Un profilo particolarmente delicato dell’AI literacy nel contesto del Regolamento (UE) 2024/1689 (AI Act) riguarda l’approccio con cui il giurista è tradizionalmente portato ad analizzarne gli obblighi. L’attenzione si concentra, molto spesso, sul regime sanzionatorio: si individua la disposizione che impone un determinato adempimento, si verifica quale sia la sanzione prevista in caso di violazione e, sulla base dell’entità della sanzione, si tende a misurare la rilevanza dell’obbligo e il livello di compliance richiesto.
Si tratta di un’impostazione del tutto comprensibile, perché riflette il metodo con cui, tradizionalmente, il giurista affronta le discipline regolatorie: individuare l’obbligo, identificare la relativa sanzione e, sulla base di quest’ultima, misurarne la rilevanza pratica. Nel caso dell’AI literacy, tuttavia, questo criterio di lettura rischia di non cogliere il reale significato della disposizione.
Indice degli argomenti
Cosa dice l’AI Act
L’obbligo previsto dall’art. 4 dell’AI Act, infatti, non esaurisce la propria funzione nella previsione di una possibile sanzione amministrativa. Esso costituisce uno dei presupposti sui quali si fonda l’intero sistema di governance dell’intelligenza artificiale delineato dal Regolamento. Per questa ragione, la sua rilevanza non può essere valutata soltanto in termini sanzionatori, ma deve essere apprezzata alla luce degli effetti che la sua mancata attuazione può produrre sull’efficacia della supervisione umana, sulla gestione del rischio, sull’accountability dell’organizzazione e, in ultima analisi, sulla valutazione della sua diligenza.
Con l’articolo 4 dell’AI Act, tuttavia, questo approccio si rivela non solo insufficiente, ma fuorviante. La norma infatti impone ai fornitori e ai deployer di garantire un livello sufficiente di alfabetizzazione al personale che opera con i sistemi di intelligenza artificiale, ma non costruisce una sanzione pecuniaria autonoma e diretta in ragione della sua violazione. Sarebbe però un errore grave concluderne che l’obbligo sia giuridicamente irrilevante e non certo si è trattato di una svista da parte del Legislatore.
Il diritto della compliance ci insegna da tempo a distinguere tra due dimensioni normative: quella degli obblighi direttamente sanzionati e quella delle misure organizzative che assumono rilievo nella valutazione complessiva della responsabilità.
L’alfabetizzazione rientra perfettamente in questa seconda dimensione. L’articolo 99 dell’AI Act impone alle autorità di considerare, nella determinazione della sanzione, una pluralità di circostanze concrete tra le quali figura esplicitamente il grado di responsabilità dell’operatore, valutato alla luce delle misure tecniche e organizzative adottate. In un procedimento ispettivo o in un contenzioso, l’autorità non guarderà soltanto all’evento finale: valuterà in particolar modo la qualità del sistema di prevenzione e controllo che avrebbe dovuto impedirlo. E in quel momento, la domanda apparente più semplice potrà rivelarsi quella più delicata e difficile: le persone che utilizzavano quel sistema erano state poste nelle condizioni di comprenderne realmente rischi e limiti?
AI literacy e governance dell’intelligenza artificiale
Partendo da questo quadro normativo, emerge un paradosso organizzativo che molte imprese stanno già vivendo, purtuttavia senza averne, spesso, piena consapevolezza. Un’organizzazione può infatti aver investito nella costruzione di un sistema di governance dell’intelligenza artificiale formalmente impeccabile: può aver adottato policy dedicate, istituito un AI Committee, definito procedure di escalation, censito gli impieghi dei sistemi di IA e predisposto adeguati presìdi di controllo.
Di frequente però, se le persone che utilizzano quotidianamente tali sistemi non sono in grado di riconoscere un’allucinazione algoritmica, di distinguere un output probabilistico da un’informazione verificata, di comprendere i limiti nell’utilizzo di dati personali o di informazioni riservate, quell’impianto di governance rischia di rimanere soltanto formale.
