I ruoli nell'AI Act spiegati: la vostra azienda di moda è fornitore o deployer?

La maggior parte delle aziende di moda è deployer ai sensi dell'AI Act dell'UE, perché utilizza sistemi di IA sviluppati da fornitori di tecnologia. Un'azienda diventa fornitore quando sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. La distinzione conta perché gli obblighi più onerosi dell'Act ricadono sui fornitori, e un deployer può scivolare in quel ruolo più facilmente di quanto molti team si aspettino.

Che cosa significano fornitore e deployer nell'AI Act?

L'articolo 3 dell'Act definisce fornitore qualsiasi persona, società, autorità pubblica o altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. Non fa differenza se ciò avviene a pagamento o a titolo gratuito. Un deployer è qualsiasi persona od organizzazione che utilizza un sistema di IA sotto la propria autorità, tranne quando l'uso è puramente personale e non professionale.

Le definizioni riguardano la condotta, non il tipo di azienda. Un gruppo globale della moda, un grossista regionale e un marchio start-up sono valutati allo stesso modo. Nella catena di fornitura esistono altri due ruoli: l'importatore è un soggetto con sede nell'UE che immette sul mercato dell'UE un sistema di IA che reca il nome o il marchio di una società stabilita al di fuori dell'UE, e il distributore è un partecipante alla catena di fornitura, diverso dal fornitore o dall'importatore, che mette a disposizione un sistema sul mercato dell'UE.

Quale ruolo rivestono di solito le aziende di moda?

Un'azienda che prende in licenza una funzione di IA all'interno della propria piattaforma PLM, di merchandising, e-commerce o CRM e la utilizza così come viene consegnata è normalmente un deployer. Il fornitore del software è il fornitore. Questo copre la maggior parte dei casi quotidiani: previsione della domanda, tagging automatico dei prodotti, strumenti di generazione di immagini, motori di raccomandazione e assistenti per il servizio clienti forniti da terzi.

I ruoli si valutano per sistema, non per azienda. Un brand può essere deployer del proprio motore di previsione e, allo stesso tempo, fornitore di un assistente di styling che ha commissionato e lanciato con il proprio marchio. I contratti aiutano a ripartire le responsabilità, ma non cambiano il modo in cui l'Act classifica i ruoli.

Leggi anche

Una policy di uso accettabile dell'IA per i team della moda: una checklist

Quando un deployer diventa fornitore?

L'articolo 25 individua tre situazioni in cui un distributore, importatore, deployer o altro terzo è considerato fornitore di un sistema di IA ad alto rischio e assume gli obblighi del fornitore ai sensi dell'articolo 16:

• Marchio: applica il proprio nome o marchio a un sistema ad alto rischio già immesso sul mercato o messo in servizio (i contratti possono comunque ripartire gli obblighi in modo diverso).
• Modifica sostanziale: apporta una modifica sostanziale a un sistema ad alto rischio dopo che è stato immesso sul mercato o messo in servizio, e il sistema resta ad alto rischio.
• Cambio della finalità prevista: modifica la finalità prevista di un sistema che non era classificato come ad alto rischio, compreso un sistema di IA per finalità generali, in modo che diventi ad alto rischio.

Il terzo caso merita attenzione. È improbabile che un modello per finalità generali usato per scrivere testi sia ad alto rischio. Lo stesso modello usato per classificare i candidati a un impiego rientra nella categoria occupazione dell'allegato III, e l'azienda che lo reindirizza può essere trattata come fornitore di un sistema ad alto rischio. Oggi pochi casi d'uso della moda sono ad alto rischio, ma tra questi rientrano gli strumenti per le risorse umane e alcune funzioni di gestione della forza lavoro.

Che cosa deve fare ciascun ruolo?

Gli obblighi variano in base al ruolo e al livello di rischio. Per i sistemi ad alto rischio, l'articolo 26 chiede ai deployer, tra l'altro, di usare il sistema secondo le istruzioni del fornitore, di affidare la sorveglianza umana a persone competenti, di assicurarsi che i dati di input sotto il loro controllo siano pertinenti e sufficientemente rappresentativi, di monitorare il funzionamento, di conservare per almeno sei mesi i log sotto il loro controllo e di informare i lavoratori e i loro rappresentanti prima di utilizzare un tale sistema sul luogo di lavoro. Devono anche informare le persone soggette a determinate decisioni che è in uso un sistema ad alto rischio. I fornitori portano il carico più pesante in termini di progettazione, documentazione e obblighi di conformità ai sensi dell'articolo 16.

Alcuni obblighi si applicano indipendentemente dalla classe di rischio. L'articolo 4 chiede a fornitori e deployer di adottare misure per sostenere l'alfabetizzazione in materia di IA del proprio personale e di altre persone che operano sistemi di IA per loro conto, tenendo conto delle loro conoscenze, esperienza e contesto. Non impone un livello garantito di alfabetizzazione per ogni singolo individuo. Anche gli obblighi di trasparenza dell'articolo 50, come informare le persone che stanno parlando con una macchina, si applicano ai sistemi al di fuori della categoria ad alto rischio, e l'Act stabilisce obblighi diversi per fornitori e deployer ai sensi di tale articolo.

L'AI Act si applica alle aziende di moda extra-UE?

Sì, in casi definiti. L'articolo 2 riguarda i fornitori che immettono sistemi di IA sul mercato dell'UE ovunque siano stabiliti, i deployer situati nell'UE e i fornitori e deployer di un paese terzo quando l'output prodotto dal sistema di IA è utilizzato nell'Unione. Un marchio extra-UE che gestisce un sistema di personalizzazione o di pricing che interessa clienti dell'UE dovrebbe quindi valutare la propria posizione invece di presumere che l'Act sia una questione europea. L'Act lascia inoltre impregiudicato il diritto dell'UE in materia di protezione dei dati, quindi gli obblighi del GDPR continuano ad applicarsi in parallelo.

Leggi anche

Il calendario dell'AI Act dopo il digital omnibus: che cosa si applica e che cosa è slittato

Come può un'azienda di moda stabilire in pratica il proprio ruolo?

Il passo più pratico è un breve inventario. Per ogni sistema di IA in uso, annotate chi lo ha costruito, quale nome reca, se è stato adattato e per quale scopo è concepito. Poi rispondete in ordine a quattro domande:

1. Abbiamo sviluppato questo sistema o lo abbiamo fatto sviluppare, e reca il nostro nome o marchio?
2. Lo abbiamo modificato in modo sostanziale dopo il rilascio da parte del fornitore?
3. Lo abbiamo orientato a uno scopo diverso da quello previsto dal fornitore, in particolare nella selezione del personale o nella gestione della forza lavoro?
4. Il suo output è utilizzato nell'UE, indipendentemente da dove ci troviamo?

Se la risposta alle prime tre domande è no, l'azienda è con ogni probabilità un deployer. Ogni sì merita una verifica legale più approfondita. L'ufficio acquisti è il luogo naturale in cui inserire questo controllo, insieme alla richiesta ai fornitori della dichiarazione sulla finalità prevista, delle istruzioni per l'uso e della classificazione del rischio.