Il Regolamento (UE) 2024/1689, noto come AI Act, non si applica indistintamente a qualsiasi software. Il suo campo di applicazione dipende anzitutto da una domanda fondamentale: il sistema in esame può essere qualificato come sistema di intelligenza artificiale?
Per aiutare imprese, pubbliche amministrazioni, sviluppatori, consulenti e operatori del mercato a rispondere a questa domanda, la Commissione europea ha pubblicato le Linee guida sulla definizione di sistema di intelligenza artificiale prevista dall’articolo 3, paragrafo 1, dell’AI Act.
Le linee guida chiariscono che la definizione è centrale per comprendere quando un sistema rientra nell’ambito di applicazione del regolamento, anche se non tutti i sistemi di IA saranno poi soggetti a obblighi specifici.
Comprendere cosa sia un sistema di IA è il primo passo per applicare correttamente l’AI Act.
Una valutazione pratica dovrebbe partire da alcune domande:
- Il sistema è basato su componenti hardware o software?
- Opera con un certo grado di autonomia?
- È in grado di inferire dagli input come generare output?
- Utilizza tecniche di machine learning, logica, conoscenza o modelli complessi?
- Produce previsioni, contenuti, raccomandazioni o decisioni?
- I suoi output possono influenzare ambienti fisici o virtuali?
- Il sistema si limita invece a eseguire regole fisse, calcoli semplici o visualizzazioni descrittive?
Rispondere a queste domande aiuta a distinguere un vero sistema di IA da un software tradizionale e a capire se occorre procedere con una valutazione più approfondita degli obblighi previsti dall’AI Act.
Glossario ragionato
Sistema di intelligenza artificiale
Secondo l’AI Act, un sistema di IA è un sistema basato su macchina, progettato per operare con diversi livelli di autonomia, che può mostrare adattività dopo la messa in servizio e che, per obiettivi espliciti o impliciti, inferisce dagli input ricevuti come generare output quali previsioni, contenuti, raccomandazioni o decisioni, capaci di influenzare ambienti fisici o virtuali.
In termini più semplici, un sistema di IA non si limita a eseguire istruzioni fisse. Riceve input, elabora informazioni e genera risultati che possono incidere su persone, processi, ambienti digitali o oggetti fisici.
I sette elementi della definizione di sistema di IA
Le linee guida individuano sette elementi principali della definizione:
- sistema basato su macchina;
- progettato per operare con diversi livelli di autonomia;
- possibile adattività dopo la messa in servizio;
- presenza di obiettivi espliciti o impliciti;
- capacità di inferire dagli input come generare output;
- produzione di output come previsioni, contenuti, raccomandazioni o decisioni;
- capacità degli output di influenzare ambienti fisici o virtuali.
Questi elementi non devono necessariamente manifestarsi tutti nello stesso momento o nella stessa fase del ciclo di vita del sistema. La valutazione deve essere fatta caso per caso, considerando architettura, funzionalità e contesto di utilizzo.
Sistema basato su macchina
Un sistema di IA è sempre un sistema basato su macchina. Questo significa che funziona grazie a componenti hardware e software: processori, memoria, dispositivi di archiviazione, reti, interfacce, codice, programmi, sistemi operativi e applicazioni.
La nozione è ampia e comprende sistemi computazionali tradizionali, ma anche architetture più avanzate. L’elemento essenziale è che il funzionamento del sistema sia guidato da operazioni computazionali.
Autonomia
L’autonomia indica la capacità del sistema di operare con un certo grado di indipendenza dall’intervento umano.
Non è necessario che il sistema sia completamente autonomo. È sufficiente che sia progettato per compiere alcune operazioni senza che ogni singolo output venga manualmente controllato o specificato da una persona.
Per esempio, un sistema che riceve un input umano e produce autonomamente una raccomandazione può presentare un certo livello di autonomia. Al contrario, un software che funziona solo tramite comandi manuali e regole completamente predeterminate può restare fuori dalla definizione di sistema di IA.
