Valutazione AI Act

• Fornitore: quando sviluppiamo e rilasciamo con il nostro nome un sistema AI, o quando personalizziamo in modo sostanziale un modello di terzi.
• Deployer (utilizzatore): quando usiamo internamente sistemi AI di terzi per il nostro lavoro.
• Distributore/integratore: quando integriamo nei sistemi del cliente modelli e servizi AI forniti da terzi, restando il cliente il deployer finale.
• Per ogni progetto il ruolo viene stabilito per iscritto in fase contrattuale, perché determina gli obblighi applicabili.

• Pratiche vietate (art. 5): non sviluppiamo né integriamo sistemi di scoring sociale, manipolazione subliminale, sfruttamento di vulnerabilità, riconoscimento delle emozioni sul luogo di lavoro o nell'istruzione, identificazione biometrica remota in tempo reale, categorizzazione biometrica di dati sensibili. Divieto applicabile dal 2 febbraio 2025.
• Alto rischio (allegato III): rientrano in questa categoria i sistemi usati per selezione del personale, decisioni su promozioni e cessazioni, assegnazione dei compiti, monitoraggio delle prestazioni, ammissione e valutazione nell'istruzione. Poiché operiamo nell'ambito dello sviluppo delle persone e delle organizzazioni, ogni progetto viene sottoposto a screening specifico su questi punti prima dell'avvio.
• Rischio limitato: chatbot, assistenti conversazionali e generazione di contenuti, soggetti a obblighi di trasparenza verso le persone.
• Rischio minimo: strumenti interni di supporto senza impatto su diritti o opportunità delle persone.

• Il sito pubblico non esegue sistemi di AI: non profila i visitatori e non prende decisioni automatizzate.
• L'area riservata usa un estrattore automatico di titolo, descrizione e immagine di anteprima delle pagine pubbliche indicate dall'operatore: è un'automazione deterministica, non un sistema AI ai sensi dell'art. 3.1.
• Eventuali funzioni AI future (ad esempio generazione assistita di descrizioni di progetto) saranno classificate a rischio limitato, con etichettatura chiara del contenuto generato e revisione umana prima della pubblicazione.

• Sistema di gestione del rischio documentato lungo l'intero ciclo di vita (art. 9).
• Governance dei dati: qualità, rappresentatività e verifica dei bias dei dataset di addestramento e test (art. 10).
• Documentazione tecnica e registrazione automatica degli eventi (log) per la tracciabilità (artt. 11-12).
• Istruzioni per l'uso chiare per il deployer, con limiti noti e prestazioni attese (art. 13).
• Sorveglianza umana effettiva: una persona competente può verificare, correggere o annullare l'esito (art. 14).
• Accuratezza, robustezza e cibersicurezza proporzionate all'uso (art. 15), marcatura CE e registrazione nella banca dati UE prima della messa in servizio.
• Per i deployer: valutazione d'impatto sui diritti fondamentali quando richiesta, informativa ai lavoratori e ai loro rappresentanti prima dell'uso sul posto di lavoro, conservazione dei log.

• Chi interagisce con un nostro assistente conversazionale viene informato che sta parlando con un sistema AI.
• I contenuti sintetici generati (testo, immagini, audio, video) sono etichettati come tali e, dove tecnicamente possibile, marcati in modo leggibile dalle macchine.
• Nelle schede di portfolio indichiamo quali componenti AI sono presenti in ciascuna soluzione.

Dal 2 febbraio 2025 fornitori e deployer devono garantire un livello sufficiente di competenza AI al proprio personale. Enret srl prevede formazione iniziale e aggiornamento periodico per il team, e include un modulo di alfabetizzazione AI nei progetti di adozione presso i clienti: è parte del nostro posizionamento sull'AI applicata alle persone, non solo ai processi.

Quando integriamo modelli general purpose forniti da terzi, verifichiamo la documentazione resa disponibile dal fornitore, le condizioni d'uso, la policy sui dati di input e le informazioni sul copyright, e le riportiamo al cliente. Non inviamo ai modelli dati personali non necessari e privilegiamo configurazioni che escludono l'uso dei dati del cliente per il riaddestramento.

L'AI Act si aggiunge alla normativa sui dati personali. Nei progetti che trattano dati personali applichiamo minimizzazione, base giuridica documentata, valutazione d'impatto (DPIA) quando richiesta e le garanzie dell'art. 22 GDPR sulle decisioni automatizzate. Il trattamento relativo a questo sito è descritto nella privacy policy.

• 2 febbraio 2025: divieti sulle pratiche vietate e obbligo di alfabetizzazione AI.
• 2 agosto 2025: obblighi per i modelli di uso generale e governance.
• 2 agosto 2026: applicazione generale del regolamento, inclusi gli obblighi di trasparenza e i sistemi ad alto rischio dell'allegato III.
• 2 agosto 2027: sistemi ad alto rischio inseriti in prodotti già soggetti a normativa settoriale.

• Un referente interno mantiene il registro dei sistemi AI sviluppati, integrati e usati, con ruolo e classe di rischio.
• Screening di conformità obbligatorio all'avvio di ogni progetto e a ogni modifica sostanziale.
• Canale di segnalazione: info@enret.it per incidenti, malfunzionamenti o dubbi sull'uso di un sistema.
• Revisione di questo documento almeno una volta all'anno.