L'attualità in pratica
Alto rischio: il regime è rinviato, la qualificazione no
La scadenza è slittata a dicembre 2027. Sapere se vi rientriate, invece, è una questione di adesso, perché condiziona diciotto mesi di lavoro.
Per studi e direzioni legali che devono definire la propria posizione. Che cosa copre l'allegato III, che cosa riguarda realmente un'organizzazione giuridica, e perché la risposta deve essere scritta.
Il vostro uso dell'IA rientra nel regime dei sistemi ad alto rischio? La domanda appare prematura, poiché gli obblighi corrispondenti si applicheranno soltanto dal 2 dicembre 2027. Non lo è, per una ragione di calendario: se la risposta è affermativa, l'adeguamento rappresenta un lavoro di alcuni mesi, e scoprirlo nell'autunno 2027 significa condurlo d'urgenza.
Perché la domanda si pone adesso
Gli obblighi del regime ad alto rischio non sono dichiarativi. Presuppongono un sistema di gestione dei rischi, una documentazione tecnica, la registrazione degli eventi, misure di sorveglianza umana, una valutazione della conformità e una registrazione.
Presuppongono inoltre che qualcuno, nell'organizzazione, li abbia in carico: designato, formato, e in grado di produrre tracce per una durata determinata. Nessuna di queste esigenze è fuori dalla portata di uno studio, e nessuna si mette in atto in tre settimane.
Uno studio che scoprisse nel settembre 2027 di esservi soggetto disporrebbe di tre mesi per predisporre tutto ciò. È materialmente insufficiente, ed è l'unica ragione per cui la domanda merita di essere risolta quest'anno.
Va aggiunto che l'onere di tale adeguamento non si distribuisce: ricade sulle stesse persone che già si occupano della protezione dei dati e della sicurezza, in organizzazioni dove queste funzioni raramente sono a tempo pieno.
Vi si aggiunge un'esigenza di informazione delle persone interessate quando il sistema interviene in una decisione che le riguarda, il che concerne direttamente gli usi interni esaminati più avanti.
Al contrario, se la risposta è negativa, stabilirlo ora evita di riproporre la questione a ogni scadenza e di impegnare un team su un tema risolto.
Che cosa copre l'allegato III
Elenca ambiti di utilizzo, non tecnologie. Uno stesso sistema può rientrare nel regime in un impiego e non in un altro, ed è questa la principale fonte degli errori di qualificazione.
Tre ambiti di quell'elenco possono riguardare uno studio o una direzione legale. L'occupazione e la gestione dei lavoratori, che comprende in particolare la selezione e la valutazione. L'accesso a servizi essenziali, pubblici e privati. E l'amministrazione della giustizia, che riguarda l'assistenza alle autorità giudiziarie nella ricerca e nell'interpretazione dei fatti e del diritto.
Una nota di metodo sulla lettura dell'allegato: esso individua finalità e contesti d'impiego, sicché la qualificazione richiede di esaminare che cosa il sistema faccia nell'organizzazione, non che cosa sappia fare. Uno stesso strumento di analisi documentale impiegato su pratiche di clienti e su candidature riceve due qualificazioni diverse.
È ciò che rende l'esercizio meno intuitivo di quanto sembri, ed è ciò che spiega perché sia spesso condotto male: si ragiona istintivamente per strumento, mentre il testo ragiona per uso.
Il caso della produzione giuridica
È il punto sul quale gli studi si interrogano di più, e la risposta è il più delle volte negativa.
L'ambito relativo all'amministrazione della giustizia riguarda l'assistenza prestata a un'autorità giudiziaria. Uno studio legale non è un'autorità giudiziaria: rappresenta una parte. Un sistema che lo assista nella preparazione di atti difensivi non svolge dunque, in linea di principio, la funzione contemplata da quella voce dell'allegato.
Questa risposta merita di essere accertata anziché presunta, per una ragione pratica: sarà richiesta. Un cliente, un assicuratore o un'autorità potranno interrogare lo studio sulla propria posizione, e disporre di un'analisi datata vale più di una convinzione condivisa.
Una seconda ragione depone per risolverla ora: essa condiziona le scelte di equipaggiamento. Uno studio che concludesse di rientrare nel regime dovrebbe esigere dal proprio fornitore una documentazione tecnica e una valutazione della conformità, il che restringe considerevolmente il campo delle soluzioni disponibili e modifica il calendario di un dispiegamento.
Risolvere la qualificazione prima di scegliere uno strumento è dunque l'ordine logico, ed è l'inverso di ciò che si pratica.
Il rischio di qualificazione non sta nella produzione giuridica. Sta negli usi interni che nessuno ha inventariato.
Gli usi interni che pongono la questione
Il rischio non si trova dove gli studi lo cercano. Si trova negli usi interni, dove uno studio agisce come qualsiasi datore di lavoro.
Un dispositivo che intervenga nella selezione delle candidature, nella valutazione dei collaboratori o nelle decisioni di assegnazione rientra nell'ambito dell'occupazione. La questione si pone allora negli stessi termini che per qualsiasi impresa, e si pone anche quando il dispositivo sia un modulo di un software di gestione delle risorse umane che nessuno ha identificato come sistema di IA.
Il punto sfugge facilmente perché tali moduli sono raramente presentati come intelligenza artificiale. Sono venduti come funzioni di classificazione, di abbinamento o di punteggio, e sono acquistati da una funzione diversa da quella che porta la conformità.
Un caso analogo merita di essere segnalato: i dispositivi impiegati dallo studio per conto di un cliente, ad esempio in un'indagine interna riguardante dipendenti. La qualificazione si pone allora su un terreno diverso, e coinvolge anche il cliente.
È la ragione per cui l'inventario degli usi precede la qualificazione: non si qualifica ciò che non si sa di utilizzare.
Perché la risposta deve essere scritta e datata
Una qualificazione ha valore soltanto se si può stabilire quando sia stata effettuata, su quale perimetro e alla luce di quale stato del testo.
In concreto, ciò significa che l'analisi deve poter essere riletta da chi non vi ha partecipato, in cinque minuti, due anni dopo. È uno standard esigente ed è l'unico che conti, poiché è esattamente la situazione in cui essa sarà utilizzata.
Un documento di 1–2 pagine è sufficiente: l'elenco degli usi censiti, la qualificazione adottata per ciascuno, la motivazione, la data e il nome di chi l'ha redatta. È la stessa esigenza che si applica a qualsiasi analisi giuridica: una conclusione priva di data e di perimetro non è opponibile, nemmeno a se stessi.
Conviene menzionare ciò che è stato esaminato e scartato, e non soltanto ciò che è stato accolto. Un uso esaminato e ritenuto fuori ambito deve comparire come tale: è ciò che distingue un'analisi da una dimenticanza, e la distinzione sarà fatta da chiunque rilegga il documento.
Il documento andrà ripreso quando il perimetro degli usi cambierà, il che accadrà più spesso di quanto si preveda: un aggiornamento di un software può bastare a introdurre una funzione nuova che modifica la qualificazione.
Ha una seconda utilità, meno evidente. Il giorno in cui un uso nuovo compare nello studio, la questione della sua qualificazione si pone immediatamente anziché attendere la scadenza successiva, perché esiste un quadro per accoglierla.
Il presente articolo espone lo stato del diritto alla data di revisione. Non costituisce un parere e non sostituisce l'analisi di un professionista su una situazione determinata.