L'Intelligenza Artificiale sta trasformando rapidamente i prodotti e i servizi ICT.

Centralini VoIP, sistemi di collaboration, videosorveglianza, controllo accessi e numerose altre soluzioni stanno acquisendo capacità che fino a pochi anni fa avrebbero richiesto attività manuali, personale dedicato o sistemi estremamente complessi.
Un sistema AI può, ad esempio, rispondere a una chiamata, interpretare una richiesta, produrre un riassunto, organizzare un appuntamento, interrogare una knowledge base, classificare informazioni, generare statistiche o supportare un operatore.
Nella videosorveglianza può consentire di individuare persone, veicoli, oggetti o comportamenti, effettuare ricerche evolute nelle registrazioni, generare eventi e supportare l'operatore nell'analisi di situazioni potenzialmente rilevanti.
L'AI può quindi rappresentare un importante strumento per aumentare l'efficienza, ridurre le attività ripetitive, migliorare la qualità dei servizi e contenere i costi.
La presenza di una funzionalità tecnologicamente disponibile non significa però che questa possa essere attivata e utilizzata indiscriminatamente in qualsiasi contesto.
Una telecamera può essere utilizzata esclusivamente per riprendere un'area oppure può analizzare ciò che accade al suo interno. Un centralino può semplicemente trasferire una chiamata oppure registrarla, trascriverla, analizzarla, riassumerla e consentire a un sistema AI di interagire direttamente con l'interlocutore o con altri sistemi aziendali.
Il prodotto può essere lo stesso. Il trattamento, il rischio e le conseguenti responsabilità possono essere completamente differenti.
Per questo motivo la conformità non può essere considerata esclusivamente un problema dell'utente finale. Produttore, distributore, partner, system integrator, installatore e utilizzatore finale partecipano, con ruoli differenti, alla stessa filiera tecnologica.
Il partner rappresenta spesso il punto di collegamento determinante tra le capacità tecnologiche del prodotto e il suo utilizzo concreto presso il cliente.
Per questo è importante che conosca almeno:

• quali funzionalità AI sono presenti;
• quali vengono effettivamente attivate;
• quali dati vengono acquisiti e trattati;
• dove vengono elaborati e conservati;
• se vengono effettuate registrazioni, trascrizioni, classificazioni o analisi;
• se il sistema interagisce direttamente con persone fisiche;
• quali decisioni o azioni può effettuare autonomamente;
• quali sono i limiti dichiarati dal produttore;
• quali configurazioni possono avere conseguenze privacy, lavoristiche o di cybersecurity;
• quando è necessario coinvolgere le figure competenti del cliente.

AI Act: trasparenza e competenza

Il Regolamento (UE) 2024/1689 – AI Act introduce un sistema di obblighi differenziato in funzione del tipo di sistema AI e del ruolo assunto dai diversi soggetti.
Un principio particolarmente importante è quello della conoscenza e consapevolezza nell'utilizzo dell'AI.

L'art. 4 disciplina l'AI literacy, collegando l'utilizzo dei sistemi AI a un adeguato livello di competenze delle persone che li utilizzano o ne gestiscono il funzionamento.
L'art. 13, con riferimento ai sistemi AI ad alto rischio, attribuisce particolare importanza alla trasparenza del funzionamento e alle informazioni e istruzioni destinate al deployer.
L'art. 50 introduce inoltre specifici obblighi di trasparenza per determinate applicazioni AI, tra cui i sistemi destinati a interagire direttamente con persone fisiche.

In determinate situazioni, quindi, l'interlocutore deve poter sapere che sta interagendo con un sistema AI. Un voicebot AI non dovrebbe essere semplicemente "acceso": deve essere configurato considerando anche il contesto nel quale verrà utilizzato e gli obblighi che ne possono derivare.

AI e GDPR

Quando un sistema AI tratta dati personali entra in gioco anche il Regolamento (UE) 2016/679 – GDPR.
Diventano quindi rilevanti, a seconda del trattamento effettuato, principi e obblighi quali:

art. 5 – liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione;
art. 6 – individuazione della base giuridica;
artt. 12-14 – trasparenza e informazione degli interessati;
art. 24 – responsabilizzazione del titolare;
art. 25 – Data Protection by Design e by Default;
art. 28 – rapporti tra titolare e responsabile del trattamento;
art. 32 – sicurezza del trattamento;
art. 35 – valutazione d'impatto sulla protezione dei dati quando il trattamento può presentare un rischio elevato.

Questo significa che la configurazione tecnica diventa parte integrante della conformità.

AI, videosorveglianza centralini VOIP e lavoratori

Particolare attenzione deve essere dedicata ai sistemi di AI installati negli ambienti di lavoro. La possibilità tecnica di riconoscere eventi, classificare comportamenti, effettuare ricerche avanzate o generare statistiche non implica automaticamente la liceità del loro utilizzo.
Quando le tecnologie consentono anche il controllo a distanza dell'attività dei lavoratori devono essere considerate, oltre al GDPR, le disposizioni dell'art. 4 della Legge 300/1970 – Statuto dei Lavoratori, con i relativi presupposti e procedure.

AI, cybersecurity e NIS2

L'AI non deve essere considerata separatamente dalla cybersecurity.
Un sistema AI può utilizzare API, servizi cloud, database, knowledge base, sistemi ERP/CRM, Google Workspace, Microsoft 365 o altri servizi esterni. Ogni integrazione può introdurre nuovi flussi di dati, credenziali, privilegi e dipendenze tecnologiche. Per i soggetti ai quali si applica la disciplina NIS2 assume particolare importanza anche il concetto di supply chain security. L'installatore, anche se non è un soggetto “importante NIS”, può essere coinvolto direttamente dal cliente il quale ha l'obbligo di valutare il fornitore.

L'art. 21, par. 2, lett. d), della Direttiva (UE) 2022/2555 include infatti tra le misure di gestione dei rischi di cybersicurezza la sicurezza della catena di approvvigionamento, compresi gli aspetti di sicurezza relativi ai rapporti tra il soggetto e i suoi fornitori o fornitori di servizi.