L’AI Act è definitivo, ma ora si apre la partita della compliance e dell’attuazione. Ed è qui che ora aziende e soggetti interessati ai temi di privacy e diritti dovrebbero rivolgere l’attenzione.
Per il resto, dopo l’approvazione del regolamento europeo sull’intelligenza artificiale al Parlamento Ue, i prossimi passi sono mere formalità, dal passaggio al Consiglio, all’uscita in Gazzetta Ufficiale europea, e quindi al count down per le aziende che avranno, tranne in alcuni casi, due anni di tempo per adeguarsi.
Se l’esperienza dell’adeguamento al GDPR ha insegnato qualcosa, è bene che le Organizzazioni “lanciate” in questa direzione dai temi di frontiera, inizino a capire cosa fare e come devono farlo. Concentriamoci dunque sui principali aspetti, anche in ottica di compliance.
Indice degli argomenti
AI Act approvato: all’alba di una nuova epoca
L’AI Act è quindi diventato finalmente realtà. Un testo che mira a “…proteggere i diritti fondamentali, la democrazia, lo Stato di diritto e la sostenibilità ambientale dai sistemi di AI ad alto rischio, promuovendo nel contempo l’innovazione e assicurando all’Europa un ruolo guida nel settore”, come si legge nel comunicato stampa ufficiale.
Fondamentali sono stati i negoziati dello scorso dicembre che hanno permesso il raggiungimento di un accordo politico e non di meno i passi successivi.
Ora, dopo il voto decisivo del Parlamento europeo riunitosi in seduta plenaria, pur mancando ancora l’approvazione formale al Consiglio (previa l’ultima verifica da parte dei giuristi-linguisti) e la successiva pubblicazione nella Gazzetta ufficiale con l’entrata in vigore 21 giorni dopo, e sarà pienamente applicabile trascorsi i 24 mesi ad eccezione di:
| DEADLINE | |
| CHE COSA | DOPO QUANDO |
| divieti di pratiche vietate | 6 mesi |
| codici di condotta | 9 mesi |
| norme generali sull’IA, compresa la governance | 12 mesi |
| obblighi per i sistemi ad alto rischio | 24-36 mesi |
Ecco che possiamo dire di essere giunti all’alba di una nuova era. Ma questo è solo l’inizio, la vera sfida sarà l’attuazione e quanto per conseguenza.
AI Act approvato: i punti focali
La ratio della legge sull’intelligenza artificiale risponde direttamente alle proposte che hanno fatto i cittadini alla Conferenza sul futuro dell’Europa – COFE, e in particolare:
- proposta 12(10) circa il “rafforzamento della competitività dell’UE nei settori strategici”;
- proposta 33(5) su “una società sicura e affidabile”, compresa la lotta alla disinformazione, garantendo che siano gli esseri umani, in ultima battuta, ad avere il controllo;
- proposta 35 sulla “promozione dell’innovazione digitale”, a garanzia del controllo umano e (8) uso affidabile e responsabile dell’AI, stabilendo salvaguardie con la massima tutela della trasparenza;
- proposta 37 (3) su “uso dell’AI e strumenti digitali” al fine di migliorare l’accesso dei cittadini alle informazioni, comprese le persone con disabilità.
- In altri termini gli eurodeputati hanno votato una legge che avesse una salvaguardia sull’intelligenza artificiale per scopi generali contemplando il diritto dei consumatori di presentare reclami e ricevere significative spiegazioni; limitasse l’uso dei sistemi di identificazione biometrica da parte delle forze dell’ordine; non autorizzasse il social scoring ovvero altre pratiche atte a manipolare o sfruttare le vulnerabilità degli utenti.
Le applicazioni vietate
Sempre dal citato comunicato stampa ufficiale, apprendiamo che le nuove regole vietano alcune applicazioni di intelligenza artificiale, le quali possano minacciare i diritti dei cittadini, ivi compresi i sistemi di “categorizzazione biometrica” basati su caratteristiche sensibili e lo “scraping non mirato di immagini facciali da Internet o filmati CCTV per creare database di riconoscimento facciale”.
Non solo, saranno altresì vietati “il riconoscimento delle emozioni sul posto di lavoro e a scuola, il punteggio sociale, la polizia predittiva (quando si basa esclusivamente sulla profilazione di una persona o sulla valutazione delle sue caratteristiche)” nonché l’intelligenza artificiale volta a manipolare il comportamento umano o a sfruttare le vulnerabilità delle persone.
Esenzioni delle forze dell’ordine
Circa le esenzioni, mette in conto evidenziare che l’utilizzo di sistemi di identificazione biometrica – RBI da parte delle forze dell’ordine sarà di norma vietato. Tuttavia, in talune situazioni tassativamente elencate e strettamente definite sarà ammesso.
Il famoso RBI “in tempo reale” può essere implementato soltanto qualora siano soddisfatte garanzie rigorose, come per ipotesi un utilizzo limitato nel tempo, in ambito geografico circoscritto nonché soggetto a una specifica e preventiva autorizzazione giudiziaria o amministrativa. Non solo, siffatti usi possono includere, ad esempio, la ricerca mirata di una persona scomparsa o la prevenzione di un attacco terroristico o reati gravi.
