AI Act, la governance italiana prende forma: ad AgID la notifica, ad ACN la vigilanza del mercato

L’Italia definisce l’architettura istituzionale chiamata ad applicare sul piano nazionale l’AI Act europeo. Il decreto legislativo approvato in via definitiva dal Consiglio dei ministri adegua l’ordinamento italiano al Regolamento (UE) 2024/1689, disciplinando i poteri delle autorità competenti, il sistema di vigilanza e le procedure sanzionatorie, ma anche gli spazi di sperimentazione normativa e l’impiego dell’intelligenza artificiale (AI) nella formazione, nel lavoro, nelle professioni, nella sanità e nella pubblica amministrazione.

Il fulcro del nuovo assetto è costituito dall’Agenzia per l’Italia digitale, designata come autorità nazionale di notifica, e dall’Agenzia per la cybersicurezza nazionale, individuata come autorità di vigilanza del mercato e punto di contatto unico ai sensi dell’AI Act. Accanto a esse operano le autorità finanziarie e, negli ambiti espressamente individuati dal regolamento europeo, il Garante per la protezione dei dati personali.

Non si tratta, dunque, di un modello imperniato su un unico regolatore dell’intelligenza artificiale. Il documento costruisce piuttosto una governance distribuita, nella quale le competenze sono ripartite in funzione della natura dell’attività svolta, del settore interessato e del tipo di sistema di IA sottoposto a controllo.

AgID, l’autorità che abilita il sistema della conformità

Ad AgID è affidato il presidio del sistema di notifica previsto dall’AI Act. In qualità di autorità nazionale di notifica, l’Agenzia dovrà predisporre e attuare le procedure per la valutazione, la designazione e la notifica degli organismi di valutazione della conformità. Si tratta dei soggetti chiamati a verificare, nei casi previsti dal regolamento, che i sistemi di intelligenza artificiale rispettino i requisiti europei prima dell’immissione sul mercato o della messa in servizio.

Il ruolo di AgID non si esaurisce nella designazione iniziale. L’Agenzia dovrà assicurare un monitoraggio continuo sugli organismi notificati e sugli altri soggetti contemplati dall’articolo 33 dell’AI Act, attraverso audit periodici e straordinari.

Qualora emergano carenze o inadempimenti, potrà avviare, previo contraddittorio, i procedimenti di limitazione, sospensione o revoca della designazione. Per le attività di valutazione e monitoraggio potrà inoltre avvalersi dell’organismo nazionale di accreditamento.

AgID dispone anche di un potere regolatorio nelle materie di propria competenza: potrà adottare disposizioni attuative del decreto e del regolamento europeo, oltre a linee guida, raccomandazioni e buone pratiche, nei limiti stabiliti dall’AI Act e dalla normativa nazionale.

A queste prerogative si aggiunge un potere sanzionatorio specifico nei confronti degli organismi notificati e degli altri soggetti sottoposti al sistema di notifica, per le violazioni richiamate dall’articolo 99 del regolamento europeo.

ACN, dalla cybersicurezza alla vigilanza sul mercato dell’AI

All’Agenzia per la cybersicurezza nazionale è attribuito il ruolo operativo più ampio. ACN diventa l’autorità nazionale di vigilanza del mercato per i sistemi di intelligenza artificiale, ferme restando le competenze dell’Ufficio europeo per l’AI e quelle assegnate alle autorità settoriali. È inoltre designata come punto di contatto unico nazionale, assumendo la funzione di raccordo con la Commissione europea e con il sistema istituzionale previsto dall’AI Act.

L’Agenzia potrà esercitare i poteri di vigilanza e ispezione previsti dal regolamento europeo sull’intelligenza artificiale e dal Regolamento (UE) 2019/1020 sulla vigilanza del mercato. Il decreto richiama, in particolare, i poteri di acquisire informazioni e documenti, effettuare controlli, svolgere verifiche tecniche e intervenire nei confronti di sistemi non conformi o suscettibili di produrre rischi.

