Whitepaper Tecnico e Normativo: Il Regolamento UE 2024/1689 (Artificial Intelligence Act)

Whitepaper Tecnico e Normativo:

Il Regolamento UE 2024/1689 (Artificial Intelligence Act)

L’Artificial Intelligence Act (Regolamento UE 2024/1689), formalmente adottato dal Parlamento Europeo e dal Consiglio dell’Unione Europea, rappresenta il primo framework giuridico globale e vincolante volto a disciplinare lo sviluppo, l’immissione sul mercato, la messa in servizio e l’uso dei sistemi di intelligenza artificiale (IA) all’interno del mercato unico europeo. Fondata su un approccio rigorosamente basato sul rischio (risk-based approach), la normativa introduce obblighi proporzionati e asimmetrici, modulati in funzione della gravità e della probabilità degli impatti negativi che tali tecnologie possono generare sulla salute, sulla sicurezza e sui diritti fondamentali dei cittadini. Il presente whitepaper analizza approfonditamente l’architettura tecnica e i pilastri regolamentari del provvedimento, fornendo alle organizzazioni una guida strategica per la compliance operativa.

1. Obiettivi e Ambito di Applicazione

L’obiettivo primario dell’AI Act è promuovere la diffusione di un’intelligenza artificiale antropocentrica, etica e affidabile, garantendo al contempo un elevato livello di protezione contro gli effetti nocivi dei sistemi algoritmici. Il legislatore comunitario mira a stimolare l’innovazione e la competitività del mercato digitale europeo, istituendo un quadro normativo armonizzato in grado di eliminare la frammentazione giuridica tra gli Stati membri.

L’ambito di applicazione è caratterizzato da una spiccata natura transfrontaliera ed extraterritoriale (analoga a quella del GDPR), intercettando svariate figure della catena del valore algoritmica:

• Fornitori (Provider): Persone fisiche o giuridiche che sviluppano un sistema di IA (o lo fanno sviluppare) al fine di immetterlo sul mercato o metterlo in servizio con il proprio nome o marchio, indipendentemente dal fatto che siano stabilite nell’Unione Europea o in un paese terzo.
• Utilizzatori Professionali (Deployer): Entità pubbliche o private, comprese le autorità pubbliche, che utilizzano un sistema di IA sotto la propria responsabilità nel contesto di un’attività professionale o commerciale.
• Importatori e Distributori: Soggetti stabiliti nell’Unione che immettono sul mercato o rendono disponibile un sistema di IA di un’entità stabilita al di fuori dei confini dell’UE.

2. Definizione Tecnica di Sistema di IA

Per evitare che la norma diventi obsoleta a causa dell’evoluzione tecnologica, l’AI Act adotta una definizione di “sistema di IA” allineata agli standard internazionali dell’OCSE. Ai sensi dell’Articolo 3, si intende un sistema basato su macchine progettato per operare con vari livelli di autonomia che può, per obiettivi espliciti o impliciti, inferire dagli input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali. L’elemento tecnico qualificante è la capacità di inferenza (deduzione logica, modellizzazione o apprendimento), che differenzia strutturalmente l’IA dai sistemi software meramente deterministici basati su regole rigide inserite manualmente dall’uomo.

3. La Classificazione dei Sistemi di IA in Base al Rischio

Il fulcro operativo del Regolamento (UE) 2024/1689 risiede nella tassonomia del rischio, la quale mappa l’universo delle applicazioni di IA in quattro distinte categorie, prescrivendo per ciascuna un regime giuridico specifico ed imperativo:

4. Requisiti Tecnici ed Organizzativi per i Sistemi ad Alto Rischio

L’immissione sul mercato unico europeo di un sistema classificato ad “Alto Rischio” è subordinata al soddisfacimento cumulativo e preventivo di stringenti requisiti ingegneristici e organizzativi stabiliti dal Capo III del Regolamento:

