Una premessa di metodo, per onestà. In questo articolo non trovate numeri di articoli né date di applicazione. Non perché non esistano, ma perché il calendario di attuazione si articola su più passaggi, alcune parti si appoggiano a documenti tecnici ancora in lavorazione, e un articolo che riporta date a memoria diventa un articolo che disinforma. Per le scadenze che vi riguardano serve chi ha letto i testi aggiornati per il vostro caso. Per capire la direzione, i principi bastano.
Il primo principio: il rischio è nell'uso, non nella tecnologia
È l'idea che regge tutto l'impianto e va capita bene, perché ribalta il modo in cui le aziende pongono la domanda.
La domanda che ci fanno è: usiamo l'AI, siamo sotto il regolamento? La domanda giusta è: per fare cosa? Lo stesso identico modello, usato per suggerire titoli di articoli o per selezionare candidati a un posto di lavoro, sta in due mondi diversi. Nel primo caso non interessa quasi a nessuno. Nel secondo si tocca la vita delle persone e le regole diventano stringenti.
La conseguenza pratica: il censimento degli usi viene prima di qualunque adempimento. Molte aziende non sanno quali sistemi automatici stanno già prendendo decisioni sulle persone, perché quei sistemi sono arrivati dentro strumenti comprati per altro.
Il secondo principio: chi subisce una decisione ha diritto di saperlo
Se una persona interagisce con una macchina, deve poterlo capire. Se un contenuto è stato generato, deve essere riconoscibile. Se una decisione che la riguarda è stata presa o preparata da un sistema automatico, deve essere informata.
Non è un principio nuovo, è la trasparenza applicata a un contesto nuovo, e per la maggior parte delle aziende è la parte più facile da rispettare: si tratta di scrivere una frase in un punto visibile invece di sperare che nessuno chieda.
Il terzo principio: la sorveglianza umana deve essere reale
È il punto in cui si concentra la maggior parte del lavoro serio, ed è anche il più frainteso.
Mettere una persona che clicca approva su una lista di duecento decisioni al giorno non è sorveglianza umana. È un timbro. La sorveglianza è reale quando la persona ha davanti le informazioni per giudicare, ha il tempo materiale per farlo, ha l'autorità per ribaltare la decisione della macchina, e non viene valutata su una metrica che la spinge a non usarla mai.
È un requisito organizzativo travestito da requisito tecnico. Chi lo affronta comprando software risolve la parte facile.
Il quarto principio: la responsabilità corre lungo la catena
Chi costruisce un modello ha obblighi. Chi lo integra in un prodotto ne ha altri. Chi lo mette in mano ai propri dipendenti o ai propri clienti ne ha altri ancora, e sono i suoi, non quelli del fornitore.
È la parte che sorprende di più le piccole imprese, abituate all'idea che il software comprato sia un problema di chi lo vende. Qui non funziona così: se usate un sistema per decidere qualcosa che riguarda le persone, del come lo usate rispondete voi.
Il quinto principio: le proibizioni sono poche e nette
Il regolamento vieta alcuni usi in modo assoluto, e sono usi che riguardano la manipolazione del comportamento, lo sfruttamento delle vulnerabilità, certe forme di classificazione delle persone e certi tipi di riconoscimento biometrico. Un'azienda normale non li incrocia quasi mai.
Vale la pena dirlo perché la narrazione dominante presenta il regolamento come un divieto generalizzato. Non lo è. La quantità di applicazioni aziendali che ricadono nelle categorie vietate è piccola, e chi ci lavora dentro lo sa già.
Cosa fare, senza aspettare nessuno
Quattro cose, tutte utili anche se il regolamento non esistesse.
- L'elenco. Dove sta girando l'AI in azienda, dentro quali strumenti, su quali decisioni. Compresi i sistemi arrivati dentro software comprati per altro.
- La classificazione. Per ogni voce: tocca le persone? Se sì, in cosa? Chi può ribaltare la decisione? È l'esercizio che separa i tre casi che vi riguardano dai trenta che non vi riguardano.
- La documentazione minima. Per i sistemi che contano: a cosa serve, su quali dati lavora, cosa fa quando non sa rispondere, chi lo sorveglia, come si spegne. Una pagina per sistema.
- Il punto di controllo umano, con i denti. Una persona con l'autorità e il tempo di dire di no.
La posizione
L'obiezione che sentiamo più spesso è che il regolamento frenerà le imprese europee mentre altrove si corre. È un'obiezione seria e ha una parte di verità, soprattutto per chi costruisce modelli.
Per chi li usa, però, quasi tutto quello che il regolamento chiede coincide con quello che serve per non farsi male: sapere cosa avete in casa, saper spiegare cosa fa, tenere una persona nel punto in cui si decide. Sono le stesse cose che chiederebbe un buon direttore operativo. Il regolamento le rende obbligatorie, il che è fastidioso, ma non le rende sbagliate.