La vera efficacia della governance non si misura dall’esistenza di regole, procedure o organismi di controllo, ma dalla capacità dell’organizzazione di tradurli in comportamenti consapevoli e responsabili. È proprio in questo passaggio che l’AI literacy assume un ruolo centrale: non come mero obbligo formativo, ma come elemento essenziale per rendere effettiva la governance dell’intelligenza artificiale.
Supervisione umana e formazione parziale
Il tema centrale è rappresentato dal principio di human oversight, che l’AI Act colloca al cuore del proprio impianto regolatorio. La supervisione umana non si esaurisce infatti nella presenza di una persona chiamata a validare il risultato finale del processo. Essa presuppone, invece, la capacità di comprendere la natura probabilistica degli output algoritmici, di valutarli criticamente, di individuarne errori, limiti e possibili distorsioni e, sulla base di tale valutazione, assumere decisioni realmente consapevoli.
In questa prospettiva emerge un ulteriore profilo di rischio. Un utente privo di adeguata formazione potrebbe non essere in grado di riconoscere un errore dell’algoritmo. Ma, paradossalmente, anche una formazione incompleta può risultare pericolosa.
Chi possiede conoscenze solo parziali tende infatti a maturare un’eccessiva fiducia nella propria capacità di controllo, attribuendo agli output dell’intelligenza artificiale un grado di affidabilità superiore a quello che essi meritano e che sarebbe consigliabile allocare. Si tratta del paradosso della formazione parziale: la percezione cioè di saper governare uno strumento che, in realtà, non si è ancora in grado di valutare criticamente.
È proprio questo il limite di ogni modello di governance esclusivamente documentale. Policy, procedure e organismi di controllo rappresentano presìdi indispensabili, ma non sono sufficienti se l’organizzazione non sviluppa una reale capacità diffusa di esercitare quella supervisione umana che il legislatore europeo considera il presupposto essenziale per un utilizzo affidabile dell’intelligenza artificiale.
Shadow AI e controllo dei rischi organizzativi
A rendere ancora più urgente questa riflessione concorre un fenomeno che non è più una proiezione aleatoria o accademica, ma una realtà presente in pressoché ogni organizzazione: la cosiddetta shadow AI.
Mentre molte organizzazioni si trovano nella fase di studio, discussione e pianificazione circa l’adozione formale di strumenti di intelligenza artificiale, con l’ipotesi di definizione di una policy dedicata, istituzione di un AI Committee o disciplinare l’utilizzo attraverso specifici processi di governance, nel frattempo, però, l’intelligenza artificiale è pienamente entrata nelle attività quotidiane dei dipendenti, che la utilizzano per le loro attività quotidiane, come ade esempio per redigere e-mail, sintetizzare documenti, analizzare dati, tradurre testi, sviluppare codice o predisporre presentazioni.
È proprio qui che emerge il principale rischio organizzativo. L’impresa che ritiene di non aver ancora introdotto a pieno regime l’intelligenza artificiale nei propri processi potrebbe, in realtà, averne già perso il controllo. Mentre la governance è ancora oggetto di valutazione, gli strumenti vengono comunemente utilizzati in modo autonomo ed “artigianale” all’interno dell’organizzazione, spesso senza regole, senza consapevolezza dei rischi e senza un’effettiva supervisione. In altre parole, l’AI entra nell’organizzazione molto prima che l’organizzazione decida di governarla.
Perché vietare ha dei limiti
Questo fenomeno non può essere affrontato semplicemente attraverso un divieto. Vietare l’utilizzo dell’intelligenza artificiale senza creare consapevolezza significa, nella maggior parte dei casi, favorirne un impiego sommerso, sottraendolo ulteriormente alla possibilità di essere governato. Il risultato non è la riduzione del rischio, ma la sua perdita di controllo.
L’approccio deve essere diverso. Occorre accompagnare le persone verso un utilizzo consapevole degli strumenti di intelligenza artificiale, definendo regole chiare, responsabilità e modalità di impiego che consentano all’organizzazione di governare un fenomeno che, di fatto, è già presente. Solo così un utilizzo spontaneo e non presidiato può trasformarsi in un processo tracciabile, controllabile e coerente con il sistema di governance aziendale.
