La norma UNI 11621-8 definisce le competenze e i ruoli professionali legati all’intelligenza artificiale, tra cui il Chief AI Officer e l’AI Consultant. Questi profili rilevano direttamente per i clienti dello studio che adottano sistemi AI, perché determinano chi è responsabile delle scelte tecnologiche e quindi chi risponde in caso di danno o inadempimento. L’AI Act europeo rafforza questa catena di responsabilità imponendo obblighi specifici agli operatori AI per categoria di rischio.
Punti chiave
- La norma UNI 11621-8 definisce il Chief AI Officer come responsabile della governance AI aziendale.
- L’AI Act UE assegna obblighi distinti a deployer e provider di sistemi AI ad alto rischio.
- Nei contratti con fornitori AI, identificare il ruolo UNI 11621-8 del contraente riduce il rischio di lacune sulla responsabilità.
Se un cliente ti chiede di redigere un contratto con un fornitore di servizi AI, o di valutare la responsabilità interna per un sinistro causato da un sistema automatizzato, devi sapere chi, dentro quella struttura, ha il potere e il dovere di governare quella tecnologia. Senza questa mappa dei ruoli, qualsiasi clausola di manleva o di attribuzione della responsabilità rischia di essere inutile.
La norma UNI 11621-8, pubblicata dall’Ente Italiano di Normazione, definisce per la prima volta in modo sistematico le figure professionali dell’intelligenza artificiale nel contesto italiano, con particolare attenzione al Chief AI Officer e all’AI Consultant. Questo standard si inserisce nel quadro dell’AI Act europeo (Regolamento UE 2024/1689), già in vigore e applicabile in fasi progressive fino al 2027.
Il contesto normativo
Il Regolamento UE 2024/1689 (AI Act), all’art. 26, impone ai deployer di sistemi AI ad alto rischio obblighi precisi: adottare misure tecniche e organizzative adeguate, assegnare la supervisione umana a persone con competenza e autorità sufficienti, e conservare i log automatici per almeno sei mesi. L’art. 25 disciplina invece il riparto di obblighi tra provider e deployer, stabilendo chi risponde di cosa lungo la catena di distribuzione. In questo schema, identificare il Chief AI Officer come referente interno equivale a individuare il soggetto su cui gravitano le obbligazioni organizzative previste dalla norma europea.
Sul piano del diritto nazionale, il d.lgs. 231/2001 resta rilevante: l’adozione di un sistema AI senza una governance documentata e ruoli definiti può configurare una lacuna nel modello organizzativo, con potenziale responsabilità amministrativa dell’ente. La norma UNI 11621-8, pur non essendo cogente, diventa uno standard di riferimento per valutare l’adeguatezza di quel modello.
Cosa cambia per lo studio
- Contratti con fornitori AI: inserisci clausole che identifichino espressamente il ruolo UNI 11621-8 del contraente (provider o deployer) e l’eventuale presenza di un Chief AI Officer, perché questo determina chi risponde degli obblighi ex art. 25 e 26 AI Act.
- Due diligence aziendale: nelle operazioni di M&A o nei mandati di consulenza a imprese che usano AI, verifica se esiste una funzione di AI governance documentata. L’assenza di ruoli definiti è un rischio 231 che incide sulla valutazione dell’ente.
- Responsabilità da prodotto e da attività pericolosa: se un sistema AI causa un danno, la figura del Chief AI Officer diventa il primo punto di riferimento per ricostruire la catena decisionale, rilevante ai fini degli artt. 2043 e 2050 c.c.
- Consulenza del lavoro integrata: la norma UNI 11621-8 definisce anche i profili dell’AI Consultant e dell’AI Specialist. I contratti di assunzione o di collaborazione per queste figure devono riflettere le competenze standardizzate, anche ai fini della qualificazione fiscale del rapporto.
- Sistemi AI interni allo studio: se usi strumenti AI per la ricerca giuridica o la redazione di atti, la norma suggerisce di designare internamente un referente con funzioni di supervisione, riducendo il rischio di violazioni del segreto professionale e della riservatezza dei dati del cliente.
Attenzione a
Non confondere la norma UNI con un obbligo di legge. La UNI 11621-8 è uno standard volontario: nessuna sanzione diretta per chi non la rispetta. Il problema nasce quando uno standard tecnico riconosciuto diventa il metro di giudizio della colpa in un contenzioso: il giudice può usarlo per valutare se il comportamento dell’ente era conforme alla diligenza professionale richiesta dall’art. 1176 c.c.
Attenzione alla sovrapposizione con il GDPR. Il Chief AI Officer e il Data Protection Officer hanno perimetri distinti ma spesso si sovrappongono quando il sistema AI tratta dati personali. Nei contratti e nei modelli organizzativi, chiarire le rispettive competenze evita vuoti di responsabilità che il Garante potrebbe contestare ai sensi dell’art. 5, par. 2, del Regolamento UE 2016/679 (principio di accountability).
Domande frequenti
Il Chief AI Officer è una figura obbligatoria per legge in Italia?
No. La norma UNI 11621-8 è uno standard volontario, non cogente. L’obbligo di designare una funzione di supervisione AI ad alto rischio deriva invece dall’art. 26 dell’AI Act (Reg. UE 2024/1689), che si applica ai deployer di sistemi classificati ad alto rischio. Per le aziende soggette al d.lgs. 231/2001, l’assenza di ruoli AI definiti può comunque rilevare come lacuna nel modello organizzativo.
Come si redige una clausola contrattuale che tenga conto dei ruoli AI definiti dalla norma UNI?
La clausola deve identificare se il contraente agisce come provider o deployer ai sensi dell’AI Act, indicare il referente interno responsabile della governance AI (idealmente il Chief AI Officer), e stabilire chi conserva i log di sistema per il periodo minimo di sei mesi previsto dall’art. 26 AI Act. Aggiungi una rappresentazione e garanzia sulla conformità allo standard UNI 11621-8 se il fornitore lo dichiara nel marketing.
Un sistema AI che causa un danno: chi risponde tra provider e deployer secondo l’AI Act?
L’art. 25 del Reg. UE 2024/1689 stabilisce un riparto di responsabilità basato sul controllo effettivo del sistema. Il provider risponde della conformità del sistema all’atto dell’immissione sul mercato; il deployer risponde dell’uso concreto e della supervisione umana. In caso di danno, la catena decisionale interna — incluso il ruolo del Chief AI Officer — diventa prova determinante per stabilire dove si è verificata la condotta negligente rilevante anche ex art. 2050 c.c.
Fonte di riferimento: AgendaDigitale