L'AI Act Regulation (EU) 2024/1689 dell'Unione Europea è entrato nella fase operativa dal 2 febbraio 2025, attivando le prime disposizioni vincolanti che richiedono l'eliminazione immediata delle pratiche vietate (Art. 5) e l'implementazione di programmi obbligatori di AI Literacy per utenti e fornitori (Art. 4). Questa prima fase segna l'inizio di un processo di transizione biennale che si completerà ad agosto 2026.

Mappatura completa, pratiche vietate e formazione. Cosa chiede l'AI Act

L'entrata in vigore dell'AI Act obbliga le aziende a procedere immediatamente con una mappatura completa di tutti gli usi dell'intelligenza artificiale aziendale, eliminando contestualmente le pratiche classificate come vietate e avviando programmi di formazione strutturati sulle competenze IA per i team interni. La complessità e l'estensione della normativa europea richiedono un investimento significativo in conoscenza specialistica e l'allocazione di risorse dedicate, rendendo necessaria una collaborazione cross-funzionale tra le aree IT, Legal e Business.

Tuttavia, l'AI Act rappresenta anche un'opportunità strategica per i CIO di consolidare il vantaggio competitivo aziendale. Attraverso una governance IA strutturata e proattiva, le organizzazioni possono riposizionarsi come leader nel mercato.

L'evoluzione tecnologica verso gli Agenti AI sta già generando interrogativi sulla necessità di nuove regolamentazioni specifiche, suggerendo che il panorama normativo continuerà ad evolversi oltre l'attuale implementazione. Le organizzazioni più lungimiranti stanno già considerando come prepararsi per queste future evoluzioni del quadro regolatorio europeo.
 

Il quadro normativo e gli obiettivi che l’Unione Europea persegue con l’AI Act Regulation (EU) 2024/1689

L'AI Act (Legge sull'Intelligenza Artificiale) rappresenta lo sforzo pionieristico dell'Unione Europea per istituire il primo quadro giuridico completo al mondo specificamente dedicato all'Intelligenza Artificiale (IA). Questa iniziativa legislativa si pone come uno sviluppo di notevole portata a livello globale, potenzialmente destinato a fungere da modello per altre giurisdizioni. L’UE non nasconde l’ambizioso obiettivo di  assumere un ruolo guida nel definire il panorama etico e legale dell'IA.

 

L'obiettivo primario e dichiarato dell'AI Act è, infatti, la promozione dello sviluppo e dell'utilizzo di una "IA affidabile" all'interno dell'Unione Europea. L'approccio dell'UE non si limita a consentire l'avanzamento tecnologico, ma mira a garantire che tale avanzamento sia conforme ai valori europei e alle aspettative dei cittadini. Senza normativa, infatti, non si possono costruire solide fondamenta fiduciarie, che costituiscono i presupposti per reali benefici sociali ed economici.

Per raggiungere tale scopo, l'AI Act stabilisce una serie chiara di regole destinate agli sviluppatori e agli utilizzatori di IA. Queste regole sono differenziate in base agli usi specifici dell'IA e ai livelli di rischio ad essi associati. Tale impostazione metodologica evidenzia l'approccio basato sul rischio come principio fondante della regolamentazione, implicando una strategia normativa sfumata e non generalizzata, che verrà ulteriormente dettagliata.

 

 

È importante notare come l'Unione Europea non stia attendendo il manifestarsi di danni diffusi prima di intervenire normativamente sull'IA; al contrario, sta cercando di plasmarne proattivamente lo sviluppo. Essendo la "prima" a muoversi in questa direzione, l'UE mira verosimilmente a stabilire un punto di riferimento globale (il cosiddetto "effetto Bruxelles"), influenzando le norme internazionali e potenzialmente offrendo alle imprese europee un vantaggio competitivo nello sviluppo di sistemi di IA conformi e affidabili.

 

Una Guida Operativa per i CIO

L'entrata in vigore delle prime disposizioni dell'AI Act dal 2 febbraio 2025 ha, volenti o nolenti, trasformato il ruolo del CIO da custode e innovatore dei sistemi IT a orchestratore strategico dell'innovazione responsabile. Non si tratta più solo di gestire la tecnologia, ma di guidare l'organizzazione verso un futuro in cui l'intelligenza artificiale diventa leva competitiva attraverso la conformità normativa.

Gli obblighi immediati dell'AI Act

L'articolo 5 dell'AI Act ha reso operative le pratiche vietate, creando per i CIO l'urgenza di un audit completo dei sistemi aziendali. Sono ora categoricamente proibite:

• tecniche di manipolazione subliminale o ingannevole;
• sfruttamento delle vulnerabilità (ovverosia utilizzi dell'IA indirizzati a sfruttare le vulnerabilità legate a età, disabilità o condizioni socio-economiche);
• sistemi di social scoring (uso dell'IA per valutazione e classificazione delle persone in base a comportamenti sociali o caratteristiche personali);
• identificazione biometrica in tempo reale per le valutazioni del rischio che una persona commetta un reato, o la categorizzazione per dedurre caratteristiche sensibili come orientamento sessuale, convinzioni religiose o opinioni politiche; o ancora il riconoscimento delle emozioni in ambito lavorativo, la creazione o ampliamento di banche dati di riconoscimento facciale mediante scraping non mirato).

