Cos'è l'EU AI Act e cosa significa per le imprese svizzere?

Cos'è l'EU AI Act?

L'EU AI Act è la prima regolamentazione orizzontale e trasversale per l'intelligenza artificiale. In quanto Regolamento (UE) 2024/1689 è entrato in vigore il 1° agosto 2024 e si applica direttamente in ogni Stato membro dell'UE, senza recepimento nazionale. L'obiettivo è un mercato unico per un'IA affidabile: favorire l'innovazione tutelando al contempo diritti fondamentali, salute e sicurezza.

L'approccio è basato sul rischio, non sulla tecnologia. Non si regola la tecnologia in sé, ma la finalità d'uso di un sistema di IA e il rischio che comporta. Più alto è il rischio per le persone e la società, più severi sono i requisiti: dal divieto totale a nessun obbligo aggiuntivo.

Le quattro classi di rischio in sintesi

Trasversali a queste classi sono le regole per i modelli di IA per finalità generali (GPAI), come i grandi modelli linguistici. I loro fornitori devono fornire documentazione tecnica, una policy sul diritto d'autore e una sintesi dei dati di addestramento; i modelli abbastanza potenti da comportare un rischio sistemico hanno obblighi aggiuntivi.

• Rischio inaccettabile (vietato, art. 5): pratiche come il social scoring da parte delle autorità, tecniche manipolative o di sfruttamento, il prelievo non mirato di immagini facciali per creare banche dati e – con eccezioni ristrette – il riconoscimento delle emozioni sul lavoro e nell'istruzione.
• Rischio alto: IA in ambiti sensibili (Allegato III) come selezione del personale, merito creditizio, infrastrutture critiche, istruzione, applicazione della legge o migrazione, oltre all'IA come componente di sicurezza di prodotti regolamentati. Obblighi: gestione del rischio, qualità dei dati, documentazione tecnica, sorveglianza umana, valutazione di conformità.
• Rischio limitato (trasparenza, art. 50): sistemi che interagiscono con le persone o generano contenuti. L'obbligo principale è la divulgazione: gli utenti devono sapere di avere a che fare con l'IA o che i contenuti sono generati artificialmente.
• Rischio minimo: la grande maggioranza delle applicazioni attuali – ad esempio filtri antispam, sistemi di raccomandazione o IA nei videogiochi. Qui l'EU AI Act non impone obblighi giuridici aggiuntivi; sono incoraggiati codici di condotta volontari.

Portata extraterritoriale: perché la Svizzera è coinvolta

La Svizzera non è membro dell'UE, eppure l'EU AI Act può applicarsi direttamente alle imprese svizzere. Ciò che conta è il collegamento con il mercato UE, non la sede dell'azienda. Sono interessati i fornitori che immettono sistemi di IA sul mercato UE e i fornitori e deployer al di fuori dell'UE quando l'output del loro sistema di IA è usato nell'UE.

In pratica: una PMI svizzera che vende uno strumento di IA a clienti in Germania, o la cui valutazione automatizzata di una candidatura riguarda una persona nell'UE, può rientrare nell'ambito di applicazione. Come per il regolamento europeo sulla protezione dei dati, la portata è volutamente transfrontaliera.

Obblighi di trasparenza ai sensi dell'articolo 50

L'articolo 50 riguarda un insieme molto ampio di applicazioni ed è, per molte aziende, l'obbligo più rilevante nella pratica. Richiede la divulgazione affinché le persone non siano ingannate sul coinvolgimento dell'IA.

• Chatbot e assistenti: le persone devono poter capire di interagire con un sistema di IA e non con una persona, salvo quando è evidente.
• Contenuti generati: i contenuti sintetici audio, immagini, video o testo devono essere marcati in modo leggibile dalle macchine come generati artificialmente.
• Deepfake: chi genera o manipola contenuti di immagini, audio o video che sembrano autentici deve dichiarare che sono stati creati artificialmente.
• Riconoscimento delle emozioni e categorizzazione biometrica: le persone interessate devono essere informate dell'uso di tali sistemi.

Il calendario: quando si applica ciascun obbligo

• 1° agosto 2024: entrata in vigore del regolamento.
• 2 febbraio 2025: si applicano i divieti (art. 5) e l'obbligo di alfabetizzazione all'IA (art. 4).
• 2 agosto 2025: entrano in vigore gli obblighi per i modelli di IA per finalità generali, le strutture di governance e le disposizioni sanzionatorie.
• 2 agosto 2026: si applica la maggior parte delle disposizioni, inclusi i requisiti per l'alto rischio dell'Allegato III e gli obblighi di trasparenza dell'art. 50.
• 2 agosto 2027: si applicano le regole per l'alto rischio dell'IA come componente di sicurezza di prodotti regolamentati (Allegato I).

Cosa significa per la Svizzera – EU AI Act, revLPD e la via svizzera

La Svizzera attualmente non ha una propria legge orizzontale sull'IA. Nel 2025 il Consiglio federale ha deciso di ratificare la Convenzione del Consiglio d'Europa sull'IA e di regolare l'IA principalmente in modo settoriale e adattando il diritto esistente, anziché creare un'unica legge organica. Un relativo progetto dovrà essere elaborato entro fine 2026.

Indipendentemente da ciò, la trattazione dei dati personali nei sistemi di IA è già disciplinata dalla legge sulla protezione dei dati riveduta (revLPD/nLPD), vigilata dall'IFPDT. Chi impiega l'IA in Svizzera deve quindi già oggi affrontare questioni di protezione dei dati, trasparenza ed equità: l'EU AI Act si aggiunge in presenza di un collegamento con il mercato UE, ma non sostituisce la revLPD.

Primi passi: come prepararsi

• Creare un inventario: catalogare tutti i sistemi di IA in uso e previsti, con la finalità d'uso e l'eventuale collegamento con l'UE.
• Chiarire il ruolo: siete fornitore, deployer, importatore o distributore? Gli obblighi variano sensibilmente in base al ruolo.
• Classificare il rischio: per ogni sistema, verificare se è vietato, ad alto rischio, soggetto a obblighi di trasparenza o minimo.
• Sviluppare competenze sull'IA: formare il personale all'uso responsabile dell'IA (l'art. 4 richiede un livello sufficiente di alfabetizzazione all'IA).
• Attuare la trasparenza: etichettare chatbot e contenuti generati dall'IA e documentare le misure in modo tracciabile.