AI Act Compliance - Overview Generale

Introduzione all'EU AI Act

L'EU AI Act (Regolamento (UE) 2024/1689) è il primo quadro normativo completo al mondo per l'intelligenza artificiale. Pubblicato nella Gazzetta Ufficiale dell'Unione Europea il 12 luglio 2024, è entrato in vigore il 1° agosto 2024, stabilendo regole armonizzate per lo sviluppo, la commercializzazione e l'uso di sistemi AI nell'Unione Europea.

Scopo del Regolamento

L'AI Act adotta un approccio basato sul rischio, classificando i sistemi AI in categorie di rischio progressive. L'obiettivo principale è garantire che i sistemi AI utilizzati nell'UE siano:

• Sicuri: Non causino danni a persone o società
• Trasparenti: Gli utenti sappiano quando interagiscono con AI
• Rispettosi dei diritti fondamentali: Non discriminino o violino la dignità umana
• Soggetti a supervisione: Le autorità possano monitorare e far rispettare le regole

Applicabilità

Il regolamento si applica a:

• Provider di sistemi AI: Chi sviluppa o mette sul mercato sistemi AI
• Deployer/Utenti: Chi utilizza sistemi AI nel corso di attività professionali
• Importatori e distributori: Chi importa o distribuisce sistemi AI nell'UE
• Provider di GPAI: Chi fornisce modelli AI di uso generale (General Purpose AI)

Classificazione dei Rischi

L'AI Act classifica i sistemi AI in cinque categorie di rischio, ciascuna con obblighi specifici:

1. Rischio Inaccettabile (Art. 5) - Proibito

I sistemi AI con rischio inaccettabile sono vietati nell'UE. Questi includono:

• Manipolazione subliminale: Sistemi che manipolano il comportamento umano in modo subliminale
• Sfruttamento delle vulnerabilità: Sistemi che sfruttano vulnerabilità di gruppi specifici (minori, disabili)
• Social scoring: Sistemi di valutazione sociale che determinano l'affidabilità di persone fisiche
• Riconoscimento biometrico remoto in tempo reale: Per applicazione delle forze dell'ordine in spazi pubblici (con eccezioni limitate)
• Inferenza di emozioni: Sistemi che deducono emozioni in contesti lavorativi o educativi (con eccezioni)

Azione richiesta: Se un sistema AI rientra in questa categoria, non può essere utilizzato nella piattaforma DAITAN ONE.

2. Rischio Alto (Art. 6-51) - Regolamentato

I sistemi AI ad alto rischio sono permessi ma soggetti a requisiti rigorosi prima dell'immissione sul mercato.

Categorie High-Risk (Annex III)

• Biometria: Identificazione biometrica, categorizzazione biometrica
• Gestione infrastrutture critiche: Sistemi per gestione acqua, gas, elettricità
• Istruzione e formazione professionale: Valutazione studenti, ammissioni
• Occupazione e gestione risorse umane: Selezione candidati, valutazione performance
• Accesso a servizi essenziali: Valutazione credito, assegnazione benefici sociali
• Applicazione della legge: Valutazione affidabilità prove, valutazione rischio reati
• Migrazione e gestione frontiere: Verifica autenticità documenti, valutazione richieste asilo
• Amministrazione della giustizia: Assistenza interpretazione applicazione legge

Obblighi per Sistemi High-Risk

• Valutazione di conformità: Prima dell'immissione sul mercato
• Sistema di gestione dei rischi: Processo continuo di identificazione e mitigazione rischi
• Set di dati di training: Devono essere rilevanti, rappresentativi e privi di errori
• Documentazione tecnica: Documentazione completa del sistema
• Registrazione: Registrazione nel database EU per sistemi high-risk
• Trasparenza: Informazioni per gli utenti finali
• Supervisione umana: Meccanismi per supervisione umana
• Accuratezza, robustezza e cybersecurity: Requisiti tecnici minimi

Per la piattaforma DAITAN ONE: La maggior parte degli agenti non rientra in questa categoria, ma verifica sempre con il Compliance Checker per casi d'uso specifici dei clienti.

