Prova del settore Intelligenza artificiale EPSO: 10 domande al ritmo dell’esame

Scarica le 10 domande in PDF →

Cosa copre la prova del settore — la guida completa → · Scheda del concorso e scadenze →

Le dieci domande, con risposte e fonti

Le stesse dieci domande con risposte e fonti, da leggere e per i motori di ricerca. Domande vere della banca EU-now, scritte a partire dai testi ufficiali. Senza account.

1. 1. Un’azienda vuole implementare un sistema di IA che deduce le emozioni dei dipendenti dalla webcam per misurarne il coinvolgimento durante l’orario di lavoro. Ai sensi dell’articolo 5 del regolamento (UE) 2024/1689 (regolamento sull’IA), ciò è:

   • A Consentito come uso ad alto rischio dell’allegato III, subordinato a una valutazione della conformità e alla sorveglianza umana.
   • B Consentito se i dipendenti danno il consenso esplicito ai sensi del GDPR e le rappresentanze del personale vengono consultate.
   • C Vietato: dedurre le emozioni sul luogo di lavoro è proibito, salvo che sia destinato a fini medici o di sicurezza.
   • D Vietato solo se le immagini sono usate anche per l’identificazione biometrica remota di ciascun dipendente.
   Risposta corretta: C

   L’articolo 5, paragrafo 1, lettera f), del regolamento sull’IA vieta l’immissione sul mercato, la messa in servizio o l’uso di sistemi di IA per dedurre le emozioni di una persona fisica nel luogo di lavoro e negli istituti di istruzione, salvo che il sistema sia destinato a motivi medici o di sicurezza. Misurare il coinvolgimento non rientra in nessuno dei due. I divieti dell’articolo 5 si applicano dal 2 febbraio 2025. Fonte: regolamento (UE) 2024/1689, articolo 5, paragrafo 1, lettera f), e articolo 113.

   • A — L’allegato III classifica ad alto rischio il riconoscimento delle emozioni solo dove l’uso è consentito; sul lavoro lo vieta l’articolo 5, paragrafo 1, lettera f).
   • B — Né il consenso ai sensi del GDPR né la consultazione delle rappresentanze del personale rimuovono un divieto del regolamento sull’IA.
   • C — Corretto: vietato sul luogo di lavoro salvo per motivi medici o di sicurezza.
   • D — Il divieto non dipende dall’identificazione biometrica; riguarda la deduzione delle emozioni in quanto tale.

2. 2. Secondo l’articolo 51 del regolamento sull’IA, quando si presume che un modello di IA per finalità generali abbia capacità di impatto elevato e quindi presenti un rischio sistemico?

   • A Quando ha più di un miliardo di parametri ed è in grado di svolgere con competenza un’ampia gamma di compiti distinti.
   • B Quando il calcolo cumulativo usato per il suo addestramento, misurato in operazioni in virgola mobile, supera 10^25.
   • C Quando è offerto a più di 10 000 utenti professionali nell’Unione, anche se addestrato con poca potenza di calcolo.
   • D Solo quando il consiglio per l’IA lo designa a maggioranza dei due terzi, dopo una segnalazione qualificata del gruppo di esperti scientifici.
   Risposta corretta: B

   L’articolo 51, paragrafo 2, del regolamento sull’IA presume capacità di impatto elevato quando il calcolo cumulativo di addestramento, misurato in operazioni in virgola mobile, supera 10^25. La Commissione può adeguare le soglie con atti delegati e designare un modello in base ai criteri dell’allegato XIII. I fornitori di tali modelli assumono gli obblighi aggiuntivi dell’articolo 55 (valutazione, test contraddittori, segnalazione degli incidenti, cibersicurezza). Fonte: regolamento (UE) 2024/1689, articoli 51 e 55.

