AI Act, scattano i primi divieti: chi rischia le sanzioni e le prossime tappe

Da domenica 2 febbraio 2025, sono entrate in vigore le prime disposizioni del discusso AI Act, la normativa approvata lo scorso anno dall’Unione europea, che stabilisce regole dettagliate per lo sviluppo, l’immissione sul mercato e l’uso dei sistemi di intelligenza artificiale (IA).

Sebbene l’Unione europea sia stata la prima a intraprendere questo percorso normativo, l’AI Act non ha ancora trovato una replica simile in altri ordinamenti giuridici, quindi non possiamo ancora parlare di un “Bruxelles effect” come accaduto per il Gdpr, anche se diversi Paesi stanno monitorando, e criticando, da vicino l’evoluzione della normativa.

L’AI Act adotta un approccio basato sul rischio, con l’intento di promuovere l’uso sicuro dell’IA, proteggendo i diritti fondamentali dei cittadini, tutelati dalla Carta dei diritti fondamentali dell’UE, e prevenendo gli abusi.

A partire da febbraio, sono dunque entrati in vigore i divieti per quei sistemi di IA che presentano rischi “inaccettabili” per la sicurezza e i diritti fondamentali.

Ecco la classificazione dei rischi dell’AI Act e quali sono i divieti.

Rischi inaccettabili: cosa viene vietato

Il cuore dell’AI Act è l’identificazione di un “rischio inaccettabile”, un concetto che implica che alcune applicazioni di IA possano nuocere gravemente alla sicurezza, ai diritti e alla dignità delle persone.

I sistemi di IA che operano con tecniche manipolatorie, come il riconoscimento delle emozioni sul posto di lavoro o la creazione di profili biometrici per classificare individui in base alla razza, l’orientamento sessuale o la religione, sono considerati troppo pericolosi per essere utilizzati.

Il divieto riguarda anche pratiche come il social scoring e l’uso di IA per prevedere crimini sulla base dell’aspetto fisico di una persona. Questi divieti sono il risultato di un’approfondita riflessione sulla natura dei rischi che l’IA può comportare.

La legge si pone l’obiettivo di ridurre i danni derivanti dall’uso irresponsabile delle tecnologie, proteggendo i diritti fondamentali degli individui da violazioni gravi.

L’AI Act proibisce espressamente queste applicazioni, considerando che i danni potenziali sarebbero troppo grandi e difficili da mitigare.

Esempi di pratiche con rischio inaccettabile

Ecco le pratiche con rischio inaccettabile riguardano i sistemi di IA che:

• manipolano le decisioni degli individui in modo subliminale o ingannevole;
• sfruttano le vulnerabilità come l’età, la disabilità o lo status socio-economico per influenzare il comportamento;
• valutano o classificano gli individui in base al loro comportamento sociale o alle caratteristiche della personalità;
• valutano o prevedono il rischio di un individuo di commettere un reato basandosi sui loro tratti di personalità e caratteristiche;
• creano o espandono database di riconoscimento facciale attraverso la raccolta non mirata di immagini del viso da internet o da riprese di telecamere a circuito chiuso;
• deducono le emozioni nei luoghi di lavoro o nei centri educativi;
• classificano gli individui in base ai dati biometrici per dedurre la loro razza, opinioni politiche, appartenenza sindacale, credo religioso o filosofico, vita sessuale o orientamento sessuale;
• raccolgono informazioni biometriche “in tempo reale” in spazi pubblici accessibili per l’applicazione della legge, salvo eccezioni ben definite e regolamentate. Tali eccezioni includono la ricerca di un bambino scomparso o la prevenzione di una specifica e imminente minaccia terroristica, ma richiedono l’autorizzazione di un’autorità giudiziaria o indipendente e sono soggette a limiti temporali, geografici e di database di ricerca.

La classificazione dei rischi dell’IA Act

L’AI Act classifica i sistemi di IA in quattro categorie di rischio: inaccettabile, alto, limitato e minimo. Le implicazioni di questa classificazione sono fondamentali per capire come la legge influenzerà i vari settori:

• rischio inaccettabile: questi sistemi sono vietati nell’Ue;
• alto: comprende applicazioni in infrastrutture critiche (come i trasporti), nell’istruzione, nella sicurezza dei prodotti, e nella giustizia, nell’ applicazione dell’IA nella chirurgia assistita da robot o software medici basati sull’IA, servizi pubblici e privati essenziali (per esempio il credit scoring che nega ai cittadini la possibilità di ottenere un prestito). Questi sistemi devono rispettare rigorosi obblighi di valutazione prima di essere immesse sul mercato;
• rischio limitato: si riferisce alla trasparenza e include obblighi per informare gli utenti quando interagiscono con sistemi di IA, come chatbot o contenuti generati da IA;
• minimo o nullo: include applicazioni come videogiochi abilitati all’IA o filtri antispam, che sono esenti da normative stringenti e la stragrande maggioranza dei sistemi di IA attualmente utilizzati nell’UE rientra in questa categoria.

Le tappe cruciali dell’AI Act

L’AI Act si applicherà in diverse fasi, con scadenze e requisiti graduali per facilitare l’adozione e la conformità.