È in questa prospettiva che l’AI literacy assume il suo reale significato. Non rappresenta soltanto un’attività formativa, ma diventa uno strumento di governo del rischio organizzativo, indispensabile per rendere effettivi i principi di supervisione umana, accountability e utilizzo responsabile dell’intelligenza artificiale.
I rischi dell’AI literacy insufficiente
Per comprendere la portata di questi rischi è utile abbandonare il piano teorico e osservare come essi si manifestino nella pratica. Si tratta di situazioni già ampiamente documentate e che, sempre più frequentemente, si riscontrano nella quotidianità delle organizzazioni.
Dati riservati e informazioni inesatte
Un primo scenario riguarda la divulgazione inconsapevole di informazioni riservate. Un dipendente inserisce ad esempio in un sistema di intelligenza artificiale generativa liberamente accessibile un documento confidenziale, una bozza contrattuale, una nota interna, un codice sorgente o altri contenuti aziendali, con l’obiettivo di ottenerne un riassunto, una traduzione o un miglioramento del testo. Dal suo punto di vista l’operazione potrebbe apparire semplice e priva di particolari criticità.
Sotto il profilo giuridico, tuttavia, il quadro è ben diverso. Quel prompt artigianale può contenere infatti dati personali, informazioni commercialmente riservate, know-how aziendale o contenuti coperti da obblighi di riservatezza, la cui comunicazione a un sistema esterno può determinare conseguenze rilevanti sotto il profilo della protezione dei dati, della tutela del patrimonio informativo e degli obblighi contrattuali. La semplicità con cui l’utente interagisce con lo strumento non riduce, infatti, la complessità giuridica dell’operazione né le responsabilità che da essa possono derivare.
Gli output apparentemente autorevoli
Un secondo scenario riguarda gli output apparentemente autorevoli ma, in realtà, errati. Un professionista può predisporre un documento che richiama sentenze mai pronunciate, cita fonti inesistenti o ricostruisce il quadro normativo in modo perfettamente coerente sul piano logico, ma del tutto infondato sotto il profilo fattuale.
L’intelligenza artificiale generativa incrina, infatti, un presupposto sul quale i professionisti del diritto, così come molti altri professionisti, hanno sempre fatto affidamento: la corrispondenza tra qualità formale del testo e attendibilità del suo contenuto. Oggi un elaborato può essere scritto con linguaggio impeccabile, presentare un’argomentazione persuasiva e, allo stesso tempo, contenere informazioni inesatte o addirittura completamente inventate.
Ne deriva un profondo cambiamento nell’approccio professionale. Non appare infatti più sufficiente saper utilizzare uno strumento di intelligenza artificiale; bensì è necessario sviluppare la capacità di valutarne criticamente gli output, comprendere quando richiedono verifica e, soprattutto, riconoscere i casi in cui non possono essere considerati una fonte affidabile. È questo il significato più concreto della supervisione umana richiesta dall’AI Act: non la semplice validazione finale dell’output, ma l’esercizio di un giudizio critico che resta, inevitabilmente, responsabilità dell’uomo.
Automation bias e verifica critica
Un terzo scenario riguarda il fenomeno dell’automation bias. Nel momento in cui una decisione rilevante viene assunta facendo affidamento sull’output di un sistema di intelligenza artificiale senza che questo sia sottoposto a un’effettiva valutazione critica, sorge un rischioso affidamento acritico. L’apparente oggettività della tecnologia e la qualità formale della risposta tendono, infatti, ad attribuire all’output un’autorevolezza superiore a quella che merita, inducendo chi decide ad abbassare il livello di verifica.
Non si tratta, nella maggior parte dei casi, di un comportamento doloso o di una negligenza consapevole, bensì di una distorsione cognitiva ampiamente studiata, che porta ad accordare un’eccessiva fiducia ai sistemi automatizzati, soprattutto quando manca un’adeguata capacità di comprenderne il funzionamento, i limiti e il carattere probabilistico degli output.
