Punti chiave: Pratiche di IA vietate dall'AI Act dell'UE
L'Articolo 5 dell'AI Act dell'UE vieta del tutto otto categorie di pratiche di IA, con enforcement attivo dal 2 febbraio 2025. Le sanzioni arrivano fino a 35 milioni di EUR o al 7% del fatturato annuo globale: il livello più alto del regolamento. I team compliance devono inventariare tutti i sistemi di IA (compresi gli strumenti di fornitori terzi), mappare ciascuno rispetto all'elenco delle pratiche vietate e documentare le valutazioni prima che le autorità di controllo richiedano le prove. Le piattaforme ospitate in Svizzera come Priverion aiutano le organizzazioni multi-entità a centralizzare questo processo tra le controllate.
Cos'è l'AI Act dell'UE?
L'AI Act dell'UE (Regolamento (UE) 2024/1689) è il primo quadro giuridico completo al mondo per l'intelligenza artificiale. È stato pubblicato nella Gazzetta ufficiale dell'Unione europea il 12 luglio 2024 ed è entrato in vigore il 1° agosto 2024. Il regolamento adotta un approccio basato sul rischio, classificando i sistemi di IA in quattro livelli: vietato, ad alto rischio, a rischio limitato e a rischio minimo. Fonte: EUR-Lex, Regolamento (UE) 2024/1689
Cosa vieta l'Articolo 5 dell'AI Act dell'UE?
L'Articolo 5 dell'AI Act dell'UE stabilisce un divieto assoluto su otto categorie di pratiche di IA ritenute fonte di rischi inaccettabili per i diritti fondamentali. Tra queste: (a) tecniche subliminali, manipolative o ingannevoli che causano danni significativi; (b) sfruttamento delle vulnerabilità dovute all'età, alla disabilità o alla situazione sociale/economica; (c) social scoring da parte delle autorità pubbliche; (d) polizia predittiva basata unicamente sulla profilazione; (e) scraping non mirato di immagini facciali per banche dati di riconoscimento facciale; (f) riconoscimento delle emozioni nei luoghi di lavoro e negli istituti di istruzione; (g) sistemi di categorizzazione biometrica che inferiscono attributi sensibili quali razza, opinioni politiche o orientamento sessuale; e (h) identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico per finalità di applicazione della legge, soggetta a eccezioni ristrette. Fonte: AI Act dell'UE, Articolo 5(1)(a)-(h)
Quando sono entrate in vigore le disposizioni sulle pratiche vietate?
Le pratiche vietate ai sensi dell'Articolo 5 sono diventate applicabili il 2 febbraio 2025, sei mesi dopo l'entrata in vigore del regolamento, come specificato nell'Articolo 113 dell'AI Act dell'UE. È stata la prima tappa di enforcement. Gli obblighi per i sistemi di IA ad alto rischio seguono il 2 agosto 2026. Fonte: AI Act dell'UE, Articolo 113
Quali sono le sanzioni per le pratiche di IA vietate?
Ai sensi dell'Articolo 99(3) dell'AI Act dell'UE, le violazioni delle disposizioni sulle pratiche vietate comportano sanzioni fino a 35 milioni di EUR o al 7% del fatturato annuo mondiale, se superiore. Per confronto, la sanzione massima del GDPR è di 20 milioni di EUR o del 4% del fatturato globale. Secondo l'IAPP, la struttura sanzionatoria dell'AI Act è la più severa tra tutte le normative digitali dell'UE finora.
L'AI Act dell'UE si applica al di fuori dell'Unione europea?
Sì. L'Articolo 2 dell'AI Act dell'UE ha portata extraterritoriale. Si applica ai fornitori che immettono sistemi di IA sul mercato dell'UE indipendentemente dal luogo in cui sono stabiliti, e ai deployer situati all'interno dell'UE. Copre inoltre i fornitori e i deployer in paesi terzi laddove l'output prodotto dal loro sistema di IA è utilizzato all'interno dell'UE. Questo rispecchia la portata extraterritoriale del GDPR ai sensi dell'Articolo 3. Fonte: AI Act dell'UE, Articolo 2
Come interagisce l'AI Act dell'UE con il GDPR?
