Whistleblowing e AI Act: quando segnalare significa proteggere persone e organizzazioni

A cura dell'Avv. Cecilia Tanzi

L’intelligenza artificiale è entrata nella vita quotidiana delle imprese. Viene utilizzata per selezionare candidati, assistere i clienti, analizzare dati, valutare rischi e produrre contenuti. Ma quando una tecnologia incide sulle persone, diventa essenziale anche poter segnalare rapidamente errori, abusi e violazioni.

È in questo punto che si incontrano AI Act e whistleblowing. Il regolamento europeo sull’intelligenza artificiale stabilisce espressamente che la disciplina europea a tutela dei whistleblower si applichi anche alle segnalazioni di violazioni dell’AI Act (art. 87 AI Act). In Italia, il riferimento è il d.lgs. 24/2023.

Un nuovo oggetto, non un nuovo canale

L’AI Act non crea un canale autonomo di whistleblowing. Rende, piuttosto, le violazioni delle regole sull’intelligenza artificiale un possibile oggetto delle segnalazioni effettuate attraverso i canali già previsti dalla legge.

Chi lavora con questi sistemi può trovarsi, prima di altri, nella posizione di riconoscere una criticità: una pratica vietata, un sistema utilizzato in modo diverso da quello previsto, controlli insufficienti, informazioni non corrette agli utenti o un incidente gestito in ritardo.

La segnalazione non è però una tutela automatica per qualsiasi contestazione. Per rientrare nella disciplina italiana, deve riguardare una violazione che incida sull’interesse pubblico o sull’integrità dell’amministrazione o dell’ente e deve essere collegata a informazioni acquisite in un contesto lavorativo. Restano fuori, tra l’altro, le doglianze riferite esclusivamente a interessi personali.

La protezione può riguardare non soltanto i dipendenti. In presenza dei presupposti previsti dalla legge, può estendersi anche a consulenti, professionisti, collaboratori, lavoratori autonomi, tirocinanti, volontari, azionisti e persone che svolgono funzioni di amministrazione, direzione, controllo o vigilanza. Può inoltre operare quando le informazioni sono state acquisite durante la selezione, nel periodo di prova o dopo la cessazione del rapporto (d.lgs. 24/2023).

Segnalazione, reclamo e incidente non sono la stessa cosa

Nel linguaggio comune si tende a chiamare “segnalazione” qualsiasi comunicazione di una possibile violazione. Il quadro europeo distingue, invece, strumenti diversi.

Il whistleblowing nasce nel contesto lavorativo e consente di attivare le garanzie previste dalla disciplina applicabile. Il reclamo all’autorità di vigilanza può essere presentato, invece, da qualsiasi persona fisica o giuridica che ritenga violato l’AI Act, anche senza avere un rapporto di lavoro con l’organizzazione interessata.

Esiste poi la comunicazione degli incidenti gravi, che grava sugli operatori obbligati e deve essere indirizzata alle autorità competenti secondo le regole e i termini stabiliti dal regolamento. Se un lavoratore ritiene che un incidente sia stato occultato, minimizzato o non comunicato, questa condotta può diventare oggetto di una segnalazione whistleblowing. La segnalazione, tuttavia, non sostituisce l’adempimento che l’AI Act pone direttamente a carico dell’operatore.

Questa distinzione è importante anche sul piano organizzativo: un canale whistleblowing deve poter ricevere la segnalazione, ma l’azienda deve disporre anche di procedure autonome per valutare gli incidenti, informare i soggetti competenti e adottare le misure correttive necessarie.

Che cosa può segnalare chi lavora con l’IA

Le situazioni possono essere molto concrete. Si pensi a un sistema che prende parte a decisioni sul personale senza controlli adeguati, a un’interazione con un chatbot senza informare l’utente, a contenuti generati artificialmente presentati come autentici o a un sistema di riconoscimento delle emozioni utilizzato senza le informazioni richieste.

La segnalazione può riguardare anche la mancata gestione dei rischi, l’assenza di sorveglianza umana, l’uso di dati non pertinenti, la conservazione incompleta delle registrazioni o la trasmissione di informazioni inesatte alle autorità.

Non è necessario che chi segnala svolga una valutazione tecnica definitiva. È sufficiente che disponga di informazioni concrete e che agisca secondo le condizioni previste dalla disciplina whistleblowing. Sarà poi l’organizzazione, attraverso le funzioni competenti, a verificare i fatti e a stabilire quali iniziative assumere.

Riservatezza e protezione dalle ritorsioni

Le segnalazioni in materia di IA possono contenere informazioni particolarmente delicate: codice sorgente, dati utilizzati per addestrare il sistema, documentazione tecnica, dati personali e segreti commerciali. Per questo la gestione deve essere affidata a persone competenti e autorizzate, limitando l’accesso alle sole informazioni necessarie per l’istruttoria.

La disciplina del whistleblowing tutela la riservatezza dell’identità del segnalante e richiede che, al momento della segnalazione, egli abbia fondati motivi per ritenere vere le informazioni e utilizzi le modalità previste dalla legge. È inoltre vietata qualsiasi ritorsione, dal licenziamento al demansionamento, dalle sanzioni disciplinari al peggioramento delle condizioni di lavoro.

La protezione non significa che ogni segnalazione debba essere confermata. Significa che chi segnala in buona fede, sulla base di elementi concreti e attraverso i canali corretti, non deve subire conseguenze pregiudizievoli per aver portato una possibile violazione all’attenzione dell’organizzazione.

Una responsabilità organizzativa

Per le imprese, il tema non si esaurisce nella predisposizione formale di un canale. Il canale deve dialogare con chi si occupa di gestione dei rischi, sicurezza informatica, protezione dei dati, compliance e gestione degli incidenti.

Una procedura efficace dovrebbe chiarire chi riceve la segnalazione, chi valuta gli aspetti tecnici, quando devono essere coinvolti il fornitore o il deployer e quando occorre informare l’autorità competente. Dovrebbe inoltre garantire la protezione delle informazioni e la prevenzione di qualsiasi ritorsione.

Il collegamento tra AI Act e whistleblowing porta così nel sistema di conformità la voce di chi lavora concretamente con l’intelligenza artificiale. Una segnalazione tempestiva non sostituisce gli obblighi previsti dal regolamento, ma può aiutare l’organizzazione a individuare prima le anomalie, correggere i processi e proteggere le persone coinvolte.

La sfida, in definitiva, non è soltanto avere un canale di segnalazione. È renderlo comprensibile, affidabile e capace di trasformare un’informazione in una verifica concreta.