Il regolamento UE sull'intelligenza artificiale: obblighi per le aziende

A partire dal 2 febbraio 2025, le aziende tedesche dovranno rispettare le norme generali e i divieti previsti dalla legge sull'IA se utilizzano sistemi di IA come ChatGPT, Copilot o il filtro antispam IA di Outlook. Ciò include la prova della competenza in materia di IA e una valutazione del rischio dell'IA utilizzata. Una panoramica con raccomandazioni.

Introduzione

Dal 2 febbraio 2025 le aziende tedesche dovranno fare qualcosa se utilizzano l'IA:

Nell'articolo 113 della K-I-Verordnung è regolato che alcune disposizioni di questa legge entreranno in vigore dal 02 febbraio 2025. La K-I-Verordnung viene abbreviata con AI-VO e denominata AI Act in inglese.

Gli articoli 1-4 della AI-VO formano il primo capitolo. In esso sono disposizioni generali stabilite.

L'articolo 5 del Codice di Vocabolario per l'intelligenza artificiale (AI-VO) costituisce il Capitolo II e contiene Proibizioni.

A partire dal 2 febbraio 2025, le aziende tedesche dovranno quindi conformarsi ai regolamenti e ai divieti generali in caso di utilizzo di sistemi di IA all'interno dell'azienda. L'uso di ChatGPT, Copilot o di sistemi di IA di altri fornitori è già un uso rilevante ai sensi del Regolamento IA.

Secondo l'art. 113, lettera a, della AI-VO le norme generali (articoli 1-4) e i divieti (articolo 5) della AI-VO sono applicabili a partire dal 2 febbraio 2025.

Quando si applicano gli obblighi?

Dal 2 agosto 2025 entreranno in vigore ulteriori disposizioni del regolamento sull'IA, che riguardano in particolare i modelli di IA con finalità generali. Questi ultimi includono sistemi di IA ben noti come ChatGPT, Microsoft Copilot o i modelli di IA di Mistral.

Se si prende come riferimento il considerando 12 del regolamento sull'IA, anche i sistemi software che utilizzano l'IA devono essere considerati sistemi di IA. Ne sono un esempio i motori di ricerca che generano raccomandazioni basate sull'IA o i filtri antispam basati sull'IA. Per quanto riguarda i filtri antispam, la formazione richiesta dovrebbe essere minima; tuttavia, i dipendenti dovrebbero essere almeno istruiti. I grandi motori di ricerca, invece, sono coperti da un altro regolamento, quello sui servizi digitali, secondo il considerando 118 del regolamento sull'IA.

Quali obblighi si applicano a partire dal 2 febbraio 2025?

Gli obblighi derivano dagli articoli 4 e 5 del Regolamento AI. L'articolo 3 contiene importanti definizioni di termini. I primi due articoli contengono informazioni sul campo di applicazione e sull'oggetto del regolamento.

Prova di competenza dell'IA

L'art. 4 del Regolamento AI riguarda esclusivamente la prova della competenza in materia di AI. Ciò significa che ogni azienda i cui dipendenti lavoreranno con i sistemi di IA dovrà fornire questa prova.

I dipendenti devono essere istruiti di conseguenza dall'azienda. Ciò include anche la formazione. Il modo in cui un'azienda fornisce la prova della competenza in materia di IA non è prescritto. A questo proposito, ci sono modi validi per farlo in modo sensato ed efficiente.

Un esempio di dimostrazione della competenza in materia di IA è citato nel Dr. GDPR. La dimostrazione consiste in:

• Competenza tecnica
• Competenza

Le competenze tecniche devono essere almeno disponibili e rese plausibili se si offrono sistemi di IA o se si programma l'IA. Quest'ultima può già avvenire utilizzando un'interfaccia di programmazione delle applicazioni (API), come quella offerta da ChatGPT.

Categorizzazione dei sistemi di IA utilizzati

L'art. 5 del regolamento sull'IA contiene numerosi divieti, ossia gli scopi per i quali i sistemi di IA possono o non possono essere utilizzati. Ad esempio, l'influenza subliminale delle persone da parte dell'IA è vietata. È vietata anche la valutazione o la classificazione di persone fisiche o gruppi di persone per un certo periodo di tempo sulla base del loro comportamento sociale. L'articolo 5 contiene numerosi altri divieti.

Per escludere gli scopi vietati per un sistema di IA in uso, il sistema di IA deve essere analizzato e descritto. In seguito, può essere classificato e controllato in base alle disposizioni del regolamento AI.

