AI Act, che succede ora: tutta la roadmap

L’ufficio stampa della Commissione Europea ha pubblicato il primo gruppo di Q&A sul Regolamento europeo sull’intelligenza artificiale o AI Act, un documento che chiarisce i dettagli essenziali e le tempistiche di applicazione. Sono state delineate linee guida, standard e codici di condotta per garantire conformità e sicurezza, e incentivare un’implementazione proattiva delle norme.

Tralasciate quelle che spiegano i motivi che hanno spinto la Commissione a regolamentare l’uso dell’intelligenza artificiale, i suoi benefici, la scelta di un approccio basato sul rischio, portiamo l’attenzione su quei profili che ci possano aiutare a capire l’avanzamento dei lavori e ad approfondire alcuni aspetti del Regolamento.

Tempistiche di applicazione dell’AI Act

L’AI Act si applicherà a partire dal 2 agosto 2026, due anni dopo la sua entrata in vigore, fatta eccezione per le seguenti disposizioni specifiche:

• i divieti, le definizioni e le disposizioni relative all’alfabetizzazione in materia di AI che si applicheranno a partire dal 2 febbraio 2025, 6 mesi dopo l’entrata in vigore;
• le norme sulla governance e gli obblighi per l’AI di uso generale che si applicheranno a partire dal 2 agosto 2025, 12 mesi dopo l’entrata in vigore;
• gli obblighi per i sistemi di AI ad alto rischio classificati come ad alto rischio perché incorporati in prodotti regolamentati, elencati nell’allegato II (elenco della normativa di armonizzazione dell’Unione), che si applicheranno a partire dal 2 agosto 2027, 36 mesi dopo l’entrata in vigore.

Attuazione dell’AI Act, i lavori in corso

Correlativamente emergono anche le prime indicazioni specifiche sulla pubblicazione di alcuni dei tanti provvedimenti attuativi:

• gli orientamenti sugli usi di AI vietati (prima del 2 febbraio 2025)
• le Linee guida per la classificazione ad alto rischio (prima della data di applicazione);
• gli standard: l’attuale incarico affidato dalla Commissione alle organizzazioni europee di standardizzazione CEN e CENELEC, di sviluppare standard per i requisiti ad alto rischio sarà integrato per allinearlo all’AI Act. Le norme dovranno essere sviluppate e pubblicate entro la fine di aprile 2025. Potranno costituire una “presunzione di conformità” ai sistemi di IA sviluppati in conformità solo dopo la positiva valutazione ed approvazione da parte della Commissione;
• linee guida per fornire ulteriori indicazioni ai fornitori e agli operatori sugli obblighi di cui all’articolo 50 che entreranno in vigore il 2 agosto 2026;

I Codici di condotta

Sarà inoltre incoraggiato e facilitato lo sviluppo di codici di condotta a livello dell’Unione per razionalizzare l’effettiva attuazione degli obblighi relativi al rilevamento e all’etichettatura di contenuti generati o manipolati artificialmente.

In particolare, viene delineata la procedura, inclusiva e trasparente, per l’adozione del Codice di condotta per l’IA a scopo generale, definito quali strumento centrale per la conformità.

Per facilitarne il processo di stesura, verrà istituita una specifica plenaria, composta da tutti i fornitori di modelli di IA a scopo generale interessati e idonei, dai fornitori a valle che integrano un modello di IA a scopo generale nel loro sistema di IA, da altre organizzazioni del settore, ma anche da altre organizzazioni di stakeholder come la società civile o le organizzazioni dei titolari dei diritti, nonché dal mondo accademico e da altri esperti indipendenti.

L’Ufficio per l’AI ha già lanciato un invito a manifestare interesse per partecipare alla stesura del primo Codice di condotta. Parallelamente a questo invito a manifestare interesse, viene lanciata una consultazione multi-stakeholder per raccogliere opinioni e contributi da tutti gli stakeholder interessati al primo Codice di condotta. Le risposte e le osservazioni costituiranno la base della prima iterazione di stesura del Codice di condotta.