3. Rischio Limitato (Art. 52) - Trasparenza

I sistemi AI con rischio limitato richiedono principalmente obblighi di trasparenza.

Categorie Limited Risk

• Sistemi di interazione con esseri umani: Chatbot, assistenti virtuali
• Sistemi di riconoscimento delle emozioni: Con eccezioni per uso medico o sicurezza
• Sistemi di categorizzazione biometrica: Con eccezioni per uso medico o sicurezza
• Sistemi di generazione di contenuti deepfake: Manipolazione di immagini, audio, video

Obblighi di Trasparenza (Art. 52)

• Disclosure obbligatoria: Gli utenti devono essere informati che stanno interagendo con un sistema AI
• Etichettatura contenuti AI-generati: Contenuti generati da AI devono essere chiaramente identificati
• Watermarking: Per contenuti sintetici (immagini, video, audio), quando tecnicamente possibile
• Informazioni utente finale: Informazioni chiare su capacità e limitazioni del sistema

Per la piattaforma DAITAN ONE: La maggior parte degli agenti generativi (immagini, video, audio, testi) rientra in questa categoria. Implementa sempre disclosure e watermarking.

4. Rischio Minimo (Art. 69) - Non Regolamentato

I sistemi AI con rischio minimo non sono soggetti a obblighi specifici, ma devono comunque rispettare:

• Diritti fondamentali: Rispetto della dignità umana, non discriminazione
• GDPR: Protezione dati personali quando applicabile
• Principi etici: Uso responsabile dell'AI

Esempi di Sistemi Minimal Risk

• Filtri spam: Sistemi per filtrare email spam
• Raccomandazioni: Sistemi di raccomandazione prodotti
• Ricerca web: Motori di ricerca
• Traduzione automatica: Sistemi di traduzione linguistica
• Generazione diagrammi: Creazione automatica diagrammi tecnici

Per la piattaforma DAITAN ONE: Agenti come Diagram Agent, WebSearch Agent rientrano tipicamente in questa categoria.

5. GPAI - General Purpose AI (Art. 52a-52c)

I modelli AI di uso generale (GPAI) sono modelli progettati per essere utilizzati in una vasta gamma di applicazioni.

Obblighi per Provider GPAI

• Documentazione tecnica: Documentazione completa del modello
• Istruzioni d'uso: Istruzioni chiare per utilizzatori
• Summary dati di training: Informazioni sui dati utilizzati per il training
• Compliance Copyright Directive: Rispetto della direttiva sul copyright
• Politica di uso accettabile: Linee guida per uso responsabile

Obblighi Aggiuntivi per GPAI con Rischio Sistemico

Per modelli GPAI con rischio sistemico (es. modelli con >10^25 FLOPs o designati dalla Commissione):

• Valutazioni modello: Valutazioni periodiche del modello
• Test adversariali: Test per identificare vulnerabilità
• Reporting incidenti: Segnalazione incidenti gravi
• Cybersecurity: Requisiti di sicurezza informatica avanzati

Per la piattaforma DAITAN ONE: La piattaforma utilizza modelli GPAI (OpenAI, Ollama, etc.). Documenta sempre i modelli utilizzati e fornisci summary dati di training quando disponibili.

Obblighi Generali per Provider e Utenti

Obblighi per Provider di Sistemi AI

I provider (chi sviluppa o mette sul mercato sistemi AI) devono:

1. Classificazione rischio: Identificare correttamente la categoria di rischio del sistema
2. Conformità: Garantire che il sistema rispetti tutti gli obblighi applicabili
3. Documentazione: Fornire documentazione tecnica completa
4. Registrazione: Registrare sistemi high-risk nel database EU
5. Monitoraggio post-market: Monitorare il sistema dopo l'immissione sul mercato
6. Reporting incidenti: Segnalare incidenti gravi alle autorità competenti
7. Correzione non conformità: Prendere misure correttive quando necessario

