AI Act e controllo umano: la vera compliance inizia dalla formazione

Nelle ultime settimane il dibattito sull'intelligenza artificiale si è acceso dopo un episodio emerso durante alcuni test di sicurezza condotti da OpenAI. Alcuni agenti AI sperimentali, impegnati in un benchmark di cybersecurity, hanno tentato di aggirare i vincoli dell'ambiente di prova per raggiungere il proprio obiettivo.

Pur trattandosi di un test controllato, l'episodio ha riportato al centro dell'attenzione un tema fondamentale: quanto controllo umano manteniamo realmente sui sistemi di AI più avanzati? È un principio etico, certo. La vicenda ha riacceso il confronto internazionale sulla necessità di rafforzare governance, supervisione umana e misure di sicurezza. Ma è anche un principio giuridico. Ed è proprio quello che ritroviamo nell'AI Act europeo.

L'AI Act non parla (solo) di tecnologia ma di persone

Quando si affronta il tema dell'AI Act, l'attenzione si concentra spesso sulla classificazione dei sistemi di AI, sulla gestione dei rischi, sulla documentazione tecnica o sulla governance.

Sono tutti aspetti fondamentali.

Esiste, però, un requisito spesso sottovalutato che rappresenta uno dei cambiamenti più importanti introdotti dal regolamento europeo: l'AI literacy, ovvero la competenza delle persone che progettano, utilizzano o supervisionano sistemi di intelligenza artificiale. Sottolineo: anche quelle che UTILIZZANO. Quindi, potenzialmente, tutti.

L'articolo 4 dell'AI Act introduce infatti l'obbligo per organizzazioni pubbliche e private di adottare misure affinché dipendenti, collaboratori e utilizzatori dispongano di un livello adeguato di conoscenze sull'AI, proporzionato al ruolo svolto.

In altre parole, per le aziende la conformità normativa non passa soltanto attraverso l'acquisto di una piattaforma conforme e/o certificata. Passa attraverso le competenze delle persone.

Il rischio non è l'AI. È come viene utilizzata in azienda

Oggi molte aziende utilizzano quotidianamente strumenti di AI generativa, come:

• ChatGPT
• Microsoft Copilot
• Gemini
• Claude
• strumenti integrati nei software aziendali

Il problema è utilizzarli senza regole. Un collaboratore potrebbe:

• inserire dati riservati all'interno di un prompt;
• caricare documenti contenenti informazioni personali;
• affidare all'AI decisioni che richiedono una valutazione umana;
• generare contenuti non verificati;
• utilizzare output discriminatori o inesatti senza accorgersene.

In questi casi il rischio non riguarda soltanto la produttività m coinvolge ambiti quali la cybersecurity, la protezione dei dati, la compliance normativa e responsabilità dell'organizzazione esponendo il fianco l'azienda a fuoriuscite di dati, data breach e a sanzioni conseguenti.

Human oversight: il controllo umano sull'AI

Uno dei concetti cardine dell'AI Act è il cosiddetto human oversight.

 Significa che chi utilizza l'intelligenza artificiale deve essere realmente in grado di:

• comprendere i limiti e i rischi dello strumento;
• interpretarne i risultati;
• riconoscere eventuali anomalie, discriminazioni o bias;
• decidere quando ignorare o correggere il suggerimento prodotto dall'AI.

Ed è proprio questo il punto di contatto tra il dibattito etico internazionale e la normativa europea: la tecnologia deve rimanere al servizio delle persone, non sostituirne il giudizio.

La formazione è una misura di cybersecurity aziendale a tutti gli effetti

Tradizionalmente la cybersecurity ha investito in strumenti: firewall, antivirus, sistemi di monitoraggio e protezione delle reti. 

Già dall'introduzione del GDPR, ma oggi con l'intelligenza artificiale che entra nelle aziende dalla porta principale ma anche da tutte le porte secondarie e non ufficiali, il perimetro della sicurezza informatica si è ampliato.

L'intelligenza artificiale introduce nuovi scenari di rischio per le aziende:

• esposizione involontaria di dati aziendali;
• prompt injection;
• utilizzo di modelli non autorizzati (Shadow AI);
• generazione di codice vulnerabile;
• diffusione di informazioni errate;
• manipolazione tramite deepfake e contenuti sintetici.

Per questo motivo, formare le persone sull'utilizzo corretto dell'AI rappresenta una misura di sicurezza tanto quanto aggiornare un sistema operativo o implementare l'autenticazione multifattore.

Compliance AI Act e cultura aziendale

Le aziende che interpreteranno l'AI Act come un semplice adempimento burocratico rischiano di rincorrere continuamente la normativa.

Quelle che invece investiranno nella cultura dell'intelligenza artificiale potranno ottenere benefici concreti:

• maggiore sicurezza informatica;
• riduzione dei rischi legali;
• utilizzo più efficace e contemporaneamente sicuro degli strumenti AI;
• maggiore fiducia da parte di clienti e stakeholder;
• innovazione più sostenibile.

L'obiettivo non è limitare l'uso dell'intelligenza artificiale, è permettere alle persone di utilizzarla con consapevolezza.

Il recente richiamo internazionale all'importanza del controllo umano rafforza una convinzione sempre più condivisa: l'intelligenza artificiale può supportare le decisioni, ma non può sostituire responsabilità, spirito critico e capacità di valutazione.