Esiste un momento preciso in cui una normativa abbandona la sua dimensione astratta per trasformarsi in un requisito operativo: il momento in cui essa compare all’interno di una richiesta di offerta o di un capitolato d’appalto. Chi collabora con la Pubblica Amministrazione osserva spesso come termini nuovi inizino ad apparire nei documenti di gara, trasformandosi rapidamente da semplici dettagli in dichiarazioni mandatorie e, infine, in condizioni necessarie per mantenere la propria competitività sul mercato. Questo scenario interessa oggi da vicino il nuovo regolamento europeo sull’intelligenza artificiale, l’AI Act, che spinge le aziende a interrogarsi non solo sulla funzionalità dei propri prodotti, ma sulla capacità di fornire evidenze documentali che ne attestino una gestione ordinata e consapevole.
L’efficacia di questa nuova governance si fonda sulla profonda complementarità tra l’AI Act e i quadri normativi relativi alla sicurezza delle informazioni, come la direttiva NIS2 e le qualificazioni fornite dall’Agenzia per la Cybersicurezza Nazionale (ACN). Sebbene le norme nascano con obiettivi specifici differenti, esse condividono una struttura metodologica comune basata sulla gestione del rischio, rendendo gli adempimenti per la cybersecurity e per l’intelligenza artificiale operativamente sinergici. Un’azienda che già adotta solidi standard di sicurezza informatica dispone delle basi metodologiche per rispondere ai requisiti di conformità richiesti per i sistemi algoritmici, poiché entrambi i percorsi richiedono una mappatura puntuale degli strumenti in uso e una chiara attribuzione delle responsabilità.
Questa sinergia è illustrata graficamente nel seguente schema, che evidenzia come il percorso verso la conformità segua passi logici identici per entrambi gli ambiti.
È evidente la necessità di superare la percezione della norma come mero adempimento burocratico. Operativamente, l’impresa deve innanzitutto definire se il proprio ruolo sia quello di fornitore, integratore o utilizzatore professionale, distinguendo tra le soluzioni adottate per processi interni e quelle destinate ai clienti. Tale classificazione permette di definire il livello di rischio del sistema, un passaggio che l’AI Act considera fondamentale per determinare quali obblighi di trasparenza e sicurezza applicare. All’interno dei capitolati, questa consapevolezza si traduce nella garanzia di qualità dei dati e nella mitigazione dei bias algoritmici, ovvero errori sistematici che potrebbero produrre risultati discriminatori o non equi.
Un altro elemento centrale della conformità risiede nella previsione di una supervisione umana significativa, definita spesso come human-in-the-loop. Il sistema deve essere progettato affinché l’operatore professionale possa comprendere e, se necessario, correggere l’output algoritmico, garantendo la comprensibilità delle decisioni assunte. Tale requisito è accompagnato dall’obbligo di mantenere log di utilizzo, ovvero registrazioni automatiche degli eventi del sistema, che assicurano la tracciabilità necessaria sia per le verifiche dell’AI Act sia per la gestione degli incidenti informatici prevista dalla NIS2. In Italia, il ruolo di vigilanza è affidato all’ACN, che agisce come autorità competente per entrambi i domini, rafforzando l’integrazione tra sicurezza cibernetica e intelligenza artificiale.
La rilevanza di questo quadro regolatorio si estende oltre i confini del settore pubblico, consolidandosi come un asset decisivo anche nelle relazioni commerciali tra privati.
In un mercato integrato, la conformità agisce come un criterio di selezione che permette di distinguere i fornitori consapevoli da operatori meno avveduti. Per un cliente, l’affidabilità dei partner IT è condizione necessaria per la continuità del business: la mancanza di requisiti minimi in un solo anello della filiera genera rischi di non conformità a catena che possono inficiare la regolarità delle attività del committente stesso.
In questo contesto, l’analisi del BOM (Bill of Materials), ovvero la scomposizione analitica di tutti i componenti hardware, software e dei servizi di terze parti che costituiscono una soluzione ICT, è diventata un prerequisito imprescindibile. Tale mappatura tecnica consente di verificare la provenienza e la robustezza di ogni elemento, garantendo che il servizio finale sia pienamente tracciabile lungo l’intero ciclo di vita, sottolineando come i concetti relativi al “Lifecycle Management” (gestione del ciclo di vita del prodotto dalla progettazione alla dismissione) e al “Supply Chain Management” (gestione e tracciatura di tutto ciò che compone un prodotto), pur essendo discipline assolutamente note e già da tempo praticate negli ambiti più orientati alla sicurezza fisica logica e funzionale, ora assurgano ad avere la massima considerazione anche per prodotti e soluzioni che prima non le contemplavano. Per fare un tipico esempio, si pensi a un software per la formazione degli studenti nelle scuole che introduca bias cognitivi negli utilizzatori tramite i contenuti generati da una AI proveniente da stakeholders non neutrali (anche solo per finalità di pubblicità occulta).
L’attenzione alla catena di approvvigionamento risponde anche a necessità di ordine geopolitico: l’attuale scenario internazionale suggerisce cautela nell’utilizzo di tecnologie provenienti da aree geografiche ritenute non affidabili e impone il rispetto di divieti incrociati di importazione ed esportazione legati a componenti critici. La predisposizione proattiva di una documentazione tecnica ordinata trasforma l’adempimento normativo in un valore strategico, assicurando alle imprese una pronta capacità di risposta e una solida reputazione di affidabilità nel mercato digitale europeo.
