Il regolamento europeo sull’intelligenza artificiale (AI Act) è ormai una realtà, ma per molte aziende la strada verso la conformità è ancora piena di incognite. La promessa di una scorciatoia – applicare uno standard armonizzato e ottenere automaticamente la presunzione di conformità – si scontra con una situazione concreta: gli standard riconosciuti non sono ancora stati definiti. Cosa significa per chi sviluppa o utilizza sistemi di AI in Europa?
La promessa degli standard armonizzati
L’AI Act introduce un meccanismo che dovrebbe semplificare la vita alle imprese: se un sistema di AI è conforme a uno standard armonizzato pubblicato sulla Gazzetta Ufficiale dell’UE, si presume che rispetti i requisiti del regolamento. In teoria, questo evita di dover dimostrare caso per caso la conformità, riducendo tempi e costi.
Ma c’è un problema: gli standard armonizzati per l’AI non sono ancora stati pubblicati. Gli organismi europei di normazione (CEN, CENELEC) stanno lavorando, ma il processo è complesso e richiede tempo. Nel frattempo, le aziende si trovano in una zona grigia: devono comunque rispettare l’AI Act, ma senza poter contare su riferimenti tecnici chiari.
Come dimostrare la conformità senza standard
In assenza di standard armonizzati, le imprese devono adottare un approccio alternativo. La chiave è dimostrare che il proprio sistema soddisfa i requisiti essenziali del regolamento, utilizzando altre fonti: standard internazionali (come ISO/IEC 42001), best practice di settore, linee guida delle autorità nazionali o documentazione tecnica dettagliata.
Questo significa che la conformità diventa un processo più oneroso, che richiede competenze specifiche e una documentazione accurata. Le aziende devono essere pronte a spiegare e giustificare le proprie scelte, anche in assenza di un riferimento normativo univoco.
Il ruolo delle autorità nazionali e della sorveglianza del mercato
Nel frattempo, le autorità nazionali di sorveglianza del mercato stanno iniziando a muoversi. In Italia, il Garante per la protezione dei dati personali e il Ministero delle Imprese e del Made in Italy (MIMIT) saranno probabilmente coinvolti, ma le procedure operative non sono ancora del tutto definite.
Questo crea incertezza per le imprese, che non sanno esattamente come verranno valutate. La raccomandazione è di non aspettare: iniziare a mappare i propri sistemi di AI, valutarne i rischi e predisporre una documentazione che dimostri l’attenzione ai requisiti dell’AI Act, anche in assenza di standard ufficiali.
Verso una certificazione volontaria
Alcune aziende stanno esplorando la strada della certificazione volontaria, ad esempio attraverso schemi come quello previsto dalla ISO/IEC 42001, che fornisce un quadro per il sistema di gestione dell’AI. Questa certificazione può essere un segnale di affidabilità verso clienti e partner, anche se non sostituisce la presunzione di conformità dell’AI Act.
In ogni caso, la situazione è destinata a evolversi: gli standard armonizzati arriveranno, ma probabilmente non prima del 2027. Nel frattempo, le imprese devono muoversi con pragmatismo, investendo nella cultura della conformità e nella trasparenza dei propri sistemi.
Cosa significa per chi legge
Per chi sviluppa o utilizza sistemi di AI in Europa, il consiglio è di non aspettare gli standard armonizzati. Ecco tre azioni pratiche:
- Avviare un assessment interno dei propri sistemi di AI, identificando quelli ad alto rischio secondo l’AI Act e documentando le misure di mitigazione.
- Adottare standard volontari come ISO/IEC 42001 per strutturare la governance dell’AI e dimostrare impegno verso la conformità.
- Monitorare gli sviluppi normativi e partecipare a gruppi di lavoro di settore per essere pronti quando gli standard armonizzati saranno pubblicati.
La conformità all’AI Act è una maratona, non uno sprint. Chi inizia ora avrà un vantaggio competitivo quando le regole saranno pienamente operative.