1. Sistema di Gestione dei Rischi (Articolo 9): Implementazione di un processo continuo, documentato e strutturato lungo l’intero ciclo di vita del sistema. Include l’identificazione e l’analisi dei rischi noti e prevedibili, la stima degli impatti collaterali in condizioni di uso corretto e di uso improprio ragionevolmente prevedibile, e l’adozione di adeguate misure di mitigazione tecnica.
2. Governance e Qualità dei Dati (Articolo 10): I dataset di addestramento, convalida e prova devono rispettare criteri di qualità elevatissimi. Devono essere esaminati alla luce di potenziali bias discriminatori, essere rappresentativi, pertinenti e privi di errori macroscopici. Le pratiche di governance dei dati devono includere l’analisi delle lacune e l’identificazione delle ipotesi di partenza del modello.
3. Documentazione Tecnica (Articolo 11): Redazione di una documentazione analitica ex-ante che illustri l’architettura complessiva del sistema, le scelte di progettazione, la logica algoritmica sottostante, i flussi di dati e le procedure di validazione tecnica, aggiornata costantemente per dimostrare la conformità alle autorità competenti.
4. Registrazione dei Log (Articolo 12): Integrazione nativa di funzionalità di logging automatico (tracciabilità algoritmica) per registrare eventi operativi significativi, facilitando il monitoraggio del comportamento del sistema in tempo reale e l’identificazione tempestiva di derive algoritmiche o incidenti di sicurezza.
5. Trasparenza e Informazione (Articolo 13): Progettazione del sistema volta a garantire un livello di trasparenza sufficiente a consentire ai deployer di interpretare correttamente l’output del sistema. L’applicazione deve essere corredata da istruzioni d’uso digitali chiare, dettagliate e accessibili.
6. Supervisione Umana (Articolo 14): Sviluppo di interfacce uomo-macchina adeguate affinché il sistema possa essere efficacemente supervisionato, controllato e, laddove necessario, interrotto o corretto da persone fisiche (meccanismi di human-in-the-loop o human-on-the-loop) per prevenire rischi sistemici.
7. Accuratezza, Robustezza e Cybersecurity (Articolo 15): Definizione e mantenimento di soglie ottimali di accuratezza e resilienza rispetto a errori, guasti e tentativi di manipolazione malevola operati da terzi (es. data poisoning, adversarial attacks o attacchi di iniezione di prompt).

5. Regolamentazione dei Modelli di IA per Finalità Generali (General Purpose AI – GPAI)

Il legislatore europeo ha inserito una disciplina ad hoc per i modelli di IA per finalità generali (GPAI), ovvero modelli dotati di una generalità significativa e capaci di eseguire con competenza un’ampia gamma di compiti distinti (es. Foundation Models e Large Language Models). Gli obblighi si articolano su due livelli:

• Adempimenti Standard per tutti i Fornitori GPAI: Redazione di documentazione tecnica approfondita da trasmettere all’Ufficio per l’IA; predisposizione di informazioni destinate ai fornitori a valle che intendono integrare il modello; adozione di una politica aziendale vincolante per il rispetto del diritto d’autore dell’Unione Europea (Direttiva Copyright) e pubblicazione di una sintesi esaustiva dei dati utilizzati per il pre-addestramento.
• Adempimenti per Modelli GPAI con Rischio Sistemico: Qualificati qualora la potenza computazionale totale cumulativa impiegata per il loro addestramento superi la soglia tecnica di 10²⁵ FLOPS (Floating Point Operations per Second). Tali fornitori devono effettuare valutazioni continue dei modelli, condurre attività strutturate di red-teaming (adversarial testing), monitorare e segnalare tempestivamente all’Ufficio per l’IA eventuali incidenti gravi e implementare misure avanzate di sicurezza informatica fisica e logica.

6. Governance Internazionale e Autorità Nazionali Competenti

L’architettura istituzionale deputata alla vigilanza e all’applicazione dell’AI Act è organizzata su un modello piramidale centralizzato ed integrato:

• Ufficio Europeo per l’IA (AI Office): Istituito in seno alla Commissione Europea, costituisce l’organo tecnico centrale incaricato di monitorare i modelli GPAI, definire i codici di condotta (Codes of Practice) e supportare l’applicazione uniforme della normativa.
• Comitato Europeo per l’IA (AI Board): Composto da un rappresentante d’alto livello per ciascuno Stato membro, ha funzioni consultive e di coordinamento macro-regolamentare.
• Autorità di Vigilanza Nazionali: Ogni Stato membro designa le proprie autorità di controllo. In Italia, le competenze operative e sanzionatorie sono attribuite in modo sinergico all’Agenzia per la Cybersicurezza Nazionale (ACN) per i profili di sicurezza tecnologica e resilienza, e al Garante per la Protezione dei Dati Personali (Garante Privacy) per la tutela dei diritti fondamentali e dei dati personali, imponendo un approccio integrato alla compliance.

7. Roadmap di Attuazione e Tempistiche di Compliance

Entrato in vigore il 1° agosto 2024, il Regolamento (UE) 2024/1689 prevede una timeline di applicazione progressiva e differenziata (Articolo 113) per mitigare l’impatto economico e consentire l’adeguamento tecnico del mercato:

• 2 Febbraio 2025 (6 mesi): Diventano pienamente efficaci i divieti relativi alle pratiche a rischio inaccettabile (Articolo 5) ed entra in vigore l’obbligo di alfabetizzazione (AI literacy) per il personale aziendale (Articolo 4).
• 2 Agosto 2025 (12 mesi): Entrano in vigore le disposizioni sui modelli GPAI, la struttura di governance centrale e il regime sanzionatorio base.
• 2 Agosto 2026 (24 mesi): Piena applicazione del regolamento, inclusi gli obblighi di compliance per i sistemi ad alto rischio inclusi nell’Allegato III e le regole di trasparenza per i sistemi a rischio limitato.
• 2 Agosto 2027 (36 mesi): Estensione degli obblighi ai sistemi ad alto rischio concepiti come componenti di sicurezza all’interno di prodotti industriali regolamentati (es. automotive, aviazione, dispositivi medici disciplinati dall’Allegato I).

8. Il Quadro Sanzionatorio ed Amministrativo

Il sistema punitivo delineato dall’Articolo 99 dell’AI Act si ispira alla severità del framework GDPR, prevedendo sanzioni pecuniarie proporzionate all’entità della violazione e calcolate sul fatturato mondiale annuo dell’esercizio precedente, applicando il valore maggiore tra gli importi fissi e le percentuali:

• Inosservanza dei Divieti (Articolo 5): Sanzioni amministrative fino a 35 milioni di EUR o al 7% del fatturato mondiale annuo per l’impiego o l’immissione sul mercato di sistemi a rischio inaccettabile.
• Violazione degli Obblighi sui Sistemi ad Alto Rischio o Modelli GPAI: Sanzioni fino a 15 milioni di EUR o al 3% del fatturato mondiale annuo in caso di mancato rispetto dei requisiti di conformità, data governance o documentazione.
• Fornitura di Informazioni False o Fuorvianti: Sanzioni fino a 7,5 milioni di EUR o all’1% del fatturato globale in caso di rilascio di dati mendaci o incompleti alle autorità nazionali o agli organismi notificati.

Regime Agevolato per PMI e Startup: Per preservare l’ecosistema dell’innovazione e tutelare le imprese di minori dimensioni, l’Articolo 99 specifica che per le piccole e medie imprese e le startup l’ammenda applicabile corrisponde al valore inferiore tra l’importo assoluto e la percentuale del fatturato indicata.

9. Linee Guida Operative per l’Adeguamento delle Organizzazioni

Al fine di mitigare i rischi legali, operativi e reputazionali, le organizzazioni devono adottare un approccio proattivo strutturando tempestivamente un programma organico di AI Governance:

