischio elevato, originariamente previsti per lo stesso giorno, sono stati posticipati dall'Omnibus digitale dell'UE sull'AI al 2 dicembre 2027. La maggior parte dei team non deve farsi prendere dal panico. Deve sapere in quale livello di rischio rientra il proprio sistema, e avviare la documentazione richiesta da quel livello.

Quattro livelli e solo due ti costano un vero sforzo

La legge suddivide ogni sistema AI in quattro livelli di rischio. I rischi inaccettabili sono completamente vietati: il punteggio sociale del governo, la maggior parte dell’identificazione biometrica in tempo reale negli spazi pubblici e la manipolazione che causa danni. Tali pratiche sono vietate dal 2 febbraio 2025. Il rischio minimo, che copre la maggior parte dei software, compresi i filtri antispam e i motori di raccomandazione, non comporta nuovi obblighi.

Tra questi due estremi si trovano i livelli che determinano effettivamente il modo in cui costruisci. Il rischio limitato comporta un dovere di trasparenza: avvisare le persone quando stanno parlando con un bot ed etichettare i media sintetici. Il rischio elevato è il luogo in cui risiedono gli obblighi pesanti e dove sarà destinata la maggior parte del lavoro di conformità e del budget. Se non puoi ancora escludere un rischio elevato per un sistema, assumilo finché puoi. Il costo di indovinare punti errati va solo in una direzione.

Cosa conta effettivamente come ad alto rischio

Questa è la domanda che decide il tuo carico di lavoro ed è più ristretta di quanto suggeriscano i titoli. Un sistema è ad alto rischio in due casi. In primo luogo, se si tratta di un componente di sicurezza di un prodotto già regolamentato, come un dispositivo medico, un macchinario o un veicolo. In secondo luogo, se opera in uno dei settori elencati dalla legge nell’allegato III: assunzione e gestione dei lavoratori, accesso all’istruzione, credit scoring e servizi finanziari essenziali, servizi e benefici pubblici essenziali, applicazione della legge, migrazione e amministrazione della giustizia.

Il filo conduttore è la conseguenza. Se il tuo modello aiuta a decidere chi ottiene un lavoro, un prestito, un posto scolastico o un beneficio, probabilmente è ad alto rischio e spetta a te dimostrare il contrario. Un chatbot che risponde alle domande sui prodotti non è ad alto rischio. Lo stesso chatbot, riproposto per selezionare i candidati al lavoro, lo è.

Le date che comportano multe

La legge è entrata in vigore il 1° agosto 2024 e entrerà in vigore gradualmente. Le pratiche vietate e l'obbligo di alfabetizzazione AI si applicano dal 2 febbraio 2025. Gli obblighi per i modelli AI per scopi generali, i modelli linguistici di grandi dimensioni su cui si basa ora la maggior parte dei team, si applicano dal 2 agosto 2025. Gli obblighi di trasparenza previsti dall'articolo 50 si applicano dal 2 agosto 2026. I requisiti ad alto rischio erano previsti per lo stesso giorno, ma l'Omnibus digitale sull'AI, in vigore dal 27 luglio 2026, li ha posticipati al 2 dicembre 2027 per i sistemi dell'allegato III e al 2 agosto 2028 per l'AI ad alto rischio incorporata in prodotti regolamentati.

Le sanzioni sono dimensionate per farsi sentire. L’utilizzo di un sistema vietato può costare fino a 35 milioni di euro o il 7% del fatturato annuo globale, a seconda di quale sia il valore più alto. La violazione degli obblighi ad alto rischio può raggiungere i 15 milioni di euro o il 3% del fatturato. Fornire alle autorità di regolamentazione informazioni errate o fuorvianti può raggiungere i 7,5 milioni di euro, ovvero l’1%. Si tratta di massimali, ridimensionati in base alla violazione, ma sufficientemente grandi da far sì che "ce ne occuperemo più tardi" smetta di essere un piano.

Come si presentano nella pratica gli obblighi ad alto rischio

Eliminare il linguaggio giuridico e il regime ad alto rischio è per lo più una buona disciplina ingegneristica, messa per iscritto. È necessario un processo di gestione del rischio che si estenda lungo tutta la vita del sistema e non un'approvazione una tantum. Hai bisogno della governance dei dati: sapere quali sono i tuoi dati di formazione e input, da dove provengono e come potrebbero influenzare un risultato. C'è bisogno di documentazione tecnica e di registrazione automatica, in modo che quando una decisione viene contestata si possa ricostruire come il sistema l'ha raggiunta. C’è bisogno di una supervisione umana significativa, di una persona che possa comprendere, scavalcare e fermare il sistema, piuttosto che un timbro di gomma. E prima di entrare in funzione, un sistema ad alto rischio necessita di una valutazione di conformità e di una registrazione nel database dell’UE.

Niente di tutto questo è esotico. È la stessa disciplina che separa un modello che funziona in produzione da una demo che funziona una volta.

Cosa fare adesso

Una lista di controllo breve e onesta batte un raccoglitore di conformità che nessuno legge.

• Inventaria ogni sistema AI che costruisci o acquisti, comprese le funzionalità silenziosamente alimentate dal modello di un fornitore.
• Classificare ciascuno per livello e essere severi riguardo alle aree ad alto rischio nell'allegato III.
• Assegnare a ogni sistema ad alto rischio un nome proprietario. La conformità senza proprietario non avviene.
• Avvia la documentazione tecnica e la registrazione adesso, mentre il sistema è piccolo. Aggiornarlo in un secondo momento costa molto di più.
• Integrare il percorso di supervisione umana nel prodotto, non come un elemento aggiuntivo alla fine.
• Leggere i termini del fornitore AI per uso generico. I loro obblighi non cancellano i tuoi.

Mappare i tuoi sistemi sui livelli di rischio della legge e costruire la documentazione richiesta da ciascuno fa parte del nostro lavoro di consulenza AI.

La conclusione pratica

La legge AI non mira tanto a vietare AI quanto a costringerti a documentare e supervisionare AI che prende decisioni consequenziali sulle persone. Per i sistemi che presentano chiaramente un rischio minimo o limitato, il lavoro è piccolo. Per i sistemi ad alto rischio, il lavoro è reale e il 2 dicembre 2027 è più vicino di quanto sembri. Mappa prima i tuoi sistemi ai livelli. Quasi tutto il resto deriva dal sapere dove ti trovi.