Inoltre, si può chiarire se un'azienda sia solo gestore di un sistema di intelligenza artificiale o addirittura fornitore. Fornitori di sistemi di IA devono adempiere a molte più responsabilità che gestori.

Consigli

Le aziende dovrebbero familiarizzare i propri dipendenti con il lavoro con i sistemi di intelligenza artificiale e impartire istruzioni nel loro interesse. Il modo in cui le aziende procedono dipende da loro.

Una inclusione è un'istruzione dei dipendenti. Può avvenire per iscritto o in forma di una formazione personale o digitale di formazione. L'inclusione serve a rendere i dipendenti capaci. In definitiva, l'intelligenza artificiale è un mezzo per gli imprese. Pertanto dovrebbe essere garantito che i sistemi di intelligenza artificiale producano un beneficio per le imprese.

Una istruzione invece è più una misura regolatoria. Serve a guidare gli addetti ai lavori nell'uso di sistemi di intelligenza artificiale in modo ordinato. Non ogni utilizzo di AI è desiderabile o sensato.

Per un briefing si raccomanda di fornire informazioni generali arricchite da informazioni mirate. In termini concreti, ciò significa:

• Formazione in loco dei dipendenti, presso la vostra sede o presso un centro di formazione
• La formazione iniziale può avvenire anche online, ad esempio sotto forma di webinar
• Creazione di un manuale che può essere parte di una istruzione per l'organizzazione dell'intelligenza artificiale. Il manuale serve a supportare i dipendenti. Può anche essere dinamico, quindi aggiornato regolarmente. Di conseguenza dovrebbe essere pensata l'utilizzo di un'offerta online.

Le istruzioni per i dipendenti che lavorano con l'IA in azienda comprendono in particolare:

• Requisiti per l'uso professionale autorizzato dell'IA
• Linee guida per l'uso professionale non autorizzato dell'IA
• Persona di contatto (ad esempio il responsabile della protezione dei dati)
• La disposizione può anche essere parte di una disposizione per l'organizzazione dell'intelligenza artificiale

Un'istruzione organizzativa di IA come documento completo contiene quindi

• Informazioni per il briefing dei dipendenti e
• Informazioni per l'istruzione dei dipendenti.

Tipi di utilizzo dell'IA

I sistemi di IA possono essere utilizzati per diversi compiti. Esistono anche diversi sistemi di IA, come ad esempio diversi tipi di modelli di IA. I più noti sono i modelli vocali ("chatbot"). Esistono anche generatori di immagini, generatori di video, modelli audio, ecc.

Le aziende devono definire gli scopi per i quali i dipendenti sono autorizzati a utilizzare un sistema di IA.

In particolare, è importante capire che tutti i risultati generati dall'IA devono essere controllati prima di essere utilizzati. Questo perché non è il sistema di IA, ma l'utente dei risultati dell'IA a essere responsabile (inizialmente e spesso in ultima istanza) dei risultati dell'IA.

Le pubblicazioni AI possono violare i diritti d'autore di terzi. Ciò vale sia per le immagini che per ogni altro tipo di mezzo, come ad esempio testi o file audio. Pertanto non dovrebbero essere utilizzate in modo arbitrario dai dipendenti generati da AI. Regolate questo nella vostra organizzazione di istruzioni AI!

Inoltre i contenuti generati con l'intelligenza artificiale non godono di alcun diritto d'autore. L'IA quindi non può essere considerata autrice. Se avete creato un bel logo o un testo fantastico con l'aiuto dell'IA, assicuratevi che l'immagine o il testo siano stati manualmente ritoccati. Solo così potrete rivendicare la vostra paternità e scoraggiare gli altri dal utilizzare il vostro lavoro senza il vostro consenso.

Protezione e sicurezza dei dati

I sistemi di intelligenza artificiale elaborano più dati di qualsiasi altro tipo di sistema informatico convenzionale.

È quindi importante che il fornitore goda della fiducia dell'utente dell'IA (la vostra azienda?). Il fornitore comprende anche il Paese della sede centrale. È noto che negli Stati Uniti esistono numerose leggi sull'intelligence che autorizzano lo spionaggio di stranieri e cittadini. Queste includono il Cloud Act, gli Ordini Esecutivi Presidenziali 12333 e 14086 e la Sezione 702 del FISA.