Al termine del processo di stesura del Codice di condotta, l’AI Office e l’AI Board valuteranno l’adeguatezza del Codice e pubblicheranno la loro valutazione. A seguito di tale valutazione, la Commissione può decidere di approvare un Codice di condotta e di conferirgli validità generale all’interno dell’Unione mediante atti di esecuzione.

Evidenza degli obblighi

Si ribadiscono gli impegni:

• i fornitori di sistemi di intelligenza artificiale ad alto rischio dovranno implementare sistemi di gestione della qualità e del rischio per garantire la conformità ai nuovi requisiti e ridurre al minimo i rischi per gli utenti e le persone interessate, anche dopo l’immissione del prodotto sul mercato;
• le autorità pubbliche e gli enti che agiscono per loro conto che utilizzano sistemi di intelligenza artificiale ad alto rischio dovranno registrarli in una banca dati pubblica dell’UE;
• le autorità di sorveglianza del mercato, per garantire la conformità durante l’intero ciclo di vita del sistema di IA, devono condurre audit regolari e facilitare il monitoraggio successivo all’immissione sul mercato, consentendo ai fornitori di segnalare volontariamente qualsiasi incidente grave o violazione degli obblighi in materia di diritti fondamentali di cui vengano a conoscenza.

In caso di violazione, i requisiti consentiranno altresì, alle autorità nazionali, di avere accesso alle informazioni necessarie per indagare se l’uso del sistema di IA è conforme alla legge.

Le sanzioni

Gli Stati membri dovranno stabilire sanzioni efficaci, proporzionate e dissuasive per le violazioni delle norme sui sistemi di intelligenza artificiale.

Anche la Commissione può intervenire con sanzioni per inosservanza di uno qualsiasi degli obblighi o delle misure richieste dalla Commissione ai sensi del Regolamento ma soprattutto si aspetta che le istituzioni, le agenzie o gli organismi dell’UE diano il buon esempio: il Garante europeo della protezione dei dati avrà il potere di imporre loro sanzioni in caso di inosservanza.

L’AI Pact: una comunità collaborativa intorno all’AI ACt

Avviato dal Commissario Thierry Breton nel maggio 2023, l’AI Pact mira a migliorare l’impegno tra l’AI Office e le organizzazioni (Pilastro I) e a incoraggiare l’impegno volontario del settore a iniziare a implementare i requisiti dell’AI Act prima della scadenza legale (Pilastro II).

In particolare, nell’ambito del Pilastro I, i partecipanti contribuiranno alla creazione di una comunità collaborativa, condividendo le proprie esperienze e conoscenze. Ciò include workshop organizzati dall’AI Office che forniscono ai partecipanti una migliore comprensione dell’AI Act, delle proprie responsabilità e di come prepararsi alla sua implementazione. A sua volta, l’AI Office può raccogliere informazioni sulle migliori pratiche e sulle sfide affrontate dai partecipanti.

Nell’ambito del Pilastro II, le organizzazioni sono incoraggiate a divulgare in modo proattivo i processi e le pratiche che stanno implementando per anticipare la conformità, attraverso impegni volontari. Gli impegni sono intesi come “dichiarazioni di impegno” e conterranno azioni (pianificate o in corso) per soddisfare alcuni dei requisiti dell’AI Act.

Nell’ambito del Patto sull’IA, l’Ufficio per l’IA invita tutte le organizzazioni ad anticipare e attuare in modo proattivo alcune delle disposizioni chiave dell’AI Act, con l’obiettivo di mitigare i rischi per la salute, la sicurezza e i diritti fondamentali il prima possibile. Oltre 700 organizzazioni hanno già espresso il loro interesse ad aderire all’iniziativa AI Pact, in seguito a un invito lanciato a novembre 2023. Una prima sessione informativa si è tenuta online il 6 maggio, con 300 partecipanti. La firma ufficiale degli impegni volontari è prevista per l’autunno 2024.