Sorveglianza umana nei sistemi di Intelligenza Artificiale: obblighi, regole pratiche e checklist operativa

1. Che cos’è la sorveglianza umana nell’IA (Intelligenza Artificiale)

In sintesi, significa garantire che l’essere umano resti “al comando”.
Il riferimento principale è l’articolo 14 del Regolamento (UE) 2024/1689 (AI Act), che impone ai fornitori e utilizzatori di sistemi di IA ad alto rischio di assicurare una supervisione efficace durante tutto il ciclo di vita del sistema.
Il principio è coerente con il GDPR (art. 22), che tutela le persone contro decisioni completamente automatizzate prive di intervento umano significativo.

2. Quando la sorveglianza umana è obbligatoria?

L’obbligo riguarda, in particolare, i sistemi di IA ad alto rischio, ossia quelli che incidono su sicurezza, diritti fondamentali o accesso a servizi essenziali:

• Fornitori (provider): devono progettare e documentare meccanismi di sorveglianza, formando gli operatori e predisponendo strumenti di intervento (artt. 14, 16, 17 AI Act).
• Deployer (utilizzatori professionali): devono adottare concretamente tali misure e assicurare che chi interagisce col sistema di IA sia formato e consapevole dei limiti (art. 26 AI Act).
• Valutazione d’impatto sui diritti fondamentali: obbligatoria per determinati usi (art. 27 AI Act), da integrare con la DPIA prevista dal GDPR (art. 35).
• Sorveglianza continua: i fornitori devono attuare un piano di monitoraggio post-commercializzazione e segnalare eventuali incidenti gravi (artt. 72–73 AI Act).

A livello nazionale, la Legge 23 settembre 2025, n. 132 ribadisce l’obbligo di supervisione umana nei settori sanitario, lavorativo e pubblico.

3. Requisiti minimi e checklist operativa

3.1 Persone e ruoli

All’interno della propria organizzazione, è necessario identificare ruoli e responsabilità:

• Identificare referenti interni per la supervisione dell’IA.
• Formare il personale sull’uso consapevole e sui limiti del sistema di IA.
• Regolamentare poteri di intervento, sospensione o spegnimento.

3.2 Controlli e strumenti sull’intelligenza artificiale

Ecco i controlli e gli strumenti da utilizzare:

• Interfacce chiare e comprensibili per monitorare output e soglie di errore (art. 13–14 AI Act).
• Meccanismi di override manuale in caso di comportamenti anomali, quindi la possibilità per un essere umano di intervenire direttamente per modificare, sospendere o annullare le decisioni o le azioni di un sistema di IA.
• Registrazioni automatiche (log) per tracciare le decisioni (art. 19 AI Act).

3.3 Processi organizzativi e intelligenza artificiale

I processi organizzativi sono alla base dell’utilizzo di un sistema di intelligenza artificiale. E’ necessario stabilire e programmare:

• Procedure di escalation: se il rischio supera le soglie, l’intervento umano è obbligatorio.
• Verifiche periodiche di accuratezza e assenza di bias (distorsioni che influenzano un sistema di IA) (art. 15 AI Act).
• Gestione degli incidenti e segnalazioni alle autorità competenti (art. 73 AI Act).

Tutela dei dati personali

L’utilizzo di un sistema di IA comporta, quasi sempre, il trattamento di dati personali, sarà necessario:

• Applicare i principi di minimizzazione, esattezza e sicurezza (art. 5 GDPR).
• In presenza di decisioni automatizzate, garantire informazione chiara, intervento umano e possibilità di contestazione (art. 22 GDPR).
• In ambiti altamente qualificati, come i settori sanitario, legale o finanziario, garantire sempre intermediazione umana qualificata.

4 Applicazioni pratiche dell’intelligenza artificiale in alcuni settori (esempi)

4.1 Sanità

L’IA può assistere i medici, ma non sostituirli. Ogni decisione clinica deve rimanere sottoposta a verifica umana. Il Garante Privacy (comunicato “Referti medici e IA”) ha segnalato i rischi legati all’uso di chatbot generativi non certificati, ribadendo la necessità di un presidio umano qualificato.

4.2 Lavoro e HR

Nelle selezioni automatizzate o valutazioni di performance, i datori di lavoro devono garantire la presenza di un operatore umano che possa correggere, sospendere o annullare decisioni algoritmiche in violazione dei diritti fondamentali.

4.3 Pubblica amministrazione e scuola

Le Linee guida MIM 2025 richiedono trasparenza e controllo umano sull’uso dell’IA nelle attività didattiche e gestionali. Ogni decisione automatizzata che incida sugli studenti o sui cittadini deve essere sempre verificabile e modificabile da un operatore umano.

5. Prove di conformità e governance

• Dossier di conformità AI Act: documentazione tecnica, valutazioni di rischio, misure di controllo e tracciabilità.
• Audit periodici per verificare il funzionamento dei presidi di sorveglianza.
• Integrazione con il GDPR: la valutazione d’impatto sulla protezione dei dati (art. 35 GDPR) può essere integrata con la FRIA (Fundamental Rights Impact Assessment o Valutazione d’Impatto sui Diritti Fondamentali) prevista dall’art. 27 AI Act.
• Autorità competenti: in Italia, la vigilanza spetta al Garante Privacy e alle nuove autorità nazionali per l’intelligenza artificiale.

6. Errori da evitare

• Supervisione “di facciata”: l’operatore umano deve essere formato e realmente in grado di intervenire.
• Assenza di tracciabilità: senza log e registrazioni, è impossibile dimostrare la conformità.
• Black box: i sistemi devono fornire informazioni chiare su come e perché prendono una decisione.
• Decisioni totalmente automatizzate: vietate se incidono significativamente su persone fisiche senza possibilità di revisione umana, salve le ipotesi previste per legge (art. 22 GDPR).

7. Modello operativo

1. – Mappare i sistemi IA e i rischi associati.
2. – Definire ruoli e responsabilità della sorveglianza.
3. – Redigere procedure di intervento e fallback manuale.
4. – Implementare log (quindi i file di registrazione automatica che documentano le attività del sistema di IA: input ricevuti, decisioni prese, risultati generati, modifiche ai parametri, errori e interventi umani; servono per ricostruire “cosa è successo” in un dato momento) e audit trail (catena documentata e verificabile di tutte le operazioni effettuate sul sistema, compresi interventi umani, modifiche, aggiornamenti, risultati di test, incidenti e azioni correttive).
5. – Eseguire FRIA e DPIA coordinate.
6. – Comunicare in modo trasparente a utenti e dipendenti.
7. – Verificare periodicamente efficacia e conformità.

8. Considerazione finale

L’attuazione dell’AI Act segna l’inizio di una nuova fase regolatoria: la compliance all’intelligenza artificiale non è solo tecnica, ma anche giuridica.
Per imprese e pubbliche amministrazioni è oggi essenziale essere assistiti da avvocati esperti di IA e protezione dei dati, capaci di tradurre i requisiti legali in processi aziendali concreti.
Solo una consulenza qualificata può garantire lo sviluppo di un business innovativo ma sostenibile e conforme, in linea con i valori di trasparenza, sicurezza e centralità dell’essere umano sanciti dal nuovo AI Act europeo.

5 novembre 2025

avv. Gianfranco Leggio