   • A — La generalità rende un modello un modello per finalità generali; la presunzione di rischio sistemico si basa sul calcolo di addestramento, non sul numero di parametri.
   • B — Corretto: più di 10^25 FLOP di calcolo cumulativo di addestramento.
   • C — La portata è un criterio dell’allegato XIII che la Commissione valuta quando designa un modello; non fa scattare la presunzione dell’articolo 51, paragrafo 2.
   • D — La designazione è una decisione della Commissione, d’ufficio o dopo una segnalazione qualificata del gruppo di esperti scientifici; il consiglio non la vota.

3. 3. Il regolamento (UE) 2026/1744 (omnibus digitale sull’IA) ha modificato il calendario del regolamento sull’IA. Da quando si applicano i requisiti del capo III, sezioni da 1 a 3, a un sistema di IA ad alto rischio dell’allegato III, come uno strumento di selezione del personale?

   • A Dal 2 agosto 2026, la data originaria, che l’omnibus ha lasciato invariata per i sistemi dell’allegato III.
   • B Dal 2 febbraio 2025, insieme alle pratiche vietate e all’obbligo di alfabetizzazione in materia di IA.
   • C Dal 2 agosto 2028 per tutti i sistemi ad alto rischio, che rientrino nell’allegato III o nell’allegato I.
   • D Dal 2 dicembre 2027; i sistemi integrati in prodotti dell’allegato I seguono il 2 agosto 2028.
   Risposta corretta: D

   L’omnibus digitale sull’IA sostituisce la data di applicazione del capo III, sezioni 1, 2 e 3 (salvo l’articolo 6, paragrafo 5), con il 2 dicembre 2027 per i sistemi di IA classificati ad alto rischio ai sensi dell’articolo 6, paragrafo 2, e dell’allegato III, e con il 2 agosto 2028 per quelli classificati ai sensi dell’articolo 6, paragrafo 1, e dell’allegato I. Le pratiche vietate e l’obbligo di alfabetizzazione in materia di IA si applicano dal 2 febbraio 2025. Fonte: regolamento (UE) 2026/1744, che modifica l’articolo 113 del regolamento (UE) 2024/1689.

   • A — Il 2 agosto 2026 era la data originaria; l’omnibus l’ha spostata.
   • B — Febbraio 2025 è la data dei capi I e II (divieti, alfabetizzazione in materia di IA), non dei requisiti ad alto rischio.
   • C — Il 2028 vale solo per i sistemi integrati in prodotti dell’allegato I.
   • D — Corretto: 2 dicembre 2027 (allegato III) e 2 agosto 2028 (allegato I).

4. 4. Un ministero usa un sistema di IA generativa per produrre un video realistico di un portavoce che legge una dichiarazione, e un chatbot per rispondere ai cittadini. Quali obblighi dell’articolo 50 del regolamento sull’IA si applicano, e a chi?

   • A Il fornitore deve marcare gli output come generati dall’IA, il ministero deve dichiarare il deep fake e il chatbot deve avvisare che è un’IA.
   • B Il ministero deve registrare entrambi i sistemi nella banca dati dell’UE per l’IA ad alto rischio ed effettuare una valutazione d’impatto sui diritti fondamentali.
   • C Nessun obbligo si applica, perché le autorità pubbliche che comunicano con i cittadini sono esentate dagli obblighi di trasparenza dell’articolo 50.
   • D Il ministero deve ottenere il consenso del portavoce ai sensi del GDPR e segnalare il chatbot; il fornitore del sistema generativo non ha obblighi propri.
   Risposta corretta: A

   L’articolo 50 ripartisce gli obblighi per ruolo: i fornitori di sistemi che generano contenuti audio, immagini, video o testo sintetici devono garantire che gli output siano marcati in un formato leggibile dalla macchina e rilevabili come generati artificialmente; i deployer di deep fake devono rendere noto che il contenuto è stato generato o manipolato artificialmente; e i fornitori devono garantire che le persone che interagiscono con un sistema di IA ne siano informate, salvo che sia evidente. Gli orientamenti della Commissione e il codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA (2026) dettagliano questi obblighi, applicabili dal 2 agosto 2026. Fonte: regolamento (UE) 2024/1689, articolo 50.