I procedimenti potranno essere avviati a seguito della segnalazione di un incidente grave, della presentazione di un reclamo non manifestamente infondato, di una comunicazione proveniente da un’altra autorità oppure d’ufficio.

Ad ACN compete inoltre la registrazione a livello nazionale dei sistemi AI ad alto rischio indicati nell’AI Act (Allegato III, punto 2). Le modalità di registrazione, tenuta e gestione delle informazioni saranno definite con decreto del direttore generale dell’Agenzia, d’intesa con AgID. La scelta di affidare la vigilanza generale del mercato ad ACN segnala la centralità attribuita alla sicurezza tecnica e alla resilienza dei sistemi.

Le sanzioni

Il testo approvato in Cdm introduce un quadro sanzionatorio nazionale articolato in funzione della gravità della violazione e della natura dell’obbligo non rispettato. I massimali previsti risultano, in diversi casi, inferiori a quelli indicati dall’AI Act. Per la violazione delle pratiche vietate dall’articolo 5 del regolamento europeo, ad esempio, la sanzione può arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Per le altre violazioni, gli importi diminuiscono progressivamente in relazione alla gravità dell’inadempimento.

Per le violazioni caratterizzate da scarsa offensività o pericolosità, le autorità possono sostituire la sanzione pecuniaria con misure non monetarie. Tra queste figurano l’ordine di eliminare l’infrazione e di non ripeterla e, qualora la condotta sia già cessata, la pubblicazione di una dichiarazione relativa alla violazione e al soggetto responsabile.

Il sistema cerca quindi di combinare deterrenza e proporzionalità, evitando che violazioni meramente formali o di limitata rilevanza producano automaticamente conseguenze economiche sproporzionate.

Nasce lo Spazio di sperimentazione italiano per l’AI

Uno dei capitoli più rilevanti per imprese e sviluppatori è l’istituzione dello Spazio di sperimentazione italiano per l’AI. Si tratta della sandbox regolatoria nazionale prevista dall’articolo 57 dell’AI Act: un ambiente controllato nel quale fornitori e potenziali fornitori possono sviluppare, addestrare, testare e validare sistemi di intelligenza artificiale con l’assistenza e sotto la supervisione delle autorità competenti.

La finalità non è soltanto agevolare la conformità dei singoli progetti. Lo Spazio di sperimentazione dovrà contribuire alla diffusione delle migliori pratiche, alla competitività dell’ecosistema nazionale e al cosiddetto apprendimento normativo: l’utilizzo delle evidenze emerse durante i test per valutare l’adeguatezza delle regole e l’eventuale necessità di interventi correttivi.

Le modalità di accesso, funzionamento e gestione saranno definite con decreto dei direttori generali delle due Agenzie, con il coordinamento del Comitato istituito presso la Presidenza del Consiglio. L’accesso sarà subordinato a criteri di eleggibilità oggettivi e trasparenti, riguardanti i soggetti proponenti, lo stato di maturità delle soluzioni e le priorità di sperimentazione. Il decreto riconosce espressamente una priorità alle piccole e medie imprese, comprese le startup.

Il Gruppo operativo e il controllo sui progetti

La gestione concreta della sandbox sarà affidata a un Gruppo operativo composto pariteticamente da rappresentanti di AgID e ACN, che curerà l’istruttoria preliminare delle domande, la selezione dei progetti, l’approvazione dei piani di sperimentazione e il monitoraggio delle attività di sviluppo, test e validazione. Tra gli strumenti espressamente richiamati figurano il logging, l’auditing, la tracciabilità delle modifiche e le verifiche di conformità normativa e regolatoria.

Alle riunioni potranno partecipare le altre amministrazioni competenti per materia. Per i progetti che comportano il trattamento di dati personali è previsto il coinvolgimento del Garante Privacy, mentre università e centri di ricerca potranno essere chiamati a contribuire quando siano necessarie specifiche valutazioni tecniche o analisi di aree di rischio.

