2 Febbraio 2025: scatta l’obbligo di formazione per i sistemi AI

Tra pochi giorni iniziano ad applicarsi le prime disposizioni dell'AI ACT. Vediamo insieme cosa prevedono.

Il 2 Febbraio 2025 iniziano ad applicarsi le prime disposizioni dell’AI ACT, il Regolamento Europeo sull’intelligenza artificiale n. 2024/1689, entrato in vigore il 2 Agosto 2024 e destinato ad un’applicazione graduale, per fasi, che si completerà nel 2026.

Le prime norme a trovare attuazione riguardano i sistemi vietati e l’obbligo di formazione.

Photo by Google DeepMind on Unsplash

Per quanto riguarda i sistemi vietati rinviamo a quanto già pubblicato su LISP al riguardo.

Per quanto riguarda gli obblighi formativi, l’art. 4 dell’AI Act, intitolato “Alfabetizzazione informatica in materia di IA” prevede che:

«I fornitori e i deployer dei sistemi di IA adottano misure per garantire nella misura del possibile un livello sufficiente di alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell'utilizzo dei sistemi di IA per loro conto, prendendo in considerazione le loro conoscenze tecniche, la loro esperienza, istruzione e formazione, nonché il contesto in cui i sistemi di IA devono essere utilizzati, e tenendo conto delle persone o dei gruppi di persone su cui i sistemi di IA devono essere utilizzati».

L’art. 3, che contiene le definizioni dei termini contenuti nell’AI Act, al n. 56) chiarisce che per «alfabetizzazione in materia di IA» si intendono:

«le competenze, le conoscenze e la comprensione che consentono ai fornitori, ai deployer e alle persone interessate, tenendo conto dei loro rispettivi diritti e obblighi nel contesto del presente regolamento, di procedere a una diffusione informata dei sistemi di IA, nonché di acquisire consapevolezza in merito alle opportunità e ai rischi dell'IA e ai possibili danni che essa può causare».

Non si può non osservare, da un lato, la genericità delle previsioni e, dall’altro, l’ampiezza delle stesse che, in attesa di linee guida specifiche che potranno essere emanate pone all’interprete non pochi dubbi.

Cerchiamo di fare un po' di luce, anche grazie al Considerando 20) del Regolamento che fornisce qualche indicazione aggiuntiva.

I soggetti tenuti all’obbligo formativo

Un punto chiaro è che sono tenuti all’adozione di un piano formativo sia i fornitori che i deployer, ovvero sia gli sviluppatori dei sistemi di intelligenza artificiale, sia chi li utilizza, a meno che non ricadano in una delle eccezioni di cui abbiamo già detto e, in particolare, non utilizzino i sistemi per scopi esclusivamente personali.

Per un maggiore approfondimento su questi concetti si rinvia a un precedente articolo di LISP qui sotto.

A chi deve essere rivolta l’alfabetizzazione AI

Meno chiaro è identificare a quali soggetti devono essere indirizzati i corsi di formazione.

Dalla lettura combinata delle norme che precedono si evince che si tratta di:

• personale dell’azienda, includendo dipendenti e collaboratori, qualsiasi sia l’inquadramento, la funzione e la mansione

• qualsiasi altra persona che si occupa del funzionamento o dell’utilizzo dell’AI “per loro conto”.

Quest’ultima specifica lascia intendere che tutti i soggetti a cui è rivolta la formazione devono occuparsi del funzionamento o dell’uso dell’AI, con la differenza che nel primo caso sono soggetti interni all’azienda, mentre nel secondo caso sono soggetti esterni tenuti a uno determinato incarico.

Il Considerando 20 amplia ancora di più il raggio di azione e include tra i soggetti a cui dovrebbe essere fatta formazione, genericamente, tutte le “persone interessate” e “tutti i pertinenti attori della catena del valore AI”, con ciò lasciando intendere che la valutazione in merito ai soggetti coinvolti deve essere fatta di volta in volta, ma deve essere la più ampia possibile.

L’oggetto dell’alfabetizzazione AI

Generico, ma ampio, è anche l’oggetto della formazione a cui le imprese sono tenute.

L’art. 4 non ci dice che cosa sia l’alfabetizzazione, ma solo come deve essere fatta, indicando che essa deve tenere conto

• delle conoscenze tecniche, esperienza, istruzione e formazione delle persone a cui deve essere rivolta;

• del contesto in cui i sistemi AI devono essere utilizzati;

• delle persone che sono coinvolte dall’uso dei sistemi AI.

Sono questi i tre parametri sulla base dei quali la formazione deve essere modulata, per cui non potrà mai essere uguale per tutti, nella sua interezza, ma dovrà essere di volta in volta adeguata alla specificità del caso.