È proprio per questo che la supervisione umana non può essere ridotta a un controllo meramente formale. Essa richiede persone in grado di esercitare un giudizio autonomo e critico, capaci di mettere in discussione anche gli output più convincenti quando le circostanze lo richiedono. In questa prospettiva, l’AI literacy rappresenta il principale presidio organizzativo per prevenire il rischio di automation bias.
AI literacy e responsabilità dell’organizzazione
Ciò che rende questi scenari giuridicamente rilevanti non è soltanto il danno che possono produrre, ma la trasformazione della domanda che un’autorità si pone di fronte all’incidente. La domanda tradizionale — chi ha commesso l’errore? — lascia spazio a una domanda più ampia e più profonda: l’organizzazione aveva costruito condizioni ragionevoli per evitarlo? Esisteva una policy comprensibile? Erano stati definiti i dati inseribili nei sistemi? Era stato spiegato quali output richiedessero verifica obbligatoria? Erano state distribuite responsabilità differenziate per tipologia di rischio? Il sistema utilizzato era stato formalmente autorizzato?
Questo schema è familiare a chi opera nell’ambito della protezione dei dati personali, della cybersecurity, della sicurezza sul lavoro, dei modelli organizzativi ai sensi del D.Lgs. 231/2001. La responsabilità moderna tende infatti sistematicamente a interrogarsi non soltanto sull’errore finale, ma sulla qualità dell’organizzazione che avrebbe dovuto prevenirlo. Con l’intelligenza artificiale, questo processo si acuisce per una ragione specifica: la capacità del sistema di produrre risultati apparentemente credibili, anche quando essi sono errati, rende essenziale la competenza umana in modo che nessuna tecnologia precedente aveva richiesto con la stessa intensità.
L’alfabetizzazione diventa così la cartina di tornasole dell’intera governance: chi non sa rispondere con precisione alla domanda “chi utilizza questi sistemi e con quale preparazione?” rivela drasticamente una debolezza strutturale molto ampia.
Formazione AI differenziata per ruoli e rischi
Anche sotto questo profilo, l’AI literacy rappresenta un indicatore della maturità del sistema di governance. Se la formazione non è stata differenziata in funzione dei destinatari, è probabile che l’organizzazione non abbia individuato con sufficiente precisione i diversi casi d’uso dell’intelligenza artificiale. Se non sono stati distinti i livelli di rischio, è altrettanto probabile che i sistemi non siano stati correttamente classificati. E se le persone chiamate a utilizzare o supervisionare tali sistemi non hanno ricevuto una formazione adeguata, diventa difficile sostenere che la supervisione umana richiesta dall’AI Act sia realmente effettiva.
In questa prospettiva, la formazione non rappresenta l’ultimo tassello del percorso di conformità, ma uno degli elementi che consentono di valutare la qualità dell’intero modello di governance adottato dall’organizzazione.
Una delle conseguenze operative più importanti di questa analisi è che non esiste un programma di alfabetizzazione corretto in astratto, e che costruire un unico corso uguale per tutti non adempie all’obbligo né tutela l’organizzazione. La formazione deve essere proporzionata al rischio dei sistemi utilizzati e differenziata in base al ruolo di chi li utilizza, perché all’interno della stessa organizzazione convivono soggetti con esigenze profondamente diverse.
L’AI literacy non può essere uniforme, perché diverse sono le responsabilità che l’intelligenza artificiale attribuisce all’interno dell’organizzazione.
Competenze per funzioni aziendali
In un’Azienda, il consiglio di amministrazione deve comprendere il rischio strategico, le implicazioni organizzative e gli impatti che l’adozione dell’intelligenza artificiale produce sul modello di governance aziendale. Il procurement dovrà essere in grado di valutare i fornitori e di negoziare consapevolmente le clausole contrattuali: senza un’adeguata comprensione del funzionamento di un sistema di IA è difficile valutare, ad esempio, le garanzie offerte in termini di accuratezza, la disciplina relativa all’utilizzo e al riutilizzo di input e output, le modalità di aggiornamento dei modelli, i profili di dipendenza tecnologica (vendor lock-in) o le responsabilità del fornitore.
