AI Act: come classificare in pratica i vostri sistemi

La classificazione non e' un adempimento formale: e' cio' che determina se dovete fare quattro cose o quaranta. Farla male in eccesso costa soldi inutili, farla male in difetto costa molto di piu'. Ecco l'ordine delle domande.

Le quattro categorie

1. Rischio inaccettabile: pratiche vietate, punto. Fra queste il riconoscimento delle emozioni sul luogo di lavoro e negli istituti di istruzione, l'attribuzione di punteggi sociali, lo sfruttamento di vulnerabilita' di gruppi determinati.
2. Alto rischio: ammessi, con obblighi pesanti. Due strade per arrivarci: il sistema e' un componente di sicurezza di un prodotto gia' regolato, oppure rientra fra gli usi elencati nell'allegato — occupazione e selezione del personale, accesso a servizi essenziali pubblici e privati, valutazione del merito creditizio, istruzione, giustizia, alcune applicazioni di ordine pubblico.
3. Rischio di trasparenza: sistemi che interagiscono con persone o generano contenuti. Obbligo: dichiararlo.
4. Rischio minimo: tutto il resto, che nella pratica e' la maggioranza di cio' che una PMI usa. Nessun obbligo specifico oltre all'alfabetizzazione.

L'ordine giusto delle domande

Si procede dall'alto, e ci si ferma alla prima che risponde affermativamente.

1. Rientra fra le pratiche vietate? Se si', non si tratta di adeguarsi: si spegne.
2. E' un componente di sicurezza di un prodotto soggetto a normativa settoriale? Macchine, dispositivi medici, ascensori, giocattoli. Se si', alto rischio.
3. L'uso rientra in uno di quelli elencati nell'allegato? Qui la risposta dipende da che cosa fa, non da come lo chiamate.
4. Interagisce con persone o produce contenuti? Allora obblighi di trasparenza.
5. Altrimenti: rischio minimo.

I tre errori piu' frequenti

1. Classificare lo strumento invece dell'uso

Lo stesso modello linguistico e' a rischio minimo se riassume verbali di riunione e ad alto rischio se ordina i candidati a una selezione. La classificazione riguarda il sistema per come lo impiegate, e va rifatta ogni volta che ne cambiate l'uso.

2. Credere che «c'e' sempre un umano che decide» faccia uscire dall'alto rischio

La supervisione umana e' un obbligo dell'alto rischio, non una via d'uscita. Un sistema che ordina duecento curriculum e una persona che conferma la lista in un clic resta ad alto rischio, e per giunta con una supervisione che non e' effettiva.

3. Dimenticare i sistemi ereditati

Le funzioni automatiche attivate dentro gestionali e piattaforme acquistate anni fa sono la categoria piu' trascurata. Nessuno le ha scelte, spesso nessuno sa che ci sono, e alcune ricadono nelle aree elencate.

L'esercizio da fare, su un sistema vero

Prendete un sistema che usate davvero e scrivete cinque righe: che cosa riceve in ingresso, che cosa produce, chi legge il risultato, quale decisione ne consegue su una persona, che cosa succede se sbaglia. La quarta riga determina quasi sempre la classificazione da sola — se nessuna decisione ricade su una persona, difficilmente siete ad alto rischio.

Il documento che ne esce e' anche il primo pezzo del vostro registro dei sistemi. Ripetuto su dieci sistemi, e' mezza giornata di lavoro e vi mette in una posizione che oggi quasi nessuno ha.