I fornitori di sistemi di IA ad alto rischio dovranno inoltre implementare sistemi di gestione della qualità e del rischio per garantire la conformità ai nuovi requisiti e ridurre al minimo i rischi per gli utenti e le persone interessate, anche dopo che un prodotto è stato immesso sul mercato. E devono effettuare una valutazione d’impatto sui diritti fondamentali e comunicarne i risultati all’autorità nazionale, che in Italia non è stata ancora individuata.

Ecco le tappe fondamentali dell’AI Act:

• febbraio 2025: entrano in vigore i divieti per le AI a rischio inaccettabile. Inizia l’applicazione delle norme riguardanti il riconoscimento facciale non autorizzato, la profilazione sociale, e altre pratiche discriminatorie;
• agosto 2025: scatta la piena applicazione delle norme di governance e degli obblighi per i modelli di IA generali;
• agosto 2027: saranno pienamente applicate le norme di governance per i sistemi che integrano l’IA in prodotti regolamentati, come per esempio quelli utilizzati nella sanità o nei trasporti, dove gli obblighi di conformità saranno più stringenti.

Sanzioni per la non conformità

Le aziende, le istituzioni, le agenzie o gli organismi dell’UE che non rispetteranno le disposizioni previste dall’AI Act rischiano sanzioni pesanti:

• fino a 35 milioni di euro o al 7% del fatturato mondiale totale annuo dell’esercizio precedente (se superiore) per violazioni relative a pratiche vietate o per l’inosservanza di requisiti in materia di dati;
• fino a 15 milioni di euro o al 3% del fatturato mondiale totale annuo dell’esercizio precedente per l’inosservanza di qualsiasi altro requisito o obbligo del regolamento;
• fino a 7,5 milioni di euro o all’1,5% del fatturato mondiale totale annuo dell’esercizio precedente per la fornitura di informazioni inesatte, incomplete o fuorvianti agli organismi notificati e alle autorità nazionali competenti in risposta a una richiesta.

Per ciascuna categoria di violazione, la soglia per le PMI sarebbe l’importo più basso tra i due previsti, mentre per le altre imprese sarebbe l’importo più elevato.

Le multe possono arrivare fino a 35 milioni di euro o al 7% del fatturato globale annuo, a seconda di quale valore sia maggiore. Questo include anche le aziende internazionali che operano all’interno dell’Unione Europea, applicando l’AI Act con un effetto extraterritoriale.

In questo contesto, è fondamentale per le aziende operanti nell’UE comprendere l’interazione tra l’AI Act e altri regolamenti europei, come il Gdpr e la direttiva NIS2, per evitare sovrapposizioni di obblighi e per garantire una gestione corretta degli incidenti e dei rischi.

Il futuro dell’AI Act e la sua attuazione

L’AI Act è il primo regolamento globale sull’intelligenza artificiale, e la sua applicazione cambierà il modo in cui l’IA viene utilizzata e regolamentata nel contesto europeo e potenzialmente anche a livello mondiale. E intende posizionare l’Europa come leader mondiale nella regolamentazione di tecnologie di IA etiche e sicure, promuovendo un ambiente di fiducia tra cittadini e tecnologie.

L’Ufficio Europeo per l’IA, istituito nel febbraio 2024, avrà il compito di monitorare l’attuazione delle disposizioni dell’AI Act e garantire che tutte le innovazioni siano in linea con i principi di sicurezza, privacy e diritti umani. Questo ufficio, insieme agli Stati membri, coordinerà la vigilanza sull’uso delle tecnologie di IA nel mercato europeo.

Se applicata correttamente, la regolamentazione potrebbe stimolare la fiducia dei cittadini nelle nuove tecnologie, favorendo una maggiore adozione dell’IA in settori chiave come la sanità, i trasporti e l’educazione, dove la sicurezza e la trasparenza sono essenziali.

Il rischio di eccesso di regole: la Ue non deve restare indietro nell’IA

Tuttavia, se non ben calibrato, c’è il rischio che l’eccessiva burocrazia o un eccesso di regole possano rallentare l’innovazione. Soprattutto per le piccole e medie imprese che potrebbero trovarsi a fare i conti con oneri normativi eccessivi.

Il futuro dell’AI Act dipenderà dalla sua capacità di adattarsi e rispondere alle sfide legate all’evoluzione rapida delle tecnologie. Solo il tempo dirà se riuscirà a raggiungere un punto di equilibrio tra la protezione dei diritti umani e la promozione dell’innovazione digitale, senza rischiare di frenare lo sviluppo economico e tecnologico dell’UE.

Un appesantimento della regolamentazione, senza un’adeguata flessibilità, potrebbe infatti innescare un processo di decadenza lenta e irreversibile dell’economia sociale di mercato europea e del benessere dei cittadini, riducendo la competitività e la prosperità all’interno dell’Unione Europea.

Ma solo con una continua evoluzione del regolamento, che sappia bilanciare rigorosità e apertura all’innovazione, si potrà evitare che l’Europa rischi di rimanere indietro, a fronte di un progresso tecnologico mondiale che non conosce freni.