L’Ufficio legale sarà chiamato a conoscere il quadro regolatorio dell’AI Act e saper individuare correttamente ruoli, obblighi e responsabilità dei diversi soggetti coinvolti, distinguendo, ad esempio, tra provider, deployer, importatore e distributore.
Il DPO inoltre deve essere in grado di valutare le interferenze tra l’utilizzo dell’intelligenza artificiale e la disciplina in materia di protezione dei dati personali. Il settore IT dovrà inoltre presidiare gli aspetti di integrazione, sicurezza e controllo tecnico dei sistemi.
Gli utilizzatori finali, infine, devono comprendere i limiti operativi degli strumenti impiegati, i rischi connessi agli output e l’obbligo di sottoporli a un’effettiva verifica critica.
Questa differenziazione non rappresenta una scelta organizzativa opzionale, ma è il presupposto affinché la formazione sia realmente efficace e consenta di trasformare i principi della governance in comportamenti concreti, coerenti e verificabili all’interno dell’organizzazione.
La capacità negoziale sui sistemi AI
C’è poi una dimensione spesso trascurata: quella della capacità negoziale. Un’organizzazione non adeguatamente alfabetizzata potrebbe essere strutturalmente un acquirente più debole; potrebbe infatti non essere in grado di valutare con competenza la qualità di un fornitore di sistemi AI, non poter fornire garanzie adeguate, non poter verificare se i livelli di accuratezza dichiarati siano realistici.
La competenza in materia di intelligenza artificiale non rappresenta, quindi, soltanto un fattore di conformità normativa, ma costituisce anche una leva di innovazione consapevole e uno strumento essenziale per assumere decisioni contrattuali informate ed equilibrate.
Dalla formazione al modello di governance AI
Tutte queste considerazioni conducono a una conclusione di carattere operativo, che impone di ripensare l’approccio con cui molte organizzazioni stanno affrontando il tema dell’intelligenza artificiale. L’errore più frequente consiste nel partire dalla formazione, progettando un corso prima ancora di aver compreso quali sistemi di IA siano effettivamente utilizzati, per quali finalità, da chi e con quali livelli di rischio.
La formazione, infatti, non rappresenta il punto di partenza del percorso di conformità, ma il suo naturale punto di approdo. Prima occorre conoscere il fenomeno che si intende governare: individuare i casi d’uso, mappare i sistemi presenti nell’organizzazione, valutarne i rischi, definire ruoli, responsabilità e regole di utilizzo. Solo a questo punto è possibile progettare percorsi di AI literacy realmente coerenti con le esigenze dell’organizzazione e differenziati in funzione delle responsabilità dei diversi destinatari.
L’ordine del processo, quindi, non è casuale. Si parte dalla conoscenza dell’organizzazione, si costruisce il modello di governance e, soltanto successivamente, si sviluppa la formazione necessaria a renderlo effettivo. È in questa sequenza che l’AI literacy cessa di essere un’iniziativa formativa isolata e diventa uno degli strumenti attraverso i quali la governance prende concretamente forma.
Il percorso operativo per l’AI literacy
Il percorso dovrebbe prendere avvio dall’individuazione del quadro normativo applicabile. L’AI Act, infatti, non opera in modo isolato, ma si inserisce in un sistema regolatorio più ampio che, a seconda del settore e del caso d’uso, coinvolge anche il GDPR, la normativa in materia di cybersicurezza, la disciplina dei rapporti di lavoro, la tutela della proprietà intellettuale, la normativa a tutela dei consumatori e le disposizioni settoriali di volta in volta rilevanti.
Il passaggio successivo consiste nella mappatura degli impieghi effettivi dell’intelligenza artificiale all’interno dell’organizzazione. Occorre individuare quali sistemi siano stati formalmente adottati, quali funzionalità di IA siano già integrate nei software utilizzati, quali strumenti vengano impiegati spontaneamente dal personale e per quali finalità. È questa la fase più delicata dell’intero percorso: non è possibile governare ciò che non si conosce.
Solo a partire da tale ricognizione è possibile classificare gli impieghi dell’intelligenza artificiale, distinguendo tra utilizzi vietati, utilizzi consentiti e utilizzi consentiti a determinate condizioni. È proprio quest’ultima categoria a richiedere le valutazioni più complesse, poiché può rendere necessari specifici controlli, misure di supervisione umana, limitazioni nell’utilizzo dei dati, valutazioni preventive o ulteriori misure di mitigazione del rischio.