   • A — Corretto: marcatura (fornitore), dichiarazione del deep fake (deployer), avviso del chatbot.
   • B — La registrazione nella banca dati dell’UE e la valutazione d’impatto sui diritti fondamentali sono obblighi ad alto rischio, non doveri di trasparenza dell’articolo 50.
   • C — L’articolo 50 non prevede esenzioni per le autorità pubbliche.
   • D — Il consenso è una questione di protezione dei dati, e l’articolo 50, paragrafo 2, impone al fornitore del sistema generativo un obbligo di marcatura.

5. 5. Dopo l’omnibus digitale sull’IA (regolamento (UE) 2026/1744), cosa richiede l’articolo 4 del regolamento sull’IA a un’organizzazione che utilizza sistemi di IA?

   • A Far certificare ogni dipendente che usa l’IA tramite un programma di formazione accreditato entro il 2 agosto 2026.
   • B Adottare misure che sostengano l’alfabetizzazione in materia di IA del personale coinvolto, senza garantire un livello a ciascuno.
   • C Garantire che ogni membro del personale che si occupa di sistemi di IA raggiunga, e mantenga, un livello sufficiente di alfabetizzazione in materia di IA.
   • D Nulla per ora: l’articolo 4 si applica solo insieme ai requisiti ad alto rischio, dal 2 dicembre 2027.
   Risposta corretta: B

   L’omnibus digitale sull’IA ha sostituito l’articolo 4: fornitori e deployer devono adottare misure per sostenere lo sviluppo dell’alfabetizzazione in materia di IA del proprio personale e delle altre persone che si occupano del funzionamento e dell’uso dei sistemi di IA per loro conto, tenendo conto di conoscenze, esperienza, istruzione e formazione e del contesto d’uso. L’obbligo non richiede di garantire un livello specifico di alfabetizzazione in materia di IA di alcuna persona, e la Commissione e gli Stati membri devono sostenere questi sforzi, in particolare quelli delle PMI. L’articolo 4 è nel capo I, applicabile dal 2 febbraio 2025. Fonte: regolamento (UE) 2024/1689, articoli 4 e 113, come modificato dal regolamento (UE) 2026/1744.

   • A — Non è prescritta alcuna certificazione né programma accreditato; le misure dipendono dal personale e dal contesto d’uso.
   • B — Corretto: misure di sostegno, senza un livello di alfabetizzazione garantito per nessuna persona.
   • C — Era la formulazione originaria del 2024 (un livello sufficiente); l’omnibus l’ha sostituita con un obbligo di sostenere l’alfabetizzazione in materia di IA.
   • D — L’articolo 4 è nel capo I, applicabile da febbraio 2025, indipendentemente dal calendario ad alto rischio.

6. 6. Gli orientamenti etici per un’IA affidabile del gruppo di esperti ad alto livello (2019) elencano sette requisiti fondamentali. Qual è l’insieme corretto?

   • A Intervento e sorveglianza umani; robustezza tecnica e sicurezza; riservatezza e governance dei dati; trasparenza; diversità, non discriminazione ed equità; benessere sociale e ambientale; responsabilità.
   • B Rispetto dell’autonomia umana; prevenzione dei danni; equità; esplicabilità; legalità; adesione a principi e valori etici; robustezza tecnica e sociale.
   • C Valido e affidabile; sicuro; protetto e resiliente; responsabile e trasparente; spiegabile e interpretabile; rispettoso della privacy; equo, con i bias dannosi gestiti.
   • D Sistema di gestione dei rischi; dati e governance dei dati; documentazione tecnica; conservazione delle registrazioni; trasparenza e fornitura di informazioni ai deployer; sorveglianza umana; accuratezza, robustezza e cibersicurezza.
   Risposta corretta: A

   Gli orientamenti derivano sette requisiti dai principi di rispetto dell’autonomia umana, prevenzione dei danni, equità e spiegabilità: intervento e sorveglianza umani; robustezza tecnica e sicurezza; riservatezza e governance dei dati; trasparenza; diversità, non discriminazione ed equità; benessere sociale e ambientale; responsabilità. ALTAI (2020) li trasforma in una lista di autovalutazione. Fonte: gruppo di esperti ad alto livello, Orientamenti etici per un’IA affidabile, capitolo II.

