Chatbot, deepfake e obblighi per le aziende. Paolo Benanti: «L’AI Act protegge la qualità delle decisioni sugli umani. La trasparenza è il punto zero dell'etica»
Il 2 agosto cade di domenica, in mezzo alle partenze e agli uffici mezzi vuoti. È anche il giorno in cui l’AI Act, il primo quadro normativo organico al mondo sull’intelligenza artificiale, arriva alla sua applicazione generale. Una data attesa da due anni, anche se non definitiva, visto che di scadenze ne sono previste diverse. Per orientarsi bisogna separare tre piani: ciò che cambia dal 2 agosto, le norme già operative e quelle che sono state rinviate. La logica del regolamento , però, resta la stessa: maggiori sono i possibili danni dell'AI per le persone, più severi diventano gli obblighi.
Cosa prevede l'AI ACT?In parole semplici, l’AI Act divide gli usi dell’intelligenza artificiale in quattro fasce: rischio minimo o nullo, per gran parte delle applicazioni comuni; rischio limitato, che comporta soprattutto obblighi di trasparenza; alto rischio, quando l’uso dell'AI può incidere sul lavoro, sulla scuola, sul credito, sui servizi pubblici o sulla giustizia; rischio inaccettabile, per le applicazioni vietate.
Cosa cambia dal 2 agostoLa novità principale riguarda chatbot, assistenti vocali, avatar e altri sistemi che interagiscono con le persone. Dovranno informare l’utente della propria natura artificiale, salvo che sia già evidente. Per le aziende che li utilizzano nell’assistenza clienti significa rivedere interfacce, messaggi iniziali e comunicazioni vocali: l’informazione deve essere comprensibile e non nascosta nelle condizioni generali del servizio. I fornitori dei sistemi di AI generativa, come ChatGpt, Gemini e servizi simili, dovranno rendere testi, immagini, audio e video artificiali riconoscibili attraverso una marcatura. Per i sistemi già sul mercato prima del 2 agosto 2026, l’obbligo di marcatura scatterà il 2 dicembre 2026. E chi pubblica un deepfake dovrà dichiarare che il contenuto è stato generato o manipolato dall’intelligenza artificiale. Lo stesso vale per i testi prodotti dall’AI e destinati a informare il pubblico su questioni di interesse generale. L’etichetta non è però necessaria quando il testo è stato sottoposto a controllo umano o editoriale e una persona o un editore ne assume la responsabilità. Non solo: dovranno essere informate anche le persone sottoposte a sistemi di riconoscimento delle emozioni o di categorizzazione biometrica. Le violazioni degli obblighi di trasparenza possono essere punite con sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo. E chiunque, persona o impresa, ritenga violato il regolamento potrà presentare un reclamo all’autorità di vigilanza. In Italia i compiti principali sono affidati all’Agenzia per la cybersicurezza nazionale, ACN, e ad AgID. Restano inoltre le competenze delle autorità di settore, tra cui il Garante della privacy, Banca d’Italia, Consob, Ivass e Agcom.
