Responsabile IA: obbligatorio o facoltativo?

Serve un responsabile IA?

No, l’EU AI Act non contiene alcun obbligo di nominare un responsabile IA. A differenza del GDPR con il responsabile della protezione dei dati (art. 37 GDPR), il regolamento sull’IA non prevede un ruolo di questo tipo. Nelle sue domande e risposte sull’alfabetizzazione IA, la Commissione europea chiarisce che per l’art. 4 non è prescritta alcuna struttura organizzativa particolare, né un responsabile IA né un comitato IA.

L’obbligo è un altro: i fornitori e i deployer adottano misure per sostenere lo sviluppo dell’alfabetizzazione in materia di IA del proprio personale e di altre persone che agiscono per loro conto (art. 4, paragrafo 1). Chi pianifica e tiene traccia di tali misure lo stabilisce l’azienda stessa.

Quando una responsabilità fissa è comunque utile?

Una persona designata vale la pena non appena sono in uso più strumenti di IA o i team provano da soli nuovi servizi. Serve allora qualcuno che mantenga la visione d’insieme e risponda alle domande, ad esempio in questi casi:

• La vostra azienda utilizza più servizi di IA, come ChatGPT, Microsoft Copilot e funzioni di IA nel CRM.
• Utilizzate l’IA in un ambito dell’allegato III, ad esempio nella selezione del personale. Dal 2 dicembre 2027 la sorveglianza umana in tale ambito deve essere affidata a persone dotate della competenza, della formazione e dell’autorità necessarie (art. 26, paragrafo 2).
• Clienti o revisori, ad esempio negli audit ISO 27001, chiedono quale sia la funzione responsabile dell’IA.

Quali compiti rientrano nel ruolo?

Sono tipici quattro compiti, che possono anche essere ripartiti tra più persone:

• Tenere un elenco dei sistemi di IA utilizzati e dei loro fornitori.
• Redigere una policy sull’IA e mantenerla aggiornata, ad esempio con il nostro modello di policy IA.
• Pianificare le misure sull’alfabetizzazione IA e registrare chi ha partecipato a quale misura e quando.
• Valutare i nuovi progetti di IA: rientrano nelle regole per l’alto rischio o negli obblighi di trasparenza ai sensi dell’art. 50?

Una misura semplice per tutti i dipendenti è una formazione sull’EU AI Act documentata, con certificato nominativo per ogni persona e un report di audit per l’azienda.

Può occuparsene il responsabile della protezione dei dati?

Sì, è possibile, ma non è un obbligo. La Commissione risponde insieme alle domande su un responsabile IA, su un doppio ruolo con il responsabile della protezione dei dati e su un comitato IA: per l’art. 4 non è prescritta alcuna struttura particolare. Se il responsabile della protezione dei dati assume il ruolo, non ne deve derivare alcun conflitto di interessi con i suoi compiti ai sensi del GDPR (art. 38, paragrafo 6, GDPR). Chi decide in prima persona sull’uso dell’IA non dovrebbe controllarne al tempo stesso la protezione dei dati.

Domande frequenti sul responsabile IA

È prevista una sanzione se non abbiamo un responsabile IA?

No. L’EU AI Act non richiede un responsabile IA, quindi non è prevista alcuna sanzione per la sua assenza. Le sanzioni per le violazioni dell’art. 4 sono stabilite dagli Stati membri (art. 99, paragrafo 1); l’art. 4 richiede misure sull’alfabetizzazione IA, non un ruolo particolare. Maggiori informazioni nella pagina Sanzioni.

Un responsabile IA ha bisogno di una formazione specifica?

No, non è prevista alcuna formazione o esame obbligatorio. Sono utili conoscenze sui sistemi di IA utilizzati, sull’EU AI Act e sulla protezione dei dati. Anche per i dipendenti la Commissione non richiede un certificato; basta una registrazione interna delle formazioni e delle altre misure.

Vale anche per le piccole aziende?

Sì. L’art. 4 si applica a tutti i fornitori e deployer, indipendentemente dalle dimensioni dell’azienda. Nelle piccole aziende il coordinamento è spesso assunto direttamente dalla direzione; non serve una posizione apposita. Cosa richiede l’art. 4 nel dettaglio è spiegato nella pagina Obbligo di alfabetizzazione IA ai sensi dell’art. 4.

Forma il tuo team Modello di policy IA

Nota: questo articolo è a scopo informativo e non costituisce consulenza legale.