   • A — Corretto: i sette requisiti del gruppo di esperti.
   • B — Sono i quattro principi etici e le tre componenti dell’IA affidabile (legale, etica, robusta), da cui derivano i sette requisiti.
   • C — Sono le sette caratteristiche dell’IA affidabile del NIST AI RMF 1.0, un altro quadro.
   • D — Sono i titoli dei requisiti ad alto rischio del regolamento sull’IA, articoli da 9 a 15 (capo III, sezione 2).

7. 7. Nel NIST AI Risk Management Framework 1.0, come si relazionano tra loro le funzioni fondamentali?

   • A Sette requisiti ereditati dagli orientamenti etici dell’UE, applicati uno dopo l’altro in un ordine fisso.
   • B Sei funzioni — Govern, Identify, Protect, Detect, Respond e Recover — applicate ai sistemi di IA.
   • C Tre fasi sequenziali — progettazione, implementazione e dismissione — ciascuna con un audit obbligatorio.
   • D Quattro funzioni — Govern, Map, Measure e Manage — con Govern trasversale alle altre tre.
   Risposta corretta: D

   Il nucleo del quadro organizza le attività di gestione del rischio in quattro funzioni: Govern, Map, Measure e Manage. La governance è concepita come funzione trasversale che informa e permea le altre tre; le funzioni non sono una sequenza fissa. Il profilo per l’IA generativa (NIST AI 600-1) aggiunge rischi e azioni specifici sulla stessa struttura. Fonte: NIST AI 100-1, sezione 5.

   • A — I sette requisiti sono del gruppo di esperti dell’UE, un altro quadro.
   • B — Quelle sei sono le funzioni del Cybersecurity Framework 2.0.
   • C — Il quadro è organizzato per funzioni, non per fasi soggette ad audit obbligatorio.
   • D — Corretto: quattro funzioni, con Govern trasversale.

8. 8. Secondo il parere 28/2024 dell’EDPB, quando un modello di IA addestrato con dati personali può considerarsi anonimo, e come deve un titolare giustificare il legittimo interesse come base giuridica dell’addestramento?

   • A Qualsiasi modello è anonimo una volta terminato l’addestramento, perché i pesi non sono dati personali; il legittimo interesse si applica allora automaticamente alla ricerca scientifica.
   • B Un modello è anonimo se i dati di addestramento sono stati pseudonimizzati prima dell’uso, e il consenso di ciascun interessato è l’unica base giuridica valida per l’addestramento.
   • C L’anonimato si valuta caso per caso, in base alla probabilità di estrarre dati personali o di ottenerli tramite interrogazioni; il legittimo interesse richiede il test in tre fasi.
   • D L’anonimato è certificato dall’Ufficio per l’IA ai sensi del regolamento sull’IA e, una volta certificato il modello, il suo addestramento esce del tutto dal GDPR.
   Risposta corretta: C

   Il parere afferma che i modelli di IA addestrati con dati personali non possono considerarsi anonimi in tutti i casi: le affermazioni di anonimato vanno valutate caso per caso, guardando alla probabilità di estrazione diretta di dati personali dal modello e di ottenerli tramite interrogazioni. Per il legittimo interesse richiama il test in tre fasi: individuare l’interesse legittimo, analizzare la necessità del trattamento e bilanciarlo con gli interessi e i diritti degli interessati. Fonte: parere 28/2024 dell’EDPB del 17 dicembre 2024.

   • A — Il parere non ammette né l’anonimato automatico né il legittimo interesse automatico.
   • B — La pseudonimizzazione non è anonimizzazione, e il consenso non è l’unica base.
   • C — Corretto: anonimato caso per caso e test in tre fasi.
   • D — L’Ufficio per l’IA non certifica l’anonimato; il GDPR si applica all’addestramento con dati personali.

