Il regolamento europeo sull'IA

Secondo la Commissione, un dipendente che usa ChatGPT per scrivere un testo pubblicitario o per tradurre deve essere informato dei rischi propri dello strumento, per esempio l'allucinazione⁴. Leggere le istruzioni di un sistema può non bastare: in molti casi, chiedere al personale di leggerle potrebbe risultare inefficace⁴.

L'obbligo riguarda anche le persone che lavorano per l'organizzazione senza essere dipendenti, per esempio un collaboratore esterno⁴. In caso di danno, il fornitore di un sistema di IA può essere perseguito secondo il diritto nazionale, e la Commissione precisa che il regolamento non crea né un reato né un diritto al risarcimento⁴.

Per i sistemi ad alto rischio si aggiunge un punto distinto: i deployer devono assicurarsi che il personale che li utilizza sia formato per esercitare la sorveglianza umana⁴. Per un sistema di questo tipo, possono essere pertinenti misure supplementari affinché i dipendenti sappiano come usarlo⁴. Le regole per l'alto rischio dell'allegato III si applicano solo a partire dal 2 dicembre 2027².

Un'organizzazione che utilizza sistemi di IA dovrebbe esaminare il proprio ruolo (fornitore o deployer) e il rischio dei sistemi interessati. La Commissione suggerisce almeno le seguenti tappe e domande, qui quattro: che cos'è l'IA e quale IA usa l'organizzazione, il suo ruolo, il rischio dei sistemi, poi le lacune di conoscenza del personale e il contesto d'uso⁴.

Una persona laureata in sviluppo di IA è normalmente considerata formata, ma l'organizzazione deve verificare che conosca i sistemi dell'azienda e i loro rischi⁴. Possono coesistere più livelli di formazione⁴.

Gli obblighi dell'articolo 4 sono stati modificati dall'omnibus digitale sull'IA: l'alfabetizzazione in materia di IA resta un obbligo, senza un livello specifico imposto, e la Commissione e gli Stati membri devono continuare a sostenere le organizzazioni, in particolare con esempi di conformità pubblicati sulla piattaforma informativa unica⁴. Riprodurre le pratiche del repertorio della Commissione non conferisce automaticamente una presunzione di conformità con l'articolo 4⁴.

Il regolamento è stato proposto dalla Commissione nell'aprile 2021, poi concordato tra il Parlamento europeo e il Consiglio nel dicembre 2023¹. È entrato in vigore il 1° agosto 2024¹.

Per l'alto rischio, obblighi rigorosi si applicheranno prima dell'immissione sul mercato a partire dal 2 dicembre 2027 (allegato III): valutazione e attenuazione dei rischi, dati di alta qualità, registrazione, documentazione, informazione del deployer, sorveglianza umana, robustezza, cibersicurezza e accuratezza².

I modelli di IA per finalità generali, come i grandi modelli linguistici, rientrano in una categoria a parte, con obblighi che vanno dalla trasparenza minima alla valutazione dei rischi sistemici³. Il regolamento non sostituisce il GDPR: lo integra³.

Secondo la Commissione, il regolamento è diventato applicabile il 2 agosto 2026, con eccezioni². La CNIL illustra le tappe del calendario rivisto³:

• 2 febbraio 2025: divieti, esclusi quelli relativi ai contenuti pedopornografici e ai deepfake sessuali (per la Commissione, i divieti da 1 a 8 e gli obblighi di alfabetizzazione in materia di IA)²³.
• 2 agosto 2025: regole per i modelli di IA per finalità generali e nomina delle autorità competenti³.
• 2 agosto 2026: obblighi di trasparenza per alcuni sistemi³.
• 2 dicembre 2026: divieto dei sistemi che generano contenuti pedopornografici e deepfake sessuali³.
• 2 dicembre 2027: regole per i sistemi ad alto rischio dell'allegato III, tra cui l'occupazione²³.
• 2 agosto 2028: regole per i sistemi ad alto rischio dell'allegato I (giocattoli, dispositivi medici, ecc.)²³.

Questi rinvii derivano dall'omnibus sull'IA. La Commissione scrive che un accordo politico è stato raggiunto il 7 maggio 2026 e che il testo è entrato in vigore il 27 luglio 2026². La CNIL indica che la versione modificata è stata adottata il 24 luglio 2026³.

Sul fronte dei controlli, l'articolo 4 non è sorvegliato dall'Ufficio per l'IA ma dalle autorità nazionali di vigilanza del mercato, che effettuano controlli dal 2 agosto 2026⁴. Tali autorità potrebbero irrogare sanzioni fondate sul diritto nazionale, proporzionate alla natura e alla gravità dell'infrazione; ciò sarebbe più probabile in caso di incidente dovuto a una carenza di formazione⁴. Ogni Stato membro sceglie la struttura di queste autorità, e una di esse funge da punto di contatto nazionale se ne sono designate più di una³.

L'Ufficio per l'IA, istituito all'interno della Commissione, supervisiona i modelli di IA per finalità generali. Può svolgere indagini, chiedere misure correttive e infliggere sanzioni pecuniarie⁵. Sostiene il Comitato europeo per l'intelligenza artificiale, che riunisce rappresentanti di ogni Stato membro³⁵.