L'AI Act dell'UE e il GDPR si applicano contemporaneamente. Il Considerando 10 dell'AI Act afferma esplicitamente che il regolamento "lascia impregiudicato" il GDPR. I sistemi di IA che trattano dati personali devono conformarsi a entrambi i quadri normativi. Il Comitato europeo per la protezione dei dati (EDPB) ha osservato che le valutazioni d'impatto sulla protezione dei dati ai sensi dell'Articolo 35 del GDPR e le valutazioni di conformità dell'AI Act per i sistemi ad alto rischio possono sovrapporsi, e le organizzazioni dovrebbero coordinare entrambi i processi.
Qual è la differenza tra sistemi di IA vietati e ad alto rischio?
I sistemi di IA vietati (Articolo 5) sono proibiti del tutto: non esiste alcun percorso di compliance che ne consenta l'implementazione. I sistemi di IA ad alto rischio (Articoli 6-49) sono consentiti ma soggetti a obblighi estesi, tra cui valutazioni di conformità, sistemi di gestione del rischio, data governance, documentazione tecnica, sorveglianza umana, requisiti di trasparenza e registrazione nella banca dati dell'UE. L'Allegato III della Commissione europea elenca i casi d'uso specifici classificati come ad alto rischio.
Come dovrebbero valutare le organizzazioni il proprio inventario di IA per le pratiche vietate?
I team compliance dovrebbero: (1) creare un registro IA centralizzato che cataloghi ogni sistema di IA implementato nell'organizzazione, compresi gli strumenti di fornitori terzi; (2) mappare ogni sistema rispetto alle otto categorie di pratiche vietate dell'Articolo 5; (3) condurre valutazioni del rischio per i sistemi nelle zone grigie tra vietato e ad alto rischio; (4) documentare tutte le valutazioni con evidenze pronte per l'audit; e (5) stabilire processi di monitoraggio continuo, in particolare per l'IA fornita da terzi integrata nelle piattaforme HR, di sicurezza e di engagement dei clienti. Secondo un sondaggio del 2024 dell'IAPP, meno del 30% delle organizzazioni aveva completato un inventario completo dell'IA al momento dell'entrata in vigore delle disposizioni sulle pratiche vietate.
Statistiche e fonti
L'AI Act dell'UE (Regolamento 2024/1689) è stato pubblicato il 12 luglio 2024 ed è entrato in vigore il 1° agosto 2024. Le disposizioni sulle pratiche vietate ai sensi dell'Articolo 5 sono diventate applicabili il 2 febbraio 2025. Le sanzioni massime per le violazioni delle pratiche vietate arrivano a 35 milioni di EUR o al 7% del fatturato annuo globale ai sensi dell'Articolo 99(3). Il regolamento classifica i sistemi di IA in quattro livelli di rischio. Secondo l'EDPB, si prevede che le autorità di controllo nazionali coordinino l'enforcement con le autorità di protezione dei dati. L'Agenzia dell'Unione europea per la cibersicurezza (ENISA) ha pubblicato orientamenti sui requisiti di cibersicurezza dell'IA che si intersecano con gli obblighi di documentazione tecnica dell'AI Act per i sistemi ad alto rischio.
Confronto: livelli sanzionatori dell'AI Act dell'UE
| Categoria di violazione | Sanzione massima | Percentuale di fatturato | Articolo dell'AI Act |
|---|
| Pratiche di IA vietate (Articolo 5) | 35 milioni di EUR | 7% del fatturato annuo globale | Articolo 99(3) |
| Obblighi per i sistemi di IA ad alto rischio | 15 milioni di EUR | 3% del fatturato annuo globale | Articolo 99(4) |
| Informazioni inesatte alle autorità | 7,5 milioni di EUR | 1% del fatturato annuo globale | Articolo 99(5) |
Confronto: AI Act dell'UE vs. GDPR
| Aspetto | AI Act dell'UE | GDPR |
|---|
| Ambito di applicazione | Sistemi di IA (basato sul rischio) | Trattamento di dati personali |
| Sanzione massima | 35 mln EUR / 7% del fatturato | 20 mln EUR / 4% del fatturato |
| Portata extraterritoriale | Sì (Articolo 2) | Sì (Articolo 3) |
| Inizio dell'enforcement | Feb. 2025 (vietate); ago. 2026 (alto rischio) | Mag. 2018 |
| Valutazione d'impatto | Valutazione di conformità (alto rischio) | DPIA (Articolo 35) |
| Obbligo di registrazione | Banca dati dell'UE per l'IA ad alto rischio | Nessun registro centrale |