Adattività
L’adattività riguarda la possibilità che il sistema modifichi il proprio comportamento dopo la messa in servizio.
Un sistema adattivo può apprendere dall’uso, riconoscere nuovi schemi o modificare i propri risultati rispetto agli stessi input ricevuti in precedenza. Tuttavia, le linee guida chiariscono un punto importante: l’adattività non è una condizione obbligatoria per qualificare un sistema come IA. Un sistema può essere considerato IA anche se non continua ad apprendere dopo il rilascio.
Obiettivi del sistema di IA
Un sistema di IA opera in funzione di uno o più obiettivi.
Gli obiettivi possono essere:
- espliciti, quando sono chiaramente definiti e incorporati nel sistema, per esempio ottimizzare una funzione di costo, massimizzare una probabilità o ottenere una determinata ricompensa;
- impliciti, quando non sono dichiarati direttamente, ma emergono dal comportamento del sistema, dai dati di addestramento o dall’interazione con l’ambiente.
Le linee guida distinguono inoltre tra obiettivo del sistema e finalità prevista. L’obiettivo è interno al sistema; la finalità prevista riguarda invece il contesto d’uso deciso dal fornitore.
Finalità prevista
La finalità prevista è l’uso per cui il sistema è destinato dal fornitore.
È un concetto fondamentale perché l’AI Act valuta molti obblighi in base non solo alla tecnologia utilizzata, ma anche al contesto in cui il sistema viene impiegato. Lo stesso sistema può avere implicazioni diverse se usato per assistenza clienti, selezione del personale, diagnosi medica, valutazione del credito o supporto a decisioni pubbliche.
Inferenza
L’inferenza è uno degli elementi più importanti della definizione.
Secondo le linee guida, la capacità di inferire distingue i sistemi di IA dai software tradizionali più semplici. Inferire significa che il sistema ricava, dagli input ricevuti, il modo in cui generare un output. Questo può avvenire tramite tecniche di apprendimento automatico, modelli statistici complessi, rappresentazioni simboliche, basi di conoscenza o regole esperte.
In pratica, il sistema non si limita a eseguire una sequenza rigida di istruzioni: elabora input, individua relazioni, applica modelli o conoscenze e produce un risultato.
Tecniche di IA
Le linee guida richiamano due grandi famiglie di tecniche che possono abilitare l’inferenza:
- approcci di machine learning, cioè sistemi che apprendono dai dati come raggiungere determinati obiettivi;
- approcci logico-conoscitivi, cioè sistemi che inferiscono da conoscenze codificate, regole, fatti, relazioni o rappresentazioni simboliche del problema da risolvere.
Questa impostazione è importante perché l’IA non coincide solo con il machine learning moderno o con l’IA generativa. Anche sistemi basati su conoscenza, regole esperte e ragionamento simbolico possono rientrare nella definizione, se soddisfano gli elementi richiesti.
Machine learning
Il machine learning, o apprendimento automatico, comprende tecniche che permettono a un sistema di apprendere dai dati.
Le linee guida citano diverse forme di apprendimento:
- apprendimento supervisionato, in cui il sistema impara da dati etichettati;
- apprendimento non supervisionato, in cui il sistema individua strutture o relazioni in dati non etichettati;
- apprendimento auto-supervisionato, in cui il sistema crea autonomamente obiettivi o etichette dai dati disponibili;
- apprendimento per rinforzo, in cui il sistema apprende tramite esperienza, tentativi, errori e ricompense;
- deep learning, che utilizza reti neurali con più livelli per apprendere rappresentazioni complesse dai dati.
Esempi possono essere sistemi di classificazione delle immagini, rilevamento dello spam, diagnosi su immagini mediche, raccomandazioni personalizzate, riconoscimento vocale o modelli linguistici.
Approcci logico-conoscitivi
Gli approcci logico-conoscitivi non apprendono necessariamente dai dati, ma utilizzano conoscenza codificata da esperti.
Possono basarsi su regole, fatti, relazioni, ontologie, motori inferenziali, ragionamento simbolico, sistemi esperti, ricerca e ottimizzazione.
Un esempio classico è un sistema esperto medico che, sulla base di sintomi e conoscenze codificate da specialisti, produce una possibile conclusione diagnostica.
Output di un sistema di IA
Un sistema di IA può generare diversi tipi di output. L’AI Act ne indica quattro categorie principali:
- previsioni;
- contenuti;
- raccomandazioni;
- decisioni.
Questi output sono rilevanti perché possono incidere concretamente su ambienti digitali, processi aziendali, servizi pubblici, diritti delle persone o oggetti fisici.
Previsioni
Le previsioni sono stime su valori, eventi o condizioni non ancora noti.
Un sistema può prevedere, per esempio, il consumo energetico, il rischio di frode, la probabilità di guasto di una macchina, il comportamento di un utente o l’evoluzione di una domanda di mercato.
Le linee guida sottolineano che i sistemi di IA possono generare previsioni più sofisticate rispetto ai sistemi tradizionali, perché sono capaci di individuare relazioni complesse nei dati.
Contenuti
I contenuti sono materiali generati dal sistema.
Possono includere testi, immagini, video, musica, codice, sintesi, traduzioni, risposte automatiche o altri output generativi.
Questa categoria è particolarmente rilevante per i sistemi di IA generativa, come i modelli linguistici e gli strumenti che producono immagini o contenuti multimediali.
Raccomandazioni
Le raccomandazioni sono suggerimenti prodotti dal sistema.
Possono riguardare prodotti da acquistare, contenuti da visualizzare, candidati da valutare, azioni da intraprendere, documenti da consultare o priorità operative.
Una raccomandazione può essere valutata da una persona prima di essere applicata. Se invece viene applicata automaticamente, può trasformarsi in una decisione automatizzata.
Decisioni
Le decisioni sono conclusioni o scelte effettuate direttamente dal sistema.
In questo caso il sistema non si limita a suggerire un’azione, ma produce un risultato che viene applicato senza intervento umano. Per esempio, può autorizzare o bloccare una transazione, assegnare una priorità, attivare un processo, modificare un parametro operativo o determinare un esito in un ambiente digitale.
Questo tipo di output è particolarmente delicato perché può incidere direttamente su persone, diritti, servizi o processi critici.
Ambiente fisico o virtuale
Gli output di un sistema di IA devono poter influenzare un ambiente fisico o virtuale.
Un ambiente fisico può essere, per esempio, un robot, un veicolo, un impianto industriale o una rete energetica.
Un ambiente virtuale può essere un software, una piattaforma digitale, un flusso di dati, un sistema informativo, un marketplace, un social network o un processo aziendale automatizzato.
Questo elemento evidenzia che i sistemi di IA non sono passivi: producono effetti nel contesto in cui vengono utilizzati.
Sistemi esclusi dalla definizione di IA
Le linee guida chiariscono che non tutti i software avanzati sono sistemi di IA.
Restano fuori dalla definizione i sistemi software più semplici o tradizionali, soprattutto quando si basano esclusivamente su regole definite da persone per eseguire automaticamente operazioni predeterminate.
Tra gli esempi indicati figurano:
- sistemi di elaborazione dati di base, come database che ordinano o filtrano informazioni secondo criteri fissi;
- fogli di calcolo standard senza funzionalità abilitate da IA;
- software di visualizzazione statistica, che mostrano dati, medie, trend o grafici senza produrre raccomandazioni o decisioni;
- sistemi basati su semplici regole statistiche, come previsioni ottenute calcolando una media storica;
- sistemi fondati su euristiche classiche, quando applicano regole predeterminate senza apprendere dai dati o adattare modelli.
Basic data processing
Il basic data processing è l’elaborazione di dati basata su istruzioni esplicite e predeterminate.
Un esempio è un sistema che filtra tutti i clienti che hanno acquistato un prodotto nell’ultimo mese, oppure un software che calcola una media da un questionario.
Questi sistemi non apprendono, non ragionano, non modellano e non inferiscono nel senso richiesto dall’AI Act. Per questo, di norma, non rientrano nella definizione di sistema di IA.
Software statistico descrittivo
Un software che produce grafici, dashboard, medie, correlazioni o analisi descrittive non è automaticamente un sistema di IA.
Se il sistema si limita a presentare dati in modo informativo, senza raccomandare azioni, prendere decisioni o generare output inferiti da modelli complessi, può restare fuori dalla definizione.
Per esempio, una dashboard vendite che mostra fatturato, media per regione e trend mensili non è necessariamente IA.
Sistemi predittivi semplici
Alcuni sistemi possono produrre previsioni ma restare comunque fuori dalla definizione di IA se la previsione si basa su regole statistiche estremamente semplici.
Un esempio è un sistema che prevede la temperatura di domani usando semplicemente la media della settimana precedente, oppure uno strumento finanziario che usa sempre il prezzo medio storico come previsione di base.
In questi casi manca la capacità di trattare relazioni complesse e di generare output tramite tecniche più sofisticate.
Sistemi euristici classici
I sistemi euristici classici usano regole pratiche, strategie predefinite o metodi approssimativi per risolvere problemi.
Un esempio può essere un programma di scacchi basato su un algoritmo minimax con funzioni di valutazione predeterminate, senza apprendimento dai dati.
Questi sistemi possono essere efficienti, ma se non apprendono, non modellano e non generalizzano come un sistema di IA, possono rimanere fuori dal perimetro della definizione.
IA generativa
L’IA generativa comprende sistemi capaci di produrre nuovi contenuti, come testo, immagini, video, musica o codice.
Rientrano in questa categoria molti sistemi basati su modelli linguistici o su tecnologie generative. La generazione di contenuto è espressamente riconosciuta come una delle possibili categorie di output di un sistema di IA.
Sistema di IA ad alto rischio
Un sistema di IA ad alto rischio è un sistema che, oltre a rientrare nella definizione generale di sistema di IA, è utilizzato in ambiti o funzioni che possono incidere in modo significativo su salute, sicurezza o diritti fondamentali.
Gli esempi più rilevanti sono indicati nell’Allegato III dell’AI Act: biometria, infrastrutture critiche, istruzione, lavoro, servizi essenziali, attività di contrasto, migrazione e controllo delle frontiere, giustizia e processi democratici.
È importante distinguere: non tutti i sistemi di IA sono ad alto rischio. La qualifica di sistema di IA è il primo passaggio; la classificazione del rischio viene dopo.
Modelli di IA per finalità generali
Le linee guida ricordano che l’AI Act disciplina anche i modelli di IA per finalità generali, ma la distinzione tra sistemi di IA e modelli di IA per finalità generali non è oggetto principale di queste specifiche linee guida.
In termini pratici, un modello può essere una componente riutilizzabile, mentre un sistema di IA è normalmente l’insieme funzionale che, integrando modelli, software, interfacce e contesto operativo, produce output utilizzabili.
Linee Guida
della Commissione europea confermano che la definizione di sistema di IA è ampia, ma non illimitata.
Un sistema di IA è caratterizzato da autonomia, capacità di inferenza, obiettivi, generazione di output e possibile influenza su ambienti fisici o virtuali. Tuttavia, non ogni software automatizzato, statistico o basato su regole rientra automaticamente nel perimetro dell’AI Act.
Per imprese, enti pubblici e professionisti, il punto di partenza è quindi una corretta classificazione del sistema. Solo dopo aver stabilito se un software è effettivamente un sistema di IA, sarà possibile valutare se rientra tra le pratiche vietate, i sistemi ad alto rischio, gli obblighi di trasparenza o le regole sui modelli di IA per finalità generali.
Avvertenza: questo articolo ha finalità informative e non costituisce consulenza legale