Le richieste formali di documentazione ai fornitori di intelligenza artificiale segnano l’ingresso in fase di vigilanza effettiva del Regolamento (UE) 2024/1689, con effetti a cascata sugli utilizzatori europei.
Cosa ha deciso la Commissione europea
La Commissione europea, attraverso l’AI Office, ha trasmesso richieste di informazioni a oltre trenta società sviluppatrici di sistemi e modelli di intelligenza artificiale ai sensi del Regolamento (UE) 2024/1689. Gli atti sono di natura istruttoria, non accusatoria, e riguardano due principali aree di intervento; l’identità dei destinatari non è divulgata, conformemente alla prassi applicativa già sperimentata nel Digital Services Act. Contestualmente la Commissione ha intrattenuto contatti con fornitori di modelli per finalità generali su profili di cybersicurezza, tema oggetto di obbligo specifico del Regolamento per i modelli con rischio sistemico.
La richiesta di informazioni assolve una funzione conoscitiva e pedagogica: consente all’amministrazione di ricostruire lo stato dell’arte del mercato prima di attivare strumenti più incisivi, e al fornitore di rappresentare la propria posizione in assenza di contestazioni formalizzate. La comunicazione di informazioni inesatte, incomplete o fuorvianti è sanzionabile, pertanto il procedimento produce effetti giuridici rilevanti e la qualità della risposta assume valore probatorio.
Le architetture di vigilanza europee
L’AI Act combina vigilanza nazionale sui sistemi di intelligenza artificiale con vigilanza accentrata della Commissione sui modelli per finalità generali. Su sistemi ad alto rischio e pratiche vietate vigilano autorità nazionali designate dagli Stati membri; su modelli per finalità generali, inclusi quelli con rischio sistemico, la competenza è esclusiva della Commissione attraverso l’AI Office. Questa separazione è nitida sulla carta, meno nella realtà applicativa, dove un sistema costruito integrando un modello di terzi può registrare effetti di confine fra vigilanze diverse.
I poteri della Commissione sono scaglionati: richieste di informazioni, valutazioni del modello mediante esperti indipendenti e red teaming, richieste di misure correttive sino al ritiro dal mercato, sanzioni sino al tre per cento del fatturato mondiale annuo o quindici milioni di euro se superiore. La sequenza non è casuale: la richiesta di informazioni è collocata a monte proprio perché assolve funzione conoscitiva e consente al fornitore di rappresentarsi in fase non accusatoria.
Sovrapposizioni normative e coordinamento
Un medesimo evento — poniamo una compromissione dell’infrastruttura con esfiltrazione di conversazioni — può contemporaneamente integrare violazione di dati personali ai sensi del GDPR, incidente significativo secondo la Direttiva (UE) 2022/2555, incidente grave rilevante per l’AI Act e, per intermediari finanziari, incidente da gestire secondo il Regolamento (UE) 2022/2554. Le autorità competenti, i termini di notifica e i destinatari delle comunicazioni sono diversi. Questo cumulo rappresenta uno dei nodi delicati della fase attuale, non per difetto di tecnica legislativa bensì per onere organizzativo di coordinamento che le strutture di compliance faticano ad assorbire.
La risposta più efficace consiste nel costruire una procedura unica di rilevazione e classificazione degli eventi, dalla quale si diramano matrici di obblighi di notifica differenziati per ciascun regime. Procedure parallele indipendenti producono duplicazioni e ritardi. Il Garante per la protezione dei dati personali resterà competente sui profili di trattamento e decisione automatizzata secondo il GDPR, senza che l’AI Act introduca forme di specialità che assorbano tali adempimenti: le due discipline si sommano.
Cosa devono fare le imprese
Il punto di partenza è la ricognizione concreta dei sistemi di intelligenza artificiale effettivamente in uso, partendo dal registro delle attività di trattamento del GDPR e dall’inventario degli asset ICT, incrociando le due fonti per verificare se fornitori abbiano introdotto componenti di IA in aggiornamenti successivi alla stipula. La ricognizione dovrebbe confluire in repertorio stabile aggiornato, non in documento una tantum. Va poi condotta la qualificazione del ruolo rivestito verso ciascun sistema — fornitore, deployer, importatore, distributore — poiché chi personalizza in profondità un modello di terzi o lo integra in prodotto per il mercato può assumere obblighi di fornitore.
Sulla classificazione del rischio secondo le categorie del Regolamento — pratiche vietate, sistemi ad alto rischio, obblighi di trasparenza, rischio minimo — si documenta non soltanto l’esito ma il ragionamento sotteso, comprese ipotesi scartate. Va revisionato l’intero impianto contrattuale con fornitori, verificando impegni su conformità all’AI Act, messa a disposizione della documentazione tecnica, comunicazione tempestiva di modifiche sostanziali, cooperazione con le autorità, notifica degli incidenti. Tale revisione va coordinata con l’accordo sul trattamento dati ex articolo 28 del GDPR, accertando se dati degli utenti siano utilizzati per riaddestramento del modello.
Adempimenti prioritari e documentazione
Merita attenzione prioritaria l’alfabetizzazione in materia di intelligenza artificiale prevista dall’articolo 4 del Regolamento, con tracciabilità dell’attività formativa. Va presidiata la sorveglianza umana non come approvazione formale dell’output ma come capacità effettiva di comprendere il funzionamento, interpretare correttamente i risultati, discostarsene e interromperne il funzionamento; gli incaricati vanno designati per iscritto e dotati di istruzioni operative concrete e tempo organizzativo necessario. Deve essere predisposta una procedura unitaria di gestione degli incidenti con classificazione simultanea rispetto a GDPR, NIS2 e AI Act, e attivazione di notifiche verso le rispettive autorità nei termini propri di ciascun regime.
Occorre curare la conservazione dei log coordinandola con il principio di limitazione della conservazione del GDPR. Deve essere aggiornata l’informativa agli interessati quando il trattamento comporta intelligenza artificiale, con indicazione della logica utilizzata nei processi decisionali automatizzati. Nel contesto lavorativo l’organizzazione deve informare i lavoratori e i loro rappresentanti prima di mettere in servizio un sistema ad alto rischio, assolvendosi parallelamente degli obblighi previsti dalla legge 20 maggio 1970, n. 300 per strumenti dai quali derivi possibilità di controllo a distanza. Trasversalmente va costruito un sistema documentale di responsabilizzazione: per ogni sistema rilevante l’organizzazione deve poter esibire scheda del sistema, contratto e documentazione del fornitore, valutazione dei rischi, designazione dei sorveglianti, evidenze formative, informativa resa, log conservati, registro degli incidenti.
L’approfondimento completo di questo articolo è disponibile su 01magazine.it.