Obblighi per Deployer/Utenti

I deployer (chi utilizza sistemi AI nel corso di attività professionali) devono:

1. Uso conforme: Utilizzare il sistema AI secondo le istruzioni del provider
2. Monitoraggio: Monitorare il funzionamento del sistema AI
3. Supervisione umana: Garantire supervisione umana quando richiesto
4. Informazioni utenti: Informare gli utenti finali quando interagiscono con AI
5. Reporting incidenti: Segnalare incidenti gravi al provider e alle autorità
6. Registrazione: Registrare attività per sistemi high-risk
7. Valutazione impatto: Eseguire valutazione impatto diritti fondamentali (FRIA) quando richiesto

Obblighi per Importatori e Distributori

• Verifica conformità: Verificare che il sistema AI sia conforme prima dell'immissione
• Informazioni provider: Mantenere informazioni di contatto del provider
• Istruzioni: Assicurarsi che le istruzioni siano disponibili in lingua appropriata

Timeline di Implementazione AI Act

Fasi di Applicazione

Fase 1: Entrata in Vigore (1° Agosto 2024)

• Il regolamento è entrato in vigore
• Le disposizioni generali sono applicabili

Fase 2: Applicazione Graduale (2024-2026)

2 febbraio 2025 (6 mesi dopo entrata in vigore):

• Divieti per pratiche inaccettabili (Art. 5) → APPLICABILE
• Divieto riconoscimento emozioni sul posto di lavoro
• Divieto categorizzazione biometrica basata su caratteristiche sensibili
• Codici di condotta volontari per GPAI

2 agosto 2025 (12 mesi dopo entrata in vigore):

• Obblighi per GPAI (Art. 52a-52c) → APPLICABILE
• Obblighi per GPAI con rischio sistemico
• Requisiti trasparenza e documentazione per modelli AI generici

2 agosto 2026 (24 mesi dopo entrata in vigore):

• Obblighi completi per sistemi AI high-risk (Art. 6-51) → APPLICABILE
• Requisiti per sistemi AI esistenti high-risk
• Applicazione completa del regolamento per tutte le categorie di rischio

Stato Attuale (Gennaio 2025)

✅ Applicabile ora:

• Disposizioni generali del regolamento
• Obblighi trasparenza limitata (Art. 52) per sistemi generativi
• Codici di condotta volontari GPAI

⏳ In arrivo (2 febbraio 2025):

• Divieti pratiche inaccettabili (Art. 5)
• Divieto riconoscimento emozioni sul posto di lavoro

⏳ In arrivo (2 agosto 2025):

• Obblighi completi GPAI
• Obblighi GPAI rischio sistemico

⏳ In arrivo (2 agosto 2026):

• Obblighi completi sistemi high-risk
• Applicazione completa del regolamento

Sanzioni e Conformità

Sanzioni per Non Conformità

Le sanzioni per violazione dell'AI Act possono includere (a seconda di quale importo sia maggiore):

• Fino al 7% del fatturato annuo globale o 35 milioni di euro (per violazioni gravi relative a pratiche AI vietate - Art. 5)
• Fino al 3% del fatturato annuo globale o 15 milioni di euro (per non conformità con i requisiti dei sistemi AI ad alto rischio)
• Fino all'1% del fatturato annuo globale o 7,5 milioni di euro (per fornitura di informazioni errate o fuorvianti alle autorità competenti)

Autorità Competenti

• European AI Office: Supervisione provider GPAI
• Autorità nazionali: Applicazione altre parti del regolamento
• Autorità di mercato: Verifica conformità sistemi AI

Best Practices per Conformità

Checklist Generale

Risorse per Verifica Conformità

• Compliance Checker: artificialintelligenceact.eu/assessment/eu-ai-act-compliance-checker/
• AI Act Explorer: artificialintelligenceact.eu/ai-act-explorer/
• High-Level Summary: artificialintelligenceact.eu/high-level-summary/