Supervisione Umana AI: come Evitare il Rubber-Stamping e Documentare l'Oversight

Fonti: Reg. UE 2024/1689 (AI Act) Art. 14 — Supervisione umana · Reg. UE 2024/1689 Art. 26, par. 2 — Obblighi del Deployer sulla supervisione · Bollettino ADAPT — L'illusione del controllo umano nei sistemi IA · Legge 23 settembre 2025, n. 132 · EDPB — Guidelines on automated decision-making

La supervisione umana è uno dei requisiti più citati dell'AI Act e uno dei meno compresi nella sua applicazione pratica. La maggior parte delle aziende che hanno implementato sistemi AI ad alto rischio dichiara di averla istituita: un workflow che include un passaggio di approvazione umana prima che la decisione algoritmica diventi effettiva. Nella pratica, questa approvazione è quasi sempre un passaggio formale in cui il dipendente designato non dispone delle competenze, delle informazioni o del tempo per esaminare criticamente la raccomandazione del sistema. Questo è il rubber-stamping: conforme nella forma, non nella sostanza, e sanzionabile. Per il contesto normativo completo sulla FRIA e la DPIA, si veda la guida alla valutazione integrata DPIA+FRIA. Per la spiegabilità degli output che il supervisore deve saper interpretare, si veda la guida alla spiegabilità algoritmica e Legge 132/2025.

Cosa impone l'Art. 14 AI Act sulla supervisione umana

L'Art. 14 AI Act definisce la supervisione umana come l'insieme delle misure che consentono alle persone che effettuano il monitoraggio di:

1. Comprendere appieno le capacità e i limiti del sistema AI supervisionato, incluse le sue aree di incertezza e i tipi di errore che può produrre
2. Rilevare le deviazioni dagli obiettivi originari e i comportamenti inattesi, in particolare quando il sistema opera in condizioni diverse da quelle del training
3. Tenere adeguatamente in considerazione il fenomeno dell'automation bias (la tendenza umana a fidarsi acriticamente dell'output algoritmico) e a non affidarsi eccessivamente all'output del sistema per prendere le decisioni
4. Interrompere il funzionamento del sistema con un dispositivo di arresto d'emergenza (stop-button), fisico o digitale, ogni volta che ciò sia necessario
5. Non intervenire sull'output del sistema quando questo potrebbe compromettere la salute, la sicurezza o i diritti fondamentali delle persone interessate

L'Art. 26, par. 2 AI Act aggiunge che il Deployer deve assegnare la funzione di supervisione umana a persone fisiche con la competenza, la formazione e l'autorità necessarie. I tre requisiti sono cumulativi: la sola autorità gerarchica senza competenza tecnica non basta; la competenza tecnica senza autorità di intervento non basta.

Il rubber-stamping: perché è sanzionabile

Il rubber-stamping si configura quando il passaggio di approvazione umana è presente nel workflow ma privo di sostanza reale. I segnali di rubber-stamping più frequenti rilevati durante ispezioni e due diligence:

Nessuna formazione specifica del supervisore. Il dipendente designato alla supervisione non ha ricevuto formazione sul sistema AI supervisionato: non conosce il tipo di errori che può produrre, le situazioni in cui è meno affidabile, le variabili su cui basa le sue raccomandazioni. Non ha la competenza richiesta dall'Art. 14.

Nessuna documentazione degli interventi. Se il supervisore esercita realmente la supervisione, deve a volte dissentire dall'output del sistema e documentare perché. Un registro di approvazioni senza mai un'override è statisticamente improbabile e costituisce evidenza di rubber-stamping.

Nessuna procedura per l'interruzione del sistema. Il supervisore non conosce come arrestare o segnalare il malfunzionamento del sistema. La funzione di stop-button richiesta dall'Art. 14 non è stata istituita o comunicata.

Tempi di approvazione incompatibili con la revisione critica. Se il sistema produce centinaia di decisioni al giorno e il supervisore approva in blocco ogni ora, i tempi matematicamente non consentono l'esame individuale di ciascuna. Questo è documentabile e costituisce prova di supervisione non reale.

Cosa è supervisione umana significativa: il modello operativo

Una supervisione umana che soddisfi i requisiti dell'Art. 14 AI Act prevede:

Formazione documentata sul sistema specifico. Non basta la formazione generica sull'AI: il supervisore deve ricevere formazione specifica sul sistema che supervisiona. La formazione deve includere: come funziona il modello, quali sono i suoi errori tipici, quali input producono output inaffidabili, come interpretare gli indicatori di confidenza dell'output. La formazione deve essere documentata con test di verifica dell'apprendimento.

Accesso agli indicatori di confidenza. Il supervisore deve poter vedere non solo la raccomandazione del sistema (es. "approvato" o "rifiutato") ma anche il livello di confidenza della previsione e i fattori che hanno maggiormente influenzato l'output. Un'interfaccia che mostra solo il risultato binario non consente supervisione critica.

Procedura per l'override documentata. Deve esistere una procedura scritta che specifica: quando il supervisore può ignorare la raccomandazione del sistema, come documentare l'override e le motivazioni, a chi riferire gli override sistematici che potrebbero indicare un malfunzionamento del sistema.

Registro degli override. Ogni intervento del supervisore che modifica o annulla la raccomandazione del sistema deve essere registrato con timestamp, motivazione e identità del supervisore. Questo registro è la prova documentale che la supervisione è reale.

Limiti di volume compatibili con la revisione. Definire un numero massimo di decisioni che un singolo supervisore può esaminare in un periodo di tempo definito. Superare questo limite significa delegare la supervisione al sistema AI stesso.

Chi deve essere il supervisore umano

L'Art. 26, par. 2 AI Act richiede che la supervisione sia affidata a persone con competenza, formazione e autorità. In termini organizzativi:

Competenza: il supervisore deve avere un background sufficiente per comprendere il dominio applicativo del sistema. Un medico supervisiona un sistema di diagnosi assistita; un responsabile del credito supervisiona un sistema di credit scoring; un HR manager con conoscenza delle norme antidiscriminazione supervisiona uno screening CV.

Formazione: specifica sul sistema supervisionato, aggiornata ogni volta che il sistema viene modificato in modo significativo.

Autorità: il supervisore deve avere la facoltà concreta di ignorare la raccomandazione del sistema senza che questa scelta produca conseguenze negative per lui. Se la struttura aziendale di fatto sanziona chi disattende sistematicamente il sistema AI (perché "rallenta il processo" o "ha un tasso di approvazione diverso dal modello"), l'autorità è nominale, non reale.

Cosa verificano Garante e investitori sulla supervisione umana

In sede di ispezione, il Garante Privacy e l'ACN (per gli aspetti AI Act) chiedono:

• Il documento di designazione nominale del supervisore umano
• La prova della formazione specifica ricevuta (attestati, test)
• Il registro degli interventi di supervisione e degli override
• La procedura di arresto d'emergenza e la prova che il supervisore la conosce

In sede di due diligence pre-investimento, i fondi VC chiedono gli stessi documenti. Un'azienda che non può produrli dimostra di avere un sistema ad alto rischio AI Act in esercizio senza la supervisione richiesta dalla legge: questo è un red flag che può bloccare o condizionare il round.

Articolo aggiornato al 27 maggio 2026. Le disposizioni sull'obbligo di supervisione umana (Art. 14 AI Act) sono pienamente applicabili ai sistemi ad alto rischio dal 2 agosto 2026. Per supporto specifico, contatta lo studio.