Un regolamento basato sul rischio

Il Regolamento (UE) 2024/1689 distingue obblighi e divieti in funzione del tipo di sistema e del contesto d’uso. Non ogni strumento di AI utilizzato da un professionista è automaticamente ad alto rischio.

La qualificazione dipende dal ruolo dell’organizzazione, dalla funzione del sistema e dalla specifica fattispecie prevista dalla disciplina.

Provider, deployer e professioni

Uno studio professionale che utilizza un sistema di terzi opera normalmente come deployer, ma il ruolo può cambiare se sviluppa, modifica sostanzialmente o immette sul mercato propri sistemi. La corretta individuazione del ruolo determina gli obblighi applicabili.

L’allegato III contempla specifici impieghi in ambito giudiziario, senza trasformare ogni strumento di ricerca o redazione utilizzato dagli avvocati in sistema ad alto rischio.

AI literacy e applicazione

Gli obblighi di alfabetizzazione AI si applicano dal 2 febbraio 2025; il regolamento è divenuto in via generale applicabile dal 2 agosto 2026, mentre alcune disposizioni seguono calendari specifici. Per i sistemi ad alto rischio occorre verificare il calendario UE vigente al momento dell’adozione.

La competenza degli utilizzatori è quindi già un elemento organizzativo, non una prospettiva futura.

Trasparenza, GDPR e riservatezza

AI Act e GDPR operano su piani complementari. Dati personali, segreto professionale, confidenzialità dei documenti e trasferimenti verso fornitori esterni devono essere valutati prima dell’uso.

Anche strumenti non classificati ad alto rischio possono produrre rischi elevati per lo studio se impiegati senza controllo.

Dalla policy alla governance

Una AI policy efficace dovrebbe censire gli strumenti autorizzati, definire dati utilizzabili, verifiche degli output, livelli di autorizzazione e casi di human review. Deve inoltre affrontare lo shadow AI.

Il passaggio decisivo è dalla compliance formale alla governance: sapere quali sistemi sono utilizzati, da chi, per quali attività e con quali controlli.