Perché le PMI devono preoccuparsi dell’AI Act
L’AI Act, entrato in vigore nel 2024, si applica a tutti gli attori che sviluppano, commercializzano, distribuiscono o utilizzano sistemi di intelligenza artificiale all’interno dell’Unione europea. Non si tratta più di una normativa riservata a giganti tecnologici: anche una piccola azienda che utilizza un chatbot per il servizio clienti, un filtro per la selezione dei curriculum o una funzione predittiva nel proprio CRM è considerata “deployer” e, in certi casi, “fornitore”. Ignorare l’obbligo di conformità può comportare sanzioni fino al 6 % del fatturato annuo globale o 30 milioni di euro, a seconda di quale sia più elevato.
Le PMI, spesso limitate da risorse finanziarie e di personale, hanno bisogno di un approccio pragmatico e strutturato. La checklist in 7 punti proposta da esperti di cyber‑resilience e compliance fornisce proprio questo: un percorso chiaro, suddiviso in attività operative, che può essere integrato nei processi aziendali esistenti.
Checklist di conformità: i 7 passi fondamentali
1. Mappare e classificare i sistemi di IA
Il primo passo consiste nell’inventario completo di tutti i sistemi IA presenti nell’organizzazione. Si devono raccogliere informazioni su:
- Tipo di algoritmo (machine learning, deep learning, regole basate su logica)
- Finalità (assistenza clienti, analisi predittiva, selezione del personale)
- Ambito di utilizzo (interno, esterno, pubblico)
- Livello di rischio stimato secondo le categorie dell’AI Act (basso, medio, alto)
Esempio pratico: una PMI del settore logistico utilizza un modello di previsione della domanda basato su reti neurali. Inserendo questo sistema nella mappa, la classificazione lo colloca nella categoria “alto rischio” perché influisce direttamente su decisioni di approvvigionamento e può causare impatti economici rilevanti.
2. Verificare i divieti
Il regolamento elenca specifici sistemi vietati, come quelli che manipolano il comportamento umano al di fuori del consenso informato o quelli che sfruttano vulnerabilità biometriche per il riconoscimento facciale in spazi pubblici. Le PMI devono controllare se qualche loro applicazione ricade in queste categorie.
Esempio: un’azienda che utilizza un software di riconoscimento facciale per monitorare la presenza dei dipendenti in ingresso/uscita deve valutare se il contesto rientra nell’uso “biometrico” vietato, a meno che non sia giustificato da una normativa nazionale specifica.
3. Applicare la trasparenza
Per i sistemi classificati come “ad alto rischio” o “sottoposti a obblighi di trasparenza”, il regolamento richiede la fornitura di informazioni chiare agli utenti. Ciò include:
- Avviso di utilizzo dell’IA prima dell’interazione
- Spiegazione delle logiche di base (ad es. “il sistema utilizza un modello di classificazione basato su regressione logistica”)
- Indicazione delle possibili conseguenze delle decisioni automatizzate
Un caso reale: una PMI che offre un servizio di valutazione creditizia automatizzata deve inserire nel modulo di richiesta un messaggio che informi il cliente dell’impiego di un algoritmo di scoring, con link a una pagina che descriva i criteri di valutazione.
4. Gestire la marcatura dei contenuti
L’AI Act impone di etichettare i contenuti generati da IA quando questi possono essere confusi con contenuti umani. La marcatura deve essere evidente, ad esempio con un badge “Generato da IA” o una dicitura nella descrizione del prodotto.
Esempio pratico: un’agenzia di marketing che utilizza un generatore di testi per campagne pubblicitarie deve inserire la dicitura “Testo prodotto da intelligenza artificiale” in calce a ogni annuncio digitale.
5. Formare il personale
La compliance non è solo tecnologia, ma anche cultura aziendale. È fondamentale organizzare sessioni di formazione per:
- Comprendere i requisiti dell’AI Act
- Riconoscere i rischi etici e legali associati all’IA
- Apprendere le procedure operative per la segnalazione di anomalie
Un modello efficace prevede workshop trimestrali, quiz di verifica e la creazione di un “AI compliance handbook” interno, aggiornato in base alle evoluzioni normative.
6. Documentare la compliance
Il regolamento richiede la conservazione di una “documentazione tecnica” per ogni sistema IA ad alto rischio. Questa deve includere:
- Descrizione dettagliata dell’architettura del modello
- Dataset di addestramento, con evidenza di misure per evitare bias
- Risultati di test di robustezza e sicurezza
- Processi di monitoraggio post‑deployment
Le PMI possono utilizzare strumenti di gestione documentale già in uso (ad es. SharePoint o Confluence) creando una cartella dedicata “AI Compliance”. La normativa prevede la conservazione dei dati per almeno 5 anni.
7. Rispettare le scadenze
L’AI Act prevede scadenze progressive a seconda del livello di rischio del sistema. Per le PMI, le date più critiche sono:
- 31 dicembre 2024: obbligo di valutazione preliminare per sistemi a medio rischio
- 30 giugno 2025: adeguamento dei sistemi ad alto rischio alle misure di trasparenza e marcatura
- 31 dicembre 2025: pubblicazione della documentazione tecnica e avvio del monitoraggio continuo
Un calendario interno, integrato con il software di project management (es. Asana o Monday.com), aiuta a tenere traccia delle scadenze e a assegnare responsabilità specifiche a ciascun dipartimento.
Azioni concrete per avviare il percorso di compliance
Per tradurre la checklist in azioni operative, le PMI possono seguire questi step:
- Nomina di un “AI compliance officer”: figura interna o consulente esterno responsabile del coordinamento delle attività.
- Audit interno entro 90 giorni: utilizzo di un questionario standard per valutare lo stato attuale dei sistemi IA.
- Implementazione di tool di monitoraggio automatizzato: soluzioni come Evidently AI o Fiddler per tracciare drift del modello e performance.
- Stesura di policy aziendali che includano linee guida su sviluppo, test, deployment e dismissione dei sistemi IA.
- Collaborazione con fornitori: richiedere ai partner tecnologici certificazioni di conformità e prove di valutazione del rischio.
Infine, è consigliabile partecipare a webinar e gruppi di lavoro promossi da associazioni di categoria (es. Confartigianato, Confindustria) per rimanere aggiornati su eventuali modifiche interpretative dell’AI Act.