Completata la fase di analisi, l’organizzazione potrà procedere alla verifica dei rapporti contrattuali con i fornitori, all’adozione di una policy realmente operativa e comprensibile e alla definizione del modello di governance.
Ben si comprende la ragione per la quale la policy non dovrebbe limitarsi a elencare divieti, ma fornire indicazioni concrete su come utilizzare correttamente gli strumenti di intelligenza artificiale. Il modello di governance, invece, deve individuare con chiarezza ruoli e responsabilità, definendo chi autorizza gli impieghi, chi assume le decisioni, chi svolge le attività di monitoraggio, chi gestisce gli incidenti e chi assicura il costante aggiornamento della mappatura dei sistemi.
Soltanto al termine di questo percorso potrà assumere pieno significato la formazione. A quel punto l’AI literacy non sarà più un corso standardizzato uguale per tutti, ma un’attività costruita sulle caratteristiche specifiche di una determinata organizzazione, differenziata in funzione dei ruoli e strettamente collegata ai sistemi di intelligenza artificiale effettivamente utilizzati e ai rischi che essi comportano.
Monitoraggio e aggiornamento continuo
Questo percorso non si esaurisce infatti con l’adozione di una mera policy o con l’erogazione di un corso di formazione. La governance dell’intelligenza artificiale è, per sua natura, un processo che deve essere continuo.
Nuovi strumenti entrano costantemente nei processi aziendali, emergono nuovi casi d’uso, il quadro normativo si evolve, le autorità pubblicano linee guida interpretative e le stesse responsabilità organizzative cambiano nel tempo. Di conseguenza, anche la mappatura dei sistemi, la valutazione dei rischi e i percorsi di AI literacy devono essere periodicamente riesaminati e aggiornati. Il monitoraggio continuo non rappresenta una scelta organizzativa, ma la condizione affinché il modello di governance rimanga efficace e non si trasformi in un insieme di procedure ormai disallineate rispetto alla realtà operativa.
AI literacy come presidio permanente di governance
Per lungo tempo la formazione tecnologica è stata considerata uno strumento per accrescere le competenze e migliorare l’efficienza. L’intelligenza artificiale impone, invece, un cambio di prospettiva. L’AI literacy non è soltanto un fattore di crescita professionale, ma costituisce una misura organizzativa di prevenzione del rischio e un elemento essenziale dell’accountability richiesta dal quadro normativo europeo.
In caso di incidente, infatti, la capacità dell’organizzazione di dimostrare di aver formato adeguatamente le persone coinvolte, di aver attribuito correttamente ruoli e responsabilità e di aver reso effettiva la supervisione umana potrà rappresentare uno degli elementi attraverso i quali sarà valutata la diligenza dell’organizzazione.
Il rischio più insidioso per un’Azienda non è solo quello di un sistema che smette di funzionare. Un malfunzionamento è normalmente percepibile, può essere individuato e corretto; molto più difficile da intercettare è, invece, un sistema che continua a funzionare, genera un output formalmente convincente ma sostanzialmente errato ed induca chi lo utilizza ad assumerlo come corretto senza esercitare un’effettiva valutazione critica.
È in questo spazio, tra l’apparente affidabilità dell’output e la capacità dell’uomo di valutarlo criticamente, che si misura la reale efficacia della governance dell’intelligenza artificiale.
Facendo le considerazioni espresse, forse apparirà evidente perché l’AI literacy non abbia semplicemente una funzione di formazione affinchè si possano utilizzare meglio gli strumenti di intelligenza artificiale, ma servirà a garantire che l’organizzazione mantenga il controllo delle decisioni che continua ad assumere attraverso tali strumenti. Si sta formando una diffusa ed accreditata interpretazione giuridica in base alla quale, anche quando una decisione sia supportata da un algoritmo, la responsabilità giuridica resta, inevitabilmente, una responsabilità umana.
Partecipa alla community