L’art. 3 n. 56 chiarisce che la formazione dovrebbe servire a fornire ai fornitori, ai deployer e alle persone interessate le competenze, le conoscenze e la comprensione che consentono loro, nell’ambito dei rispettivi diritti e obblighi previsti dall’AI Act, di:

• procedere a una diffusione informata dei sistemi AI;

• essere consapevoli delle opportunità, dei rischi e dei possibili danni che l’AI può causare.

La formazione dovrebbe quindi svolgersi su più piani ed essere graduale e prevedere almeno le seguenti fasi:

• Conoscenza del funzionamento dei sistemi IA
  Comprensione dei principi fondamentali di funzionamento dei sistemi di intelligenza artificiale, incluse le tecnologie sottostanti, e analisi delle opportunità e dei rischi che tali sistemi possono comportare per l’azienda e i suoi processi. Esame delle criticità dei sistemi AI, derivanti dai dati di addestramento utilizzati (ad esempio bias discriminatori) o dal loro meccanismo operativo (allucinazioni), per ridurre l’impatto negativo sul processo decisionale. La formazione dovrà essere sia generale, sia specifica in relazione al prodotto AI aziendale.

• Formazione pratica sull’uso dei sistemi IA
  Conoscenza dell’uso dei sistemi di AI più diffusi sul mercato, e in particolare di quelli che svolgono funzioni simili, o connesse, ai sistemi AI prodotti o distribuiti dall’azienda. Formazione specifica sull’uso del sistema AI che l’azienda produce, distribuisce o utilizza, in modo da generare consapevolezza di come funziona, dei vantaggi che offre, dei rischi, della possibile inesattezza degli output.

• Normativa e obblighi organizzativi nell’utilizzo dell’IA
  Identificazione delle restrizioni legali, operative e organizzative che regolano l’uso dell’AI in contesti aziendali, con particolare attenzione alle applicazioni consentite, obbligatorie o tollerate, in conformità alle normative vigenti e quanto previsto dall’AI Act.

• Gestione delle informazioni riservate
  Formazione sulle modalità di trattamento sicuro delle informazioni aziendali sensibili durante l’interazione con i sistemi AI, sia in fase di input che di output, per evitare compromissioni di segreti commerciali e dati strategici.

• Protezione dei dati personali
  Applicazione delle normative sulla protezione dei dati personali durante tutte le fasi dell’uso dell’AI (input, elaborazione, output e utilizzo dei risultati), garantendo il rispetto del GDPR e di altre leggi sulla privacy.

• Rispetto dei diritti di proprietà intellettuale
  Approfondimento delle implicazioni legali relative ai diritti di terzi (ad esempio, copyright, marchi registrati, design, brevetti) durante l’uso di sistemi AI, per evitare violazioni di diritti di proprietà intellettuale.

• Tutela dei risultati generati dall’AI
  Valutazione delle possibilità di protezione legale dei contenuti o dei prodotti generati dai sistemi AI, compresi i diritti d’autore e la brevettabilità, al fine di massimizzare il valore aziendale derivante dall’output.

• Capacità di personalizzazione e addestramento dei sistemi AI
  Formazione specifica per il personale coinvolto nell’addestramento e nella personalizzazione dei sistemi AI, con particolare attenzione ai rischi e alle responsabilità associate alla manipolazione dei dati di addestramento.

• Gestione degli aspetti etici e morali
  Promozione di un uso etico dell’AI, integrando considerazioni morali nella definizione delle politiche aziendali sull’utilizzo di tali sistemi, con particolare enfasi sull’impatto sociale e ambientale.

• Monitoraggio e documentazione delle competenze acquisite
  Creazione di un sistema di tracciamento e verifica delle competenze del personale in relazione all’alfabetizzazione AI, per dimostrare la conformità alle disposizioni dell’AI Act in caso di controlli o audit.

Conseguenze della mancata alfabetizzazione AI

La violazione degli obblighi previsti dall’art. 4 non è soggetta ad una sanzione specifica, tuttavia il mancato ottemperamento può avere effetti anche gravi sul piano della responsabilità civile e, a livello pratico, porre l’azienda in uno stato di rischio elevato nella gestione dei propri sistemi.

La formazione del personale è un valore fondamentale per potere impostare strategie di sviluppo serie e responsabili e costituisce, per l’azienda, il presupposto per una crescita rapida ed efficace, evitando il rischio che certe impostazioni debbano essere in futuro cambiate, con costi spesso alti.

Mai, come nel settore dell’intelligenza artificiale, la formazione è molto prima che un obbligo giuridico, una necessità e una grande opportunità per le aziende che sviluppano, distribuiscono o utilizzano nuove tecnologie, per non violare le norme, ma soprattutto per aumentare le competenze e non sottovalutare le innovazioni generate dai gruppi di lavoro interni che, nell’ignoranza della loro proteggibilità, potrebbero andare perdute, anziché assumere il ruolo di asset rivendibili.