 

Parallelamente, l'articolo 4 impone l'alfabetizzazione AI per tutto il personale che interagisce con sistemi di intelligenza artificiale. Quest'obbligo si estende ben oltre i sistemi ad alto rischio, coinvolgendo qualsiasi applicazione IA utilizzata in azienda. La formulazione "assicurare il più possibile un livello sufficiente" lascia spazio interpretativo, ma richiede un approccio strutturato alla formazione che molte organizzazioni stanno ancora definendo.

Art. 4 - Providers and deployers of AI systems shall take measures to ensure, to their best extent, a sufficient level of AI literacy of their staff and other persons dealing with the operation and use of AI systems on their behalf

La complessità della catena di fornitura

Una delle sfide più sottovalutate riguarda la gestione dei fornitori, in particolare le big tech americane che integrano massicciamente l'IA nei loro servizi. Le aziende che non utilizzano direttamente l'intelligenza artificiale si trovano esposte attraverso i loro fornitori, rendendo necessaria una revisione completa dei contratti esistenti. Gli aspetti assicurativi, gli obblighi di trasparenza e la definizione delle responsabilità richiedono un nuovo bilanciamento delle clausole contrattuali.

La questione diventa ancora più critica quando si considera che l'Intelligenza Artificiale rappresenta contemporaneamente uno strumento di difesa contro le cyber-minacce e un'arma nelle mani dei cybercriminali. Questo duplice aspetto richiede ai CIO di ripensare completamente l'approccio alla sicurezza, integrando data privacy impact assessment e meccanismi di accountability che permettano di tracciare il ragionamento dei sistemi AI e le relative responsabilità.

L'evoluzione del ruolo di CIO da tecnico a strategico

In una ricerca condotta da Dentons, il Global AI Trends Report si evidenzia come le aziende italiane stiano affrontando questa transizione assegnando la responsabilità della compliance AI Act principalmente ai Data Protection Officer, estendendone il ruolo oltre la privacy tradizionale, oppure direttamente ai CIO. Il dato che prima di altri attira l'attenzione è che, come ha commentato Giangiacomo Olivi, partner e Co-Head del dipartimento di Intellectual Property, Data and Technology per l'Europa: «Il 63% dei dirigenti d’azienda non dispone attualmente di una roadmap formalizzata sull’IA».

Stando allo studio, la chiave del successo risiede nell'approccio di governance trasversale che i CIO più avveduti stanno adottando. Invece di creare strutture separate come gli AI Board inizialmente ipotizzati, l'approccio vincente prevede funzioni di riferimento diffuse che fanno da raccordo sui temi AI nei vari dipartimenti, creando checkpoint distribuiti ma coordinati centralmente.

Questo approccio proattivo rappresenta il futuro del ruolo del CIO nell'era dell'AI Act: adeguarsi bene alle norme può essere un motore per il consolidamento del vantaggio competitivo, trasformando l'AI Act da baluardo difensivo a catalizzatore di innovazione. La capacità di essere conformi alle regole prima e meglio dei concorrenti favorisce la creazione di un contesto di fiducia nell'AI che può tradursi in nuove linee di business e aumenti di produttività.

Questo è tanto più sensato quanto più si sta assistendo a un ampliamento dell'orizzonte normativo che si sta preparando ad andare oltre l'AI Act attuale. L'avvento dell'Agentic AI sta mettendo in discussione i modelli di governance centrati sulla supervisione umana, creando la necessità di sistemi di controllo per AI autonomi e questo probabilmente richiederà nuovi interventi del regolatore europeo, integrativi dell'AI Act esistente.

Le preoccupazioni riguardo alla responsabilità in caso di errore umano nell'uso di AI Agent evidenziano una problematica ancora irrisolta: dove finisce la responsabilità umana e inizia quella del sistema autonomo? Nei settori regolati come la sanità, questa questione diventa particolarmente critica quando si tratta di proteggere dati sensibili e garantire la conformità simultanea a AI Act e GDPR.

Passi concreti per agire ora

Per i CIO che devono tradurre queste complessità in azioni concrete, l'approccio più efficace prevede quattro pilastri fondamentali.

• La formazione del personale rappresenta il primo investimento, non solo per conformità normativa ma per creare una cultura aziendale consapevole dei rischi e delle opportunità dell'IA.
• L'audit dei sistemi interni richiede una mappatura completa che vada oltre l'inventario tecnologico per includere analisi di impatto e valutazioni di rischio.
• La governance di AI e dati deve evolversi da semplice controllo tecnico a framework strategico che integri compliance, innovazione e gestione del rischio.
• Infine, la verifica dei fornitori richiede un approccio collaborativo che trasformi i partner tecnologici in alleati nella costruzione di un ecosistema AI responsabile.

L'AI Office della Commissione Europea e l'AI Pact offrono strumenti preziosi per navigare queste complessità, fornendo un canale diretto per chiarimenti normativi e condivisione di best practice. Per i CIO, partecipare attivamente a questi tavoli significa non solo ricevere guidance, ma contribuire a plasmare l'evoluzione futura del framework normativo.