I dati sensibili delle aziende comprendono in particolare:

• Segreti commerciali: le aziende possono fare ciò che vogliono con essi. Se sia sensato ridurre il valore dei segreti attraverso la loro diffusione è una decisione di ogni singola azienda.
• Dati riservati: Questi dati sono stati dichiarati soggettivamente come riservati, ad esempio attraverso un accordo di non divulgazione (NDA). Il partner contrattuale potrà fare valere azioni legali se i suoi dati vengono rivelati a terzi (ChatGPT?).
• Dati personali: Se non è presente una trattamento dei dati legittimato ai sensi dell'art. 6 (1) GDPR, le persone interessate possono intraprendere azioni legali. ([1])

Per i dati personali sono inoltre da adempiere le informazioni di cui all'articolo 12 GDPR . Si dovrebbe quindi sapere esattamente cosa accade in un sistema AI utilizzato. Ciò si ottiene meglio se il sistema AI viene gestito autonomamente. ([1])

Prova di competenza dell'IA

La prova deve essere fornita in una forma adeguata alla forma di AI gestita o offerta.

Se una IA viene offerta su un sito web, dovrebbe essere dimostrata altrove, cioè sul sito web.

Se l'accesso al chatbot viene fornito ai dipendenti tramite la rete intranet, le informazioni devono essere fornite in quella sede o in aggiunta tramite una newsletter.

Il contenuto del certificato dimostra la competenza in materia di IA dell'azienda o dei suoi dipendenti. Si tratta di rendere plausibile la competenza. In ogni caso, un responsabile AI non è obbligatorio. Avere una persona che si dedichi all'importante tema dell'IA in aziende di una certa dimensione non è certo un male.

Valutazione del rischio dei sistemi di intelligenza artificiale

È necessario effettuare una valutazione dei rischi per ogni sistema di IA e per ogni strumento di IA utilizzato in azienda.

Quanto più generico è lo strumento di IA utilizzato, tanto più difficile è valutare il rischio. Come sappiamo, ChatGPT può essere utilizzato anche per creare istruzioni per la costruzione di bombe (con un po' di sforzo di suggerimento). D'altra parte, ci si chiede a cosa serva un sistema di IA senza uno scopo specifico per la vostra azienda. Per questi due motivi, la vostra azienda dovrebbe consentire l'uso di sistemi di IA solo per scopi specifici e significativi. Ciò che può essere fatto con un motore di ricerca non deve essere realizzato con un chatbot.

La cosiddetta IA ad alto rischio non dovrebbe essere utilizzata. Chiunque intenda farlo ha bisogno di una consulenza approfondita che vada ben oltre i consigli scritti.

Limitare il rischio

Le aziende sono responsabili verso l'esterno (inizialmente e spesso in via definitiva) del comportamento dei propri dipendenti per conto dell'azienda.

Un'azienda dovrebbe quindi avere un interesse proprio nel fatto che i dipendenti utilizzino i sistemi di intelligenza artificiale (AI) resi disponibili non in modo arbitrario. Nel caso di ChatGPT o altri sistemi AI generali, ciò può avvenire meglio tramite una Pagina di anteprima con il quale i dipendenti comunicano col chatbot. L'accesso diretto a ChatGPT attraverso la superficie di chat propria di ChatGPT non offre comunque alcun controllo per l'azienda.

Questa pagina preliminare riceve le richieste dei dipendenti all'IA e le inoltra all'IA in background. La risposta dell'IA viene rinviata al dipendente nella direzione opposta.

Un effetto collaterale positivo è la possibilità di controllare i costi e l'intensità di utilizzo. Alcune richieste possono anche essere bloccate. Per alcune richieste all'intelligenza artificiale, potrebbe essere opportuno fare riferimento direttamente a un documento interno dell'azienda, invece di far sì che ChatGPT fornisca la risposta a partire dalla conoscenza del mondo.

Conclusione

Il regolamento sull'IA introduce obblighi moderati per le aziende che sono solo operatori di sistemi di IA o fornitori di sistemi di IA non pericolosi.

Tuttavia, questi obblighi richiedono uno sforzo che dovrebbe essere fatto nell'interesse dell'azienda stessa.

Quanto prima si avviano le attività di responsabilizzazione e istruzione dei dipendenti dell'azienda, tanto prima si raggiungerà uno stato resiliente e praticabile. Lo scopo principale del primo passo sarà quello di limitare la responsabilità dell'azienda, istruendo i dipendenti a non sviluppare attività con l'IA pericolose per l'azienda.

Se le aziende vogliono utilizzare sistemi di intelligenza artificiale generale come ChatGPT o Copilot, dovrebbero anche pensare al vantaggio di questi sistemi. In particolare Copilot si distingue per la scarsa qualità. ChatGPT è invece un sistema universale che non conosce il vocabolario di un'azienda né è stato ottimizzato per casi d'uso specifici.

Queste domande possono essere chiarite quando si crea una direttiva organizzativa sull'IA, che può anche nominare i sistemi di IA approvati.