Il modello è dunque quello di una sperimentazione assistita e sottoposta a controllo continuo, non di una zona franca regolatoria. La partecipazione alla sandbox non determina una deroga generalizzata agli obblighi dell’AI Act, ma consente di verificarne l’applicazione in un contesto supervisionato.

AI duale, giustizia, territori e cooperazione europea

Lo Spazio nazionale non esaurisce il sistema delle sperimentazioni previsto dal decreto. Il Governo potrà disciplinare ulteriori sandbox dedicate ai sistemi di intelligenza artificiale utilizzabili in chiave duale, previo coinvolgimento del Ministero della Difesa, e ai modelli e sistemi applicabili all’attività giudiziaria, sentito il Ministero della Giustizia.

Potranno inoltre essere istituiti spazi di sperimentazione a livello regionale o locale, nonché sandbox comuni con le autorità competenti di altri Stati membri, per valorizzare le esperienze già maturate a livello territoriale e favorire il riuso delle migliori soluzioni sviluppate nell’ambito di programmi e progetti esistenti. Un accordo in Conferenza Unificata dovrà definire il raccordo tra lo Spazio nazionale e le iniziative territoriali, anche per garantire criteri omogenei nella raccolta e nella valutazione degli esiti.

Per i sistemi AI applicati a prodotti, servizi o processi bancari, finanziari e assicurativi resta ferma la disciplina della sperimentazione FinTech già prevista dall’ordinamento italiano. Il documento consente tuttavia che i sistemi destinati a essere immessi sul mercato, messi in servizio o utilizzati dagli istituti finanziari siano sperimentati anche nello Spazio italiano per l’AI. In questo caso, alle attività del Gruppo operativo partecipano le autorità finanziarie per i profili di rispettiva competenza.

Università e centri di ricerca nell’ecosistema delle sandbox

La misura assegna un ruolo significativo anche al sistema della ricerca e della formazione superiore. Università, enti pubblici di ricerca, istituzioni AFAM e ITS Academy potranno stipulare accordi con AgID e ACN per sostenere la realizzazione degli spazi di sperimentazione e contribuire alle attività di ricerca, valutazione tecnica e trasferimento tecnologico.

Il Ministero dell’Università e della Ricerca potrà inoltre individuare centri di riferimento dotati di conoscenze, infrastrutture e prodotti utili alla gestione delle sandbox. Tali strutture potranno collaborare con le autorità per creare ambienti controllati di prova e verificare la conformità dei sistemi innovativi alle disposizioni dell’AI Act.

Una governance complessa, da verificare nella fase attuativa

La scelta evita di creare un’autorità unica, ma aumenta la necessità di coordinamento istituzionale. L’efficacia del modello dipenderà in larga misura dagli accordi operativi, dai decreti attuativi, dalla capacità tecnica delle amministrazioni e dalla chiarezza con cui saranno risolti i casi di sovrapposizione tra competenze.

Lo stesso vale per le sandbox. Il decreto ne anticipa l’operatività e ne definisce l’architettura, ma le effettive condizioni di accesso, i servizi offerti, le procedure di selezione e i criteri di priorità dovranno essere stabiliti con successivi provvedimenti. Per imprese, pubbliche amministrazioni e sviluppatori, il passaggio decisivo sarà proprio questo: trasformare un impianto normativo complesso in procedure prevedibili, tempi compatibili con l’innovazione e indicazioni applicative sufficientemente uniformi.

La sfida della governance italiana dell’AI non sarà soltanto far rispettare il regolamento europeo. Sarà garantire che conformità, sicurezza e tutela dei diritti diventino condizioni abilitanti per l’accesso al mercato, e non un ulteriore fattore di frammentazione regolatoria.

Novità su Google, per aggiungere Key4Biz tra le tue fonti preferite, clicca qui

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/ai-act-ecco-i-poteri-e-i-compiti-di-agid-e-acn/584000/