Il Regolamento europeo sull'intelligenza artificiale distingue tra chi fornisce sistemi di AI e chi li utilizza. La maggior parte delle aziende rientra nella seconda categoria, e questo non significa avere meno responsabilità: significa averne di diverse.
Questa pagina è una guida operativa, non un parere legale: gli obblighi applicabili vanno sempre verificati con il proprio consulente.
Classificare l'uso, non lo strumento
Il rischio non dipende dal modello ma dal contesto d'uso. Lo stesso assistente conversazionale usato per riassumere note interne ha un profilo diverso dal medesimo assistente impiegato per selezionare candidati o valutare l'affidabilità creditizia.
Il primo passo pratico è mantenere un inventario degli usi dell'AI in azienda, con il livello di rischio associato a ciascuno.
Trasparenza verso le persone
Quando un contenuto è generato o modificato in modo significativo da un sistema di AI, chi lo riceve deve poterlo sapere. Lo stesso vale per i dipendenti: devono sapere quando interagiscono con un sistema automatico e quali dati vengono trattati.
Alfabetizzazione del personale
Il regolamento richiede un livello adeguato di competenza sull'AI da parte di chi la utilizza per conto dell'organizzazione. Nella pratica significa policy scritte, comprensibili e consultabili nel momento in cui la persona sta usando lo strumento — non un documento firmato una volta e archiviato.
Tracciabilità e documentazione
Poter ricostruire cosa è stato chiesto, a quale sistema, da chi e con quale esito è ciò che trasforma una policy in una posizione difendibile. Un registro immutabile delle interazioni, con impronta crittografica dei contenuti, è la base di qualsiasi verifica successiva.
- Inventario degli usi con livello di rischio
- Informativa e trasparenza verso utenti e interessati
- Policy aziendali consultabili nel punto d'uso
- Registro delle interazioni con impronta SHA-256
- Politica di conservazione definita e applicata