Act e obbligo di alfabetizzazione: come adeguare l'azienda

Il dibattito pubblico sull’intelligenza artificiale è spesso emozionale, ma ora il quadro giuridico chiede scelte precise. Questo articolo spiega come l’entrata in vigore delle nuove norme il 2 agosto con il Regolamento (UE) 2024/1689, noto come act, obbliga le imprese a non limitarsi a politiche formali ma a realizzare alfabetizzazione reale del personale, supervisione umana e controlli operativi.

Perché l’act rende l’alfabetizzazione un elemento di governance

L’act impone, con l’articolo 4, che fornitori e deployer garantiscano un livello sufficiente di alfabetizzazione del personale che opera con sistemi di intelligenza artificiale. Questo obbligo non è solo formale: l’articolo 99 dice che le autorità considereranno le misure organizzative adottate quando definiranno eventuali sanzioni. Per un manager la traduzione pratica è semplice da capire: la qualità della formazione influisce sulla valutazione di diligenza dell’azienda e sulla sua capacità di dimostrare di aver prevenuto rischi.

La qualità della formazione determina la valutazione di diligenza.

La normativa obbliga a misurare competenze, non a sottoscrivere certificati generici. Occorrono moduli differenziati per ruoli diversi, verifiche pratiche e registri di esercizio che colleghino persone, strumenti e limiti noti dei modelli. Il mancato sviluppo di competenze rischia di trasformare procedure apparentemente impeccabili in difese formali inefficaci nel momento di un’ispezione o di un contenzioso.

Quand’è che parlare di macchine autonome diventa rischio per le persone e per la responsabilità

La narrativa che antropomorfizza i sistemi di IA può produrre un pericolo concreto: attribuire a un algoritmo decisioni che restano riconducibili a persone e organizzazioni. Se manager e responsabili scaricano responsabilità sull’idea di autonomia, l’azienda resta comunque responsabile per i dati, le scelte progettuali e i controlli che ha omesso. La retorica dell’autonomia non cambia il fatto che le decisioni finali sono prese o validate da esseri umani individuabili.

Attribuire responsabilità agli algoritmi è pericoloso per l’azienda.

Questo rischio è particolarmente rilevante nelle PMI, dove ruoli e controllo sono spesso meno formalizzati. Una formazione incompleta genera fiducia eccessiva negli output. Invece di ridurre il rischio, l’antropomorfizzazione può creare una zona franca giuridica di fatto, lasciando vuoti operativi che le autorità interpreteranno come mancanza di diligenza.

responsabilità: strumenti pratici per trasformare l’obbligo in comportamento

Per trasformare l’obbligo dell’act in prassi concreta, serve una mappa operativa. Primo passo: censire gli strumenti in uso, interno ed esterno, con un registro che indichi chi li usa e per quali scopi. Secondo passo: definire moduli di formazione per ruoli chiave con test di verifica e simulazioni pratiche; l’obiettivo è che l’operatore riconosca un’“allucinazione” algoritmica e sappia valutare un output probabilistico come tale. Terzo passo: stabilire procedure chiare per validare output, scalare problemi e segnalare incidenti.

Queste misure non servono solo a contenere sanzioni; costituiscono la prova provata che l’impresa ha implementato misure tecniche e organizzative idonee, come richiesto dall’articolo 99. Sul piano operativo, occorre anche decidere canali approvati per l’uso degli strumenti, limiti sui dati che si possono immettere e logging delle richieste fatte ai modelli.

Le misure tecniche e organizzative dimostrano diligenza concreta.

Sul piano pratico, serve anche definire ruoli di responsabilità, frequenza di aggiornamento delle competenze e metriche di controllo. I registri devono collegare persone, finalità e limiti dei modelli. Le prove pratiche e i test simulati sono essenziali per dimostrare competenza reale.

Shadow AI, esempi concreti e chi guadagna o perde da questo cambiamento

La shadow AI è l’uso non autorizzato e non tracciato di strumenti di intelligenza artificiale da parte dei dipendenti. Definire la shadow AI fin da subito aiuta a contrastarla: si tratta dell’uso spontaneo per redigere e-mail, sintetizzare documenti o generare codice prima che la governance aziendale sia operativa. Questo fenomeno espone dati sensibili, come contratti o codice sorgente, a servizi esterni senza controlli; le conseguenze legali e commerciali possono essere rilevanti.

Le imprese organizzate traggono vantaggio dalla governance tempestiva.

Chi guadagna sono le imprese che trasformano l’adozione in capacità: dimostrano diligenza, proteggono il patrimonio informativo e migliorano l’affidabilità degli output. Chi resta indietro rischia invece sanzioni indirette, perdita di controllo sui dati e danni reputazionali. I costi nascosti includono tempo per progettare programmi formativi, competenze necessarie per valutare i fornitori e l’attenzione continua alla compliance.

Passi pratici immediati e domande ancora aperte

Per iniziare, mappa gli strumenti, nomina responsabili per categorie d’uso, definisci procedure di escalation e costruisci moduli formativi con verifica pratica. Misura l’efficacia con KPI semplici: percentuale di personale formato, numero di incidenti segnalati e tempo medio di risposta a una anomalia. Non vietare l’uso degli strumenti: proibire favorisce l’adozione sommersa e rende impossibile dimostrare controllo.

Resta aperta la questione di come misurare oggettivamente la qualità dell’alfabetizzazione nei diversi settori; la risposta dipenderà dalla natura dell’attività aziendale e dal rischio associato agli output. Quello che è certo, secondo le norme attive dal 2 agosto, è che l’act richiede alle imprese di tradurre l’obbligo normativo in comportamenti verificabili, documentati e sostenuti da competenze reali.

Fonti: