AI ACT: obblighi e conformità per per le imprese (605089)

Il corso è rivolto a:

• imprenditori e componenti della direzione aziendale;
• manager e responsabili di funzione;
• responsabili compliance e affari legali;
• DPO e professionisti della protezione dei dati;
• responsabili IT, cybersecurity e sistemi informativi;
• responsabili qualità, risk management e internal audit;
• responsabili delle risorse umane;
• responsabili acquisti e vendor management;
• project manager e innovation manager;
• consulenti aziendali e professionisti coinvolti nei progetti di Intelligenza Artificiale;
• personale delle Pubbliche Amministrazioni e degli enti pubblici.

Al termine del corso i partecipanti saranno in grado di:

• descrivere struttura, principi e finalità dell’EU AI Act;
• verificare se una soluzione rientra nella definizione normativa di sistema di IA;
• individuare il ruolo assunto dall’organizzazione nella catena del valore;
• distinguere sistemi vietati, ad alto rischio, soggetti a obblighi di trasparenza e a rischio limitato o minimo;
• riconoscere i principali obblighi applicabili a fornitori e deployer;
• analizzare gli utilizzi aziendali dell’IA nei diversi processi;
• valutare i rischi associati all’impiego di sistemi di IA;
• definire misure di supervisione umana;
• impostare un registro dei sistemi e degli utilizzi dell’IA;
• predisporre un piano di adeguamento aziendale;
• coordinare AI Act, GDPR, cybersecurity, governance dei dati e procedure interne;
• documentare le attività formative richieste in materia di AI Literacy.

1. Introduzione all’EU AI Act

• Evoluzione della regolamentazione europea dell’Intelligenza Artificiale.
• Finalità e principi del Regolamento (UE) 2024/1689.
• Protezione di salute, sicurezza e diritti fondamentali.
• Promozione di un’Intelligenza Artificiale affidabile e antropocentrica.
• Rapporto tra innovazione, responsabilità e conformità.
• Struttura generale del Regolamento.
• Ambito territoriale e applicazione anche a soggetti stabiliti fuori dall’Unione europea.
• Esclusioni e casi particolari.

2. Definizioni e soggetti coinvolti

• Definizione di sistema di Intelligenza Artificiale.
• Modelli di IA e sistemi basati su modelli di IA.
• Fornitore o provider.
• Deployer e utilizzatore professionale.
• Importatore e distributore.
• Rappresentante autorizzato.
• Fabbricante di prodotto.
• Persona interessata e soggetto coinvolto.
• Catena del valore dell’Intelligenza Artificiale.
• Casi in cui un deployer può assumere gli obblighi del fornitore.
• Modifiche sostanziali e cambiamento della finalità prevista.

3. L’approccio basato sul rischio

• Logica della classificazione prevista dall’AI Act.
• Rischio inaccettabile.
• Sistemi ad alto rischio.
• Sistemi soggetti a obblighi di trasparenza.
• Sistemi a rischio limitato.
• Sistemi a rischio minimo o nullo.
• Criteri per determinare il livello di rischio.
• Classificazione basata sulla finalità concreta del sistema.
• Responsabilità dell’organizzazione nella classificazione.

L’AI Act distingue differenti livelli di rischio e associa a ciascuno obblighi proporzionati. La maggior parte dei sistemi a rischio minimo non è sottoposta a specifici obblighi, mentre i sistemi ad alto rischio richiedono misure più rigorose.

4. Pratiche di Intelligenza Artificiale vietate

• Manipolazione e tecniche subliminali.
• Sfruttamento delle vulnerabilità delle persone.
• Social scoring.
• Valutazione o previsione del rischio di commissione di reati.
• Creazione indiscriminata di database per il riconoscimento facciale.
• Riconoscimento delle emozioni nei luoghi di lavoro e negli istituti di istruzione.
• Categorizzazione biometrica basata su caratteristiche sensibili.
• Identificazione biometrica remota in tempo reale.
• Limiti, condizioni ed eventuali eccezioni.
• Esempi di utilizzi aziendali da escludere o sottoporre a verifica immediata.

Le disposizioni sulle pratiche vietate sono applicabili dal febbraio 2025.

5. Sistemi di IA ad alto rischio

• Criteri di classificazione dei sistemi ad alto rischio.
• Sistemi connessi a prodotti regolamentati.
• Sistemi indicati nell’Allegato III.
• Biometria.
• Infrastrutture critiche.
• Istruzione e formazione professionale.
• Occupazione, selezione e gestione dei lavoratori.
• Accesso a servizi essenziali.
• Credito, assicurazioni e valutazione delle persone.
• Migrazione, controllo delle frontiere e asilo.
• Amministrazione della giustizia e processi democratici.
• Condizioni che possono escludere la classificazione ad alto rischio.
• Documentazione della valutazione effettuata.
• Registrazione dei sistemi nella banca dati europea.

6. Obblighi dei fornitori di sistemi ad alto rischio

• Sistema di gestione dei rischi.
• Governance e qualità dei dati.
• Documentazione tecnica.
• Registrazione automatica degli eventi e conservazione dei log.
• Informazioni e istruzioni destinate ai deployer.
• Progettazione della supervisione umana.
• Accuratezza, robustezza e cybersecurity.
• Sistema di gestione della qualità.
• Valutazione della conformità.
• Dichiarazione UE di conformità e marcatura CE.
• Registrazione nella banca dati europea.
• Monitoraggio successivo all’immissione sul mercato.
• Gestione e comunicazione degli incidenti gravi.

7. Obblighi delle imprese che utilizzano sistemi di IA

• Utilizzo conforme alle istruzioni del fornitore.
• Verifica dell’adeguatezza del sistema rispetto alla finalità aziendale.
• Designazione delle persone incaricate della supervisione umana.
• Competenza, formazione, autorità e indipendenza degli operatori.
• Controllo dei dati di input.
• Monitoraggio del funzionamento del sistema.
• Gestione delle anomalie e sospensione dell’utilizzo.
• Conservazione dei log sotto il controllo dell’organizzazione.
• Informazione dei lavoratori e dei loro rappresentanti.
• Rapporti con le persone interessate dalle decisioni.
• Cooperazione con le autorità competenti.
• Valutazione d’impatto sui diritti fondamentali nei casi previsti.
• Coordinamento con la valutazione d’impatto sulla protezione dei dati.

8. AI Act e gestione delle risorse umane

• Sistemi utilizzati per pubblicare e indirizzare annunci di lavoro.
• Screening e selezione dei candidati.
• Analisi dei curriculum.
• Valutazione delle competenze.
• Assegnazione di compiti e turni.
• Monitoraggio delle prestazioni.
• Promozioni, avanzamenti e cessazione del rapporto.
• Analisi del comportamento dei lavoratori.
• Riconoscimento delle emozioni sul luogo di lavoro.
• Rischi di discriminazione e distorsione algoritmica.
• Informazione dei dipendenti.
• Coinvolgimento delle funzioni HR, legale, privacy e rappresentanza dei lavoratori.

9. Obblighi di trasparenza

• Informazione alle persone che interagiscono con un sistema di IA.
• Chatbot, assistenti virtuali e interfacce conversazionali.
• Sistemi di riconoscimento delle emozioni.
• Sistemi di categorizzazione biometrica.
• Contenuti sintetici e generati artificialmente.
• Deepfake.
• Testi generati o manipolati destinati a informare il pubblico.
• Marcatura dei contenuti in formato leggibile automaticamente.
• Responsabilità nella comunicazione verso clienti, utenti e stakeholder.

10. Intelligenza Artificiale generativa e modelli GPAI

• Differenza tra modello di IA per finalità generali e sistema di IA.
• Utilizzo aziendale dei servizi di IA generativa.
• Ruoli e responsabilità lungo la catena del valore.
• Obblighi dei fornitori di modelli GPAI.
• Documentazione e informazioni destinate ai fornitori downstream.
• Rispetto della normativa europea sul diritto d’autore.
• Sintesi pubblica dei contenuti utilizzati per l’addestramento.
• Modelli con rischio sistemico.
• Codici di buone pratiche.
• Utilizzo di ChatGPT, Microsoft Copilot e altri servizi generativi.
• Rischi derivanti dall’inserimento di dati personali, riservati o aziendali.
• Verifica degli output e prevenzione delle allucinazioni.
• Shadow AI e utilizzo non autorizzato degli strumenti.

Gli obblighi relativi ai modelli di IA per finalità generali sono applicabili dall’agosto 2025. La Commissione ha inoltre pubblicato linee guida, un Codice di buone pratiche e un modello per la sintesi pubblica dei contenuti utilizzati nell’addestramento.

11. AI Literacy e formazione del personale

• Contenuto dell’obbligo di AI Literacy.
• Competenze richieste in relazione ai diversi ruoli.
• Differenza tra formazione generale e formazione specialistica.
• Analisi del livello di conoscenza iniziale.
• Formazione di utenti, manager, personale IT e funzioni di controllo.
• Sensibilizzazione sui rischi.
• Uso consapevole degli strumenti generativi.
• Documentazione delle attività formative.
• Registri, presenze, programmi e verifiche dell’apprendimento.
• Aggiornamento periodico delle competenze.
• Costruzione di un programma aziendale di AI Literacy.

12. AI Act, GDPR e altre normative

• Relazione tra AI Act e Regolamento generale sulla protezione dei dati.
• Base giuridica del trattamento.
• Trasparenza e informativa.
• Profilazione e decisioni automatizzate.
• Principi di minimizzazione e limitazione delle finalità.
• Data Protection Impact Assessment.
• Valutazione d’impatto sui diritti fondamentali.
• Privacy by design e AI by design.
• Sicurezza delle informazioni e cybersecurity.
• NIS2 e gestione dei rischi digitali.
• Responsabilità contrattuale e tutela del consumatore.
• Proprietà intellettuale e diritto d’autore.
• Coordinamento tra i diversi sistemi di compliance.

13. Governance aziendale dell’Intelligenza Artificiale

• Ruolo dell’organo di amministrazione e della direzione.
• Definizione di responsabilità e deleghe.
• Comitato AI e gruppi di lavoro interfunzionali.
• Coinvolgimento di IT, compliance, legal, privacy, cybersecurity, HR e procurement.
• Inventario dei sistemi e degli utilizzi dell’IA.
• Classificazione degli strumenti.
• Valutazione dei fornitori.
• Approvazione di nuovi casi d’uso.
• Gestione delle modifiche.
• Controlli periodici.
• Monitoraggio degli incidenti.
• Audit interno.
• Reporting alla direzione.
• Integrazione con i sistemi di gestione già presenti.

14. Documenti e procedure per la conformità

• Registro dei sistemi e degli utilizzi di IA.
• Scheda di classificazione del rischio.
• Valutazione iniziale del sistema.
• Registro dei fornitori.
• Checklist di due diligence.
• Policy aziendale sull’utilizzo dell’IA.
• Procedura per l’approvazione di nuovi strumenti.
• Procedura per l’uso dell’IA generativa.
• Regole per la supervisione umana.
• Procedura di gestione degli incidenti.
• Conservazione delle evidenze.
• Piano di formazione e AI Literacy.
• Ruoli e matrice delle responsabilità.
• Piano di audit e monitoraggio.

15. Roadmap di adeguamento aziendale

• Individuazione dello sponsor aziendale.
• Costituzione del gruppo di lavoro.
• Mappatura dei processi interessati.
• Censimento degli strumenti ufficiali e della Shadow AI.
• Identificazione dei ruoli normativi.
• Classificazione dei sistemi.
• Gap analysis.
• Definizione delle priorità.
• Misure immediate sulle pratiche vietate.
• Interventi su sistemi ad alto rischio e sistemi generativi.
• Revisione di contratti e fornitori.
• Predisposizione della documentazione.
• Formazione del personale.
• Monitoraggio e aggiornamento continuo.

• Il corso è in modalità formazione a distanza, online live streaming, cioè con il docente in diretta che tiene la lezione.

• I partecipanti dovranno essere dotati di pc o laptop con  accesso Internet.

• Le lezioni saranno registrate e le registrazioni verranno messe a disposizione dei partecipanti per 2 mesi dalla fine delle lezioni.

• Coloro che avranno frequentato almeno l'80% delle ore di corso riceveranno un attestato di frequenza.

Non sono richieste competenze tecniche di programmazione o sviluppo di sistemi di Intelligenza Artificiale.

È utile una conoscenza generale dei processi aziendali, dei sistemi informativi o delle principali tematiche di compliance, privacy e gestione del rischio.

Risultati attesi per l’organizzazione

Al termine del corso l’impresa disporrà delle conoscenze necessarie per avviare:

• il censimento dei sistemi di IA;
• l’identificazione dei ruoli previsti dall’AI Act;
• la classificazione dei casi d’uso;
• la verifica delle pratiche vietate;
• il programma aziendale di AI Literacy;
• la valutazione dei fornitori;
• la redazione della policy interna;
• il piano di adeguamento e monitoraggio.