9. 9. Un assistente con generazione aumentata dal recupero (RAG) legge documenti da un’unità condivisa per rispondere alle domande del personale. Un attaccante inserisce un documento con istruzioni nascoste che l’assistente poi segue. Nella OWASP Top 10 per le applicazioni LLM 2025, quali categorie di rischio illustra questo scenario?

   • A Prompt injection indiretta tramite il contenuto recuperato, e debolezze di vettori ed embedding nella pipeline RAG.
   • B Furto del modello e negazione del servizio, perché il documento inserito permette all’attaccante di copiare e sovraccaricare il modello.
   • C Solo una violazione dei dati ai sensi del GDPR, da gestire a cura del responsabile della protezione dei dati, fuori dalla sicurezza applicativa.
   • D Avvelenamento dei dati e del modello, perché il documento inserito finisce nei pesi del modello quando è recuperato.
   Risposta corretta: A

   OWASP classifica la prompt injection come LLM01:2025, inclusa l’iniezione indiretta in cui le istruzioni arrivano tramite contenuti che il modello elabora, e le debolezze di vettori ed embedding come LLM08:2025 per i rischi delle pipeline di generazione aumentata dal recupero. Il contenuto recuperato non cambia i pesi del modello, quindi non è avvelenamento dei dati di addestramento. NIST AI 100-2 (2025) usa la stessa distinzione tra attacchi in fase di inferenza e di addestramento. Fonte: OWASP Top 10 for LLM Applications 2025; NIST AI 100-2e2025.

   • A — Corretto: prompt injection indiretta più debolezze di vettori ed embedding del RAG.
   • B — Nello scenario nulla viene rubato o sovraccaricato.
   • C — Può essere anche un problema di protezione dei dati, ma le categorie di sicurezza si applicano comunque.
   • D — L’avvelenamento riguarda i dati di addestramento o di fine-tuning; un documento recuperato agisce in fase di inferenza e non cambia i pesi.

10. 10. Quale coppia di misure corrisponde correttamente ai documenti di politica sull’IA della Commissione del 2025?

    • A Entrambi sono raccomandazioni del Consiglio del 2024, sulle competenze in IA nelle scuole e sull’IA nella pubblica amministrazione.
    • B Piano d’azione per il continente dell’IA: il divieto del riconoscimento delle emozioni; strategia Apply AI: la soglia di 10^25 FLOP per i modelli a rischio sistemico.
    • C Piano d’azione per il continente dell’IA: creazione dell’Ufficio per l’IA; strategia Apply AI: il codice di buone pratiche per i modelli di IA per finalità generali.
    • D Piano d’azione per il continente dell’IA: fabbriche e gigafabbriche di IA; strategia Apply AI: una politica «AI first» basata su soluzioni europee.
    Risposta corretta: D

    Il piano d’azione per il continente dell’IA del 9 aprile 2025 punta ad ampliare l’infrastruttura pubblica di IA, rafforzando la rete delle fabbriche di IA e creando gigafabbriche di IA ispirate al modello del CERN, insieme a misure su dati, competenze e adozione. La strategia Apply AI dell’8 ottobre 2025 promuove una politica «AI first» perché imprese e organizzazioni del settore pubblico integrino IA costruita su soluzioni europee. I divieti, la soglia di FLOP, l’Ufficio per l’IA e il codice di buone pratiche appartengono al quadro del regolamento sull’IA. Fonte: COM(2025) 165 final; COM(2025) 723 final.

    • A — Entrambe sono comunicazioni della Commissione del 2025, non raccomandazioni del Consiglio.
    • B — Quelle sono disposizioni del regolamento sull’IA, non comunicazioni politiche.
    • C — L’Ufficio per l’IA è stato istituito con decisione della Commissione nel 2024 e il codice di buone pratiche è uno strumento del regolamento sull’IA.
    • D — Corretto: fabbriche e gigafabbriche di IA; «AI first».

Ogni spiegazione cita il testo ufficiale da cui deriva: il bando C/2026/4668 e i regolamenti e le pubblicazioni NIST ed ENISA elencati nella guida del settore.