La responsabilità del deployer nell'uso dell'Intelligenza Artificiale

Pubblicato da Maria Teresa De Luca in Evidenza · 17 Dicembre 2024

La responsabilità del deployer nell'uso dell'Intelligenza Artificiale

L’avvento dell’Intelligenza Artificiale (IA) ha generato trasformazioni significative nei più svariati settori, introducendo sfide complesse in termini di responsabilità giuridica e compliance normativa. In questo contesto, emerge la figura del deployer, ossia l'utilizzatore operativo dei sistemi di IA, il cui ruolo si distingue in maniera critica rispetto a quello del provider, responsabile della progettazione e commercializzazione della tecnologia.

Il Regolamento Europeo sull’Intelligenza Artificiale (AI Act), entrato in vigore il 1° agosto 2024, introduce un sistema di regolamentazione basato sul rischio, imponendo obblighi proporzionali alla gravità del rischio derivante dall’uso dei sistemi IA. L’analisi dei requisiti applicabili ai deployer rispetto ai provider evidenzia un quadro regolatorio complesso che richiede particolare attenzione da parte di tutti gli attori coinvolti.

1. Il ruolo del deployer: definizione e implicazioni

Il deployer è colui che implementa e utilizza sistemi di IA in contesti operativi specifici, svolgendo un ruolo decisivo nell'applicazione pratica della tecnologia. Tale figura non coincide con il provider, responsabile della progettazione e immissione sul mercato del sistema, ma è colui che introduce il sistema IA nell'ambiente operativo, configurandolo e adattandolo secondo finalità specifiche.

L’AI Act adotta un approccio basato sulla classificazione del rischio dei sistemi di IA. I sistemi ritenuti ad alto rischio (ad esempio quelli utilizzati per il reclutamento, la gestione dei crediti o l'assistenza sanitaria) impongono requisiti stringenti sia per i provider che per i deployer.

La corretta qualificazione del ruolo è fondamentale. Un deployer che modifica un sistema IA in modo sostanziale o ne cambia la finalità d’uso rischia di essere riqualificato come provider, con conseguenti obblighi aggiuntivi in termini di compliance e responsabilità.

2. La responsabilità del deployer nell’AI Act

L’AI Act distingue chiaramente gli obblighi a carico dei provider e dei deployer, delineando un sistema di responsabilità multilivello che assegna a ciascun attore ruoli e doveri distinti:

Obblighi specifici dei deployer:

Conformità alle istruzioni d'uso: I deployer sono obbligati a utilizzare i sistemi IA conformemente alle istruzioni fornite dal provider, monitorandone il funzionamento per individuare eventuali anomalie o bias.
Monitoraggio continuo: Sistemi IA ad alto rischio richiedono una sorveglianza costante da parte di persone competenti e formate. Il mancato monitoraggio costituisce una grave violazione normativa.
Qualità dei dati di input: I deployer devono assicurarsi che i dati forniti al sistema IA siano rappresentativi e adeguati rispetto alle finalità operative previste.
Valutazione dei diritti fondamentali: Per determinate applicazioni ad alto rischio, come il credit scoring o il recruitment, i deployer sono tenuti a effettuare una valutazione di impatto sui diritti fondamentali degli individui coinvolti.
Documentazione e tracciabilità: Conservazione dei log relativi all’utilizzo del sistema IA e adozione di procedure documentate atte a dimostrare la conformità normativa.

Comparazione con gli obblighi dei provider:

A differenza dei deployer, i provider devono garantire la progettazione conforme dei sistemi IA, con particolare riferimento a:

La gestione dei rischi durante l’intero ciclo di vita del sistema;
La qualità dei dati utilizzati per l'addestramento e validazione del modello;
La redazione della documentazione tecnica atta a dimostrare la conformità;
Sistemi di registrazione automatica degli eventi (logging);
Requisiti stringenti di accuratezza, robustezza e cybersicurezza.

Questa distinzione comporta conseguenze significative: un deployer che si appropria di responsabilità proprie del provider può incorrere in sanzioni più severe e obblighi aggiuntivi.

3. I profili di responsabilità civile ed extracontrattuale

L’AI Act deve essere interpretato in combinazione con la normativa già vigente in materia di responsabilità civile e extracontrattuale, nonché alla luce delle nuove direttive europee sui prodotti difettosi e sulla responsabilità nell’uso dell’IA:

Responsabilità contrattuale (art. 1218 c.c.): Il deployer risponde per danni derivanti dall’inadempimento degli obblighi previsti nel Regolamento o derivanti da accordi con il provider.
Responsabilità extracontrattuale (art. 2043 c.c.): Il deployer è responsabile per danni causati a terzi in caso di negligenza, colpa o errata implementazione del sistema IA.
Danno da prodotti difettosi: La direttiva UE 2024/2853 prevede che il deployer possa rispondere qualora abbia modificato sostanzialmente un sistema IA.
Presunzione di causalità: La proposta di direttiva UE in materia di responsabilità extracontrattuale per sistemi IA introduce una presunzione relativa di responsabilità a carico di provider e deployer in caso di violazione degli obblighi normativi.

4. Strumenti di gestione del rischio per i deployer

La gestione del rischio costituisce una prioritaria strategia di mitigazione della responsabilità per i deployer. Le seguenti misure sono raccomandate:

Implementazione di sistemi di compliance: Monitoraggio continuo e adozione di procedure interne per garantire la conformità ai requisiti dell’AI Act.
Valutazione e mitigazione dei rischi: Analisi preliminare dei rischi e adozione di contromisure adeguate.
Audit e formazione: Programmi di formazione continua per il personale e audit periodici per verificare l’idoneità dei sistemi IA.
Collaborazione con provider: Garantire un dialogo costante con i provider per ricevere supporto tecnico e istruzioni d’uso aggiornate.
Trasparenza e accountability: Adottare misure di informativa chiara nei confronti degli utenti finali.

Possiamo concludere dicendo che la figura del deployer svolge un ruolo centrale nell’ecosistema dell’IA, con responsabilità proporzionate all’uso specifico dei sistemi implementati. L’AI Act impone obblighi chiari che richiedono un approccio proattivo, fondato su una gestione oculata del rischio, monitoraggio costante e conformità normativa rigorosa.

La complessità della normativa implica una stretta interrelazione tra il deployer e il provider, con un’attenzione particolare alla qualifica del ruolo e alla distinzione delle responsabilità. In un quadro giuridico in continua evoluzione, la capacità di interpretare correttamente tali obblighi rappresenta un elemento determinante per un utilizzo sicuro e conforme dell’Intelligenza Artificiale.

La prospettiva accademica invita a ulteriori studi interdisciplinari che combinino conoscenze giuridiche, tecniche ed etiche per sviluppare best practice in grado di conciliare innovazione tecnologica e tutela dei diritti fondamentali.