1. AI Inventory e Censimento Algoritmico: Mappare in modo analitico tutti i sistemi e gli strumenti software basati su IA acquisiti da terzi, integrati internamente o distribuiti sul mercato.
2. Risk Assessment e Gap Analysis: Classificare ciascun sistema censito all’interno delle quattro categorie di rischio previste dall’AI Act e identificare gli scostamenti tecnici e procedurali rispetto ai requisiti di legge.
3. Integrazione Confortevole con il GDPR: Allineare la documentazione algoritmica con quella della protezione dei dati, integrando ad esempio la DPIA (Data Protection Impact Assessment) con la FRIA (Fundamental Rights Impact Assessment) richiesta per i sistemi ad alto rischio nel settore pubblico.
4. Piani di Alfabetizzazione (Articolo 4): Erogare percorsi formativi obbligatori e tracciabili per il personale coinvolto nella progettazione, implementazione e monitoraggio dell’IA, accrescendo la consapevolezza dei rischi etici e tecnici.
5. Adozione dello Standard ISO/IEC 42001: Implementare un Sistema di Gestione dell’Intelligenza Artificiale (AIMS) basato sullo standard internazionale certificabile ISO/IEC 42001, configurandolo come lo strumento operativo principale per governare la compliance e garantire un’IA solida, sicura e trasparente.

“Questo documento è di proprietà di CEFITEC SrL. Si precisa che il contenuto potrebbe essere stato realizzato o rielaborato, in tutto o in parte, attraverso l’utilizzo di tecnologie di intelligenza artificiale.”

  Il regolamento UE2024/1689 può essere scaricato da: https://www.europeanrights.eu/public/norme_europee/Regolamento_UE_su_intelligenza-artificiale.pdf

oppure  Regolamento_UE_su_intelligenza-artificiale

CEFITEC: Executive Summary

Visione Strategica e Posizionamento

CEFITEC S.r.l. è una società di consulenza strategica italiana specializzata nella trasformazione digitale e nella sicurezza. L’obiettivo primario è la creazione di un ecosistema di protezione a 360 gradi, unendo in modo nativo la Sicurezza Fisica, Informatica e Operativa. Operando in totale indipendenza dai fornitori tecnologici (Vendor Independent), CEFITEC si posiziona come trusted advisor per Enti Pubblici e aziende private, garantendo la conformità ai massimi standard dell’Agenzia per la Cybersicurezza Nazionale (ACN).

Il Cuore dell’Offerta: La Metodologia T–ERP®

Il T-ERP® (Technology Enterprise Resource Planning). non è un semplice software, ma un modello metodologico proprietario. Agisce come un “layer intelligente” che abbatte i silos aziendali, correlando in tempo reale eventi fisici e digitali. Questo permette di compiere un salto evolutivo: da una gestione reattiva delle emergenze a una governance predittiva, trasformando dati frammentati e isolati in asset decisionali strategici, ottimizzando i tempi di risposta e assicurando la continuità operativa.

I Tre Pilastri della Sicurezza Integrata

Servizi e Modello di Delivery

CEFITEC si pone come interlocutore unico per la progettazione e l’orchestrazione degli ecosistemi di sicurezza tramite un portafoglio di servizi mirati:

• Studi di Fattibilità: Analisi tecnico-normative per ottimizzare il Total Cost of Ownership libere da vincoli di vendor.
• Capitolati Tecnici e Progettazione: Stesura di specifiche rigorose per gare d’appalto e sviluppo infrastrutturale.
• Selezione Vendor: Individuazione imparziale delle migliori tecnologie disponibili.
• Integrazione T-ERP® Convergenza totale governata da Intelligenza Artificiale e API.

L’implementazione sul campo avviene tramite un modello di delivery avanzato basato su un ecosistema di Partner Certificati. Mentre CEFITEC mantiene la regia progettuale (Strategic Advisor & System Architect), l’esecuzione è affidata a specialisti rigorosamente selezionati, con l’obbligo di piena aderenza alla metodologia T-ERP®.

Settori d’intervento

1. Pubblica Amministrazione: Progetti di sicurezza urbana e raggiungimento della Sovranità Digitale.
2. Aziende Strutturate (Enterprise): Centralizzazione di ecosistemi complessi (ERP, HR, CRM).
3. Industria & Manifattura: Sicurezza predittiva focalizzata su ambienti SCADA e IoT.
4. Infrastrutture Critiche: Resilienza senza compromessi per utility, sanità e reti di trasporto.

Contatto CEFITEC SrL Massimo Zuccali massimo.zuccali@cefitec.it tel. +39 333 8714060