AI Act e Aziende: dalla scelta del software alla governance dell'intelligenza artificiale

L'intelligenza artificiale è ormai presente in numerosi processi aziendali: customer care, marketing, analisi dei dati, gestione documentale, CRM e automazione delle attività.

L'entrata in vigore del Regolamento UE 2024/1689, noto come AI Act, introduce un sistema di regole che interessa non soltanto chi sviluppa tecnologie di intelligenza artificiale, ma anche le imprese che acquistano e utilizzano questi strumenti.

Per questo motivo, acquistare un software di IA in modalità SaaS o integrarlo nei propri processi non significa essere estranei agli obblighi previsti dalla normativa.

1. Provider e Deployer: due ruoli diversi

Uno dei primi aspetti da chiarire riguarda la distinzione tra provider e deployer.

Il provider è il soggetto che sviluppa un sistema di IA o ne commissiona lo sviluppo per commercializzarlo o metterlo in servizio con il proprio marchio.

Il deployer, invece, è l'impresa che utilizza un sistema di IA nell'ambito della propria attività.

La distinzione è importante perché comporta responsabilità differenti.

Un'azienda che acquista un software basato sull'intelligenza artificiale non è quindi necessariamente estranea alla disciplina dell'AI Act: il suo ruolo e gli obblighi concretamente applicabili devono essere valutati in relazione all'utilizzo che viene fatto del sistema.

2. Chatbot e assistenza clienti: la trasparenza verso l'utente

L'intelligenza artificiale viene utilizzata sempre più frequentemente nei rapporti con clienti e consumatori.

Pensiamo, ad esempio, ai chatbot presenti sui siti web, agli assistenti virtuali o ai sistemi automatizzati di risposta.

Il quadro delineato dall'AI Act prevede specifici obblighi di trasparenza per le interazioni tra sistemi di IA e persone fisiche.

L'utente deve essere messo nelle condizioni di comprendere quando sta interagendo con un sistema artificiale.

Per le aziende, questo significa verificare non soltanto il funzionamento tecnico dello strumento, ma anche le modalità con cui esso viene presentato all'esterno.

3. Contenuti generati dall'IA e comunicazione aziendale

Un altro ambito particolarmente rilevante riguarda la produzione di contenuti.

Testi, immagini, audio e video possono oggi essere generati o modificati attraverso sistemi di IA e utilizzati nelle campagne pubblicitarie, nella comunicazione istituzionale o nelle schede prodotto.

Il documento di partenza richiama gli obblighi di trasparenza e marcatura dei contenuti sintetici previsti dall'AI Act.

Per un'impresa diventa quindi importante conoscere l'origine dei materiali utilizzati nella comunicazione e verificare se siano soggetti a specifici obblighi di identificazione.

4. La roadmap per una corretta governance dell'IA

L'adeguamento non dovrebbe essere affrontato soltanto quando emerge un problema.

Una strategia aziendale può partire da quattro attività fondamentali.

1. Mappare gli strumenti

Il primo passaggio consiste nel censire i software utilizzati dall'impresa e individuare quelli che incorporano funzionalità di IA, generativa o predittiva.

Non devono essere considerati soltanto gli strumenti acquistati esplicitamente come "AI": funzionalità algoritmiche possono essere integrate anche all'interno di CRM, gestionali, piattaforme di marketing e altri servizi SaaS.

2. Formare il personale

Chi utilizza sistemi di intelligenza artificiale deve essere messo nelle condizioni di comprenderne opportunità, limiti e possibili rischi.

L'AI Literacy rappresenta quindi un elemento importante della governance interna.

3. Proteggere dati e informazioni aziendali

L'utilizzo di strumenti di IA comporta anche una riflessione sulla natura delle informazioni che vengono inserite nei sistemi.

Documenti riservati, dati personali, informazioni commercialmente sensibili e segreti aziendali richiedono particolare attenzione.

È quindi opportuno verificare le modalità con cui il fornitore tratta gli input immessi nel sistema e se questi possano essere utilizzati per finalità ulteriori, compreso l'eventuale addestramento di modelli.

4. Verificare i contratti con i fornitori

Un ulteriore livello di tutela riguarda la contrattualistica.

Nei rapporti con i fornitori di software e servizi SaaS può essere opportuno disciplinare espressamente aspetti quali:

• conformità agli standard applicabili;

• trattamento dei dati;

• sicurezza;

• responsabilità delle parti;

• gestione degli incidenti;

• utilizzo degli input aziendali;

• eventuali limitazioni di responsabilità.

La contrattualistica diventa così parte integrante della governance del rischio algoritmico.

5. L'errore da evitare: pensare che il fornitore risponda di tutto

Uno dei principali equivoci consiste nel ritenere che l'acquisto di un software trasferisca automaticamente ogni responsabilità al suo sviluppatore o fornitore.

Il documento evidenzia invece che l'azienda utilizzatrice può assumere direttamente il ruolo di deployer e avere specifici obblighi connessi all'impiego del sistema.

Per questo motivo, prima di introdurre un nuovo strumento di IA sarebbe opportuno chiarire:

Chi lo ha sviluppato? Chi lo utilizza? Per quale finalità? Quali dati tratta? Quali obblighi derivano dal suo utilizzo?

Sono domande semplici, ma fondamentali per costruire un processo di governance consapevole.

Conclusioni

L'AI Act porta l'intelligenza artificiale dentro il perimetro della compliance aziendale.

Per le imprese, la questione non riguarda soltanto la scelta del software più efficiente, ma anche la capacità di governarne l'utilizzo, proteggere le informazioni e definire correttamente responsabilità e procedure.

Una mappatura preventiva degli strumenti utilizzati, accompagnata dalla formazione del personale e dalla verifica della contrattualistica con i fornitori, può rappresentare un passaggio importante nella costruzione di un sistema aziendale coerente con il nuovo quadro normativo.

Il presente articolo ha finalità esclusivamente informative e divulgative e non costituisce parere legale. Gli obblighi concretamente applicabili devono essere valutati in relazione al sistema utilizzato, alla sua finalità e al ruolo ricoperto dall'impresa.