AI literacy e regole per l’AI in azienda.
Una guida per capire che cosa richiede davvero l’articolo 4 dell’AI Act, quali altre discipline possono affiancarlo e come trasformare principi complessi in comportamenti applicabili.
Che cos’è l’AI literacy?
È la capacità di comprendere possibilità, limiti e rischi dei sistemi di intelligenza artificiale e di utilizzarli in modo informato. Non significa trasformare ogni lavoratore in un tecnico: significa fornire competenze adeguate al ruolo, all’esperienza, al contesto e agli strumenti utilizzati.
Dal 2 febbraio 2025 fornitori e deployer devono adottare misure per garantire, per quanto possibile, un livello sufficiente di alfabetizzazione in materia di IA al personale e alle persone che utilizzano i sistemi per loro conto.
La misura deve essere proporzionata: chi utilizza uno strumento, chi approva un output e chi acquista o governa sistemi AI hanno bisogni formativi differenti.
Quattro domande, quattro prospettive.
Quando un’azienda usa l’AI possono applicarsi più discipline contemporaneamente. Non si sostituiscono: osservano aspetti diversi dello stesso processo.
Che sistema è e come viene usato?
Considera ruolo dell’organizzazione, finalità, livello di rischio, pratiche vietate, obblighi dei sistemi ad alto rischio e trasparenza.
Entrano dati di persone identificabili?
Occorre valutare base giuridica, minimizzazione, informativa, fornitori, sicurezza, tempi di conservazione ed eventuali decisioni automatizzate.
Il sistema è protetto e resiliente?
Per i soggetti che rientrano nel D.Lgs. 138/2024 contano gestione del rischio cyber, continuità e incidenti. Anche fuori da NIS2, la sicurezza resta una responsabilità organizzativa essenziale.
Quale attività e quale responsabilità?
La responsabilità dell’ente non scatta per ogni errore dell’AI: richiede, tra le altre condizioni, uno specifico reato presupposto commesso nell’interesse o a vantaggio dell’organizzazione. Restano inoltre applicabili lavoro, sanità, finanza, diritto d’autore e tutela dell’immagine.
Le date essenziali.
Chi può effettuare i controlli?
Non esiste un unico “ispettore dell’AI”. L’autorità competente cambia in base alla materia e agli effetti dell’utilizzo.
Sono le autorità nazionali individuate dalla disciplina italiana per le rispettive competenze sull’AI Act; ACN mantiene inoltre il proprio ruolo in materia di cybersicurezza e NIS2.
Interviene quando l’impiego dell’AI comporta trattamenti di dati personali e possibili violazioni della disciplina privacy.
Consob, Banca d’Italia, autorità sanitarie, ispettorati e altri organismi possono intervenire negli ambiti di propria competenza.
Quando emergono possibili illeciti civili o penali, responsabilità e conseguenze vengono valutate secondo le regole applicabili al caso.
Articolo 50: trasparenza, non un’etichetta universale.
L’articolo 50 prevede obblighi diversi a seconda del soggetto, del sistema e del contenuto: informare quando una persona interagisce con un sistema AI in determinate circostanze; rendere rilevabili alcuni output sintetici; dichiarare specifici deepfake o testi generati e pubblicati per informare il pubblico su temi di interesse generale, con condizioni ed eccezioni.
Non significa che ogni e-mail, bozza o immagine assistita dall’AI debba ricevere automaticamente la stessa dicitura. Occorre verificare il caso concreto.
Prima di inserire un contenuto in un prompt.
- Le informazioni permettono di identificare una persona?
- Sono davvero necessarie per ottenere il risultato?
- Sto usando uno strumento e un account autorizzati dall’azienda?
- Il contenuto è riservato, coperto da segreto aziendale o appartenente a un cliente?
- L’output può incidere su un lavoratore, candidato, cliente o altra persona?
- Sto utilizzando immagini, testi, marchi o opere appartenenti ad altri?
- Chi controllerà il risultato prima che venga utilizzato o pubblicato?
Se una risposta genera un dubbio, il contenuto non dovrebbe essere inserito prima di aver consultato la policy o il referente incaricato.
Il percorso ragionevole per una PMI.
Strumenti già utilizzati, account, persone, attività, dati e output destinati all’esterno.
Ruolo dell’azienda, livello di rischio, dati personali, fornitori, diritti e norme di settore.
Strumenti ammessi, dati vietati nei prompt, revisione umana, approvazioni, incidenti e responsabilità.
Contenuti differenziati per ruolo, materiali, partecipazione, verifiche e aggiornamenti periodici.
Attenzione alla “shadow AI”. Un account personale o gratuito usato per elaborare dati aziendali non trasferisce magicamente la responsabilità al dipendente o al fornitore. L’organizzazione deve prevenire, regolare e gestire questi utilizzi.
Domande frequenti.
Un abbonamento Team o Enterprise rende automaticamente conformi?
No. Può offrire controlli e condizioni migliori, ma occorre verificare contratto, uso dei dati per addestramento, conservazione, subfornitori, localizzazione, sicurezza, cancellazione e configurazione concreta.
Usare un sistema locale elimina ogni rischio?
No. Può ridurre l’esposizione verso servizi esterni, ma restano accessi, aggiornamenti, backup, sicurezza, qualità del modello, dati trattati e uso degli output.
L’anonimizzazione consiste nel cancellare il nome?
Non necessariamente. Se una persona può ancora essere riconosciuta attraverso le informazioni residue o altri dati disponibili, si può trattare di pseudonimizzazione e il GDPR continua ad applicarsi.
La formazione certifica la conformità?
No. Può contribuire all’AI literacy e documentare una misura organizzativa, ma non sostituisce classificazione dei sistemi, policy, valutazioni privacy, sicurezza o pareri specialistici.
Chi usa ChatGPT in azienda è sempre un deployer ad alto rischio?
L’uso professionale può rientrare nella nozione di deployer, ma questo non rende automaticamente il sistema o il caso d’uso ad alto rischio. La classificazione dipende dalla finalità e dall’impiego concreto.
Partiamo da come usate l’AI oggi.
In 30 minuti mettiamo a fuoco strumenti, persone e priorità della tua azienda.