Mentre l’utilizzo di tali sistemi post facto (“RBI post-remoto”) è da ritenersi un caso d’uso ad alto rischio, che richiede l’autorizzazione giudiziaria essendo collegata a un reato.
Obblighi per i sistemi ad alto rischio
Ancora, sono previsti chiari obblighi anche per altri sistemi di AI ad alto rischio ovvero portatori di rischi sistemici, per via di un loro significativo e potenziale danno alla salute, alla sicurezza, ai diritti fondamentali, all’ambiente, alla democrazia e allo Stato di diritto.
Per uso di AI ad alto rischio deve intendersi, per esempio, tutto ciò che include:
- infrastrutture critiche
- istruzione e formazione professionale
- occupazione
- servizi pubblici e privati essenziali (ad esempio assistenza sanitaria, banche)
- alcuni sistemi di applicazione della legge
- migrazione e gestione delle frontiere
- giustizia e processi democratici (elezioni)
Tutti questi sistemi devono “valutare e ridurre i rischi, conservare i registri di utilizzo, essere trasparenti e accurati e garantire la supervisione umana”.
A valle, i cittadini potranno presentare reclami e avranno il diritto di ricevere spiegazioni sulle decisioni basate su sistemi di AI ad alto rischio.
Va detto che la legge sull’IA divide i sistemi di IA ad alto rischio in due sottoinsiemi:
Allegato (“Annex”) III della legge sull’AI: sistemi che sono considerati ad alto rischio perché classificati come tali dalla legge stessa. Sono quelli citati qui sopra, dove sono previsti 24 mesi di adeguamento.
Allegato (“Annex”) II della legge sull’IA (legislazione di armonizzazione dell’UE): i sistemi di IA considerati ad alto rischio perché coperti da una certa legislazione di armonizzazione dell’UE. Un sistema di IA in questa categoria sarà considerato ad alto rischio quando 1) è destinato a essere utilizzato come componente di sicurezza di un prodotto, o il sistema di IA è esso stesso un prodotto coperto dalla legislazione di armonizzazione dell’UE; e 2) il prodotto o il sistema deve essere sottoposto a una valutazione di conformità da parte di terzi ai sensi della legislazione di armonizzazione dell’UE. L’elenco dell’Allegato II è piuttosto lungo, ma comprende leggi su questioni quali la sicurezza dei giocattoli, dei macchinari, delle apparecchiature radio, dell’aviazione civile e dei veicoli a motore, tra le altre.
Questo Annex ha i tempi di adeguamento più lunghi: 36 mesi.
IA generativa ad alto rischio
Per il momento, i modelli di IA generici che sono stati addestrati utilizzando una potenza di calcolo totale superiore a 10^25 Flop sono considerati di per sé portatori di rischi sistemici, dato che i modelli addestrati con calcoli più grandi tendono a essere più potenti.
L’Ufficio AI (istituito presso la Commissione) può aggiornare questa soglia alla luce dei progressi tecnologici e, in casi specifici, può designare altri modelli come tali in base ad altri criteri (ad esempio il numero di utenti o il grado di autonomia del modello). “Questa soglia comprende i modelli GPAI (General purpose AI) attualmente più avanzati, ovvero GPT-4 di OpenAI e probabilmente Gemini di Google DeepMind”, scrive la Commissione UE nelle Faq dell’AI Act.
Le capacità dei modelli al di sopra di questa soglia non sono ancora sufficientemente comprese. Potrebbero comportare rischi sistemici e quindi è ragionevole sottoporre i loro fornitori a una serie di obblighi aggiuntivi.
Il Flop è un primo indicatore delle capacità del modello e la soglia esatta del Flop può essere aggiornata al rialzo o al ribasso dall’Ufficio europeo per l’intelligenza artificiale, ad esempio alla luce dei progressi nella misurazione oggettiva delle capacità del modello e degli sviluppi della potenza di calcolo necessaria per un determinato livello di prestazioni.
La legge sull’IA può essere modificata per aggiornare la soglia Flop (mediante un atto delegato).
Requisiti di trasparenza e AI generativa
Molto importanti sono poi i sistemi di intelligenza artificiale per scopi generali ossia GPAI (IA generativa), i cui modelli devono soddisfare determinati requisiti di trasparenza, tra cui il rispetto della normativa in materia di copyright e la pubblicazione dei riepiloghi dettagliati di contenuti utilizzati in ordine alla formazione.
Tra questi modelli i più potenti, quelli cioè che potrebbero all’evidenza comportare “rischi sistemici”, dovranno avere dei requisiti aggiuntivi, tra cui la valutazione e la mitigazione dei rischi e la segnalazione degli incidenti.
Da ultimo, con riferimento a questo punto, le immagini artificiali o manipolate, i contenuti audio o video cd “deepfakes” dovranno essere etichettati chiaramente come tali.
Misure a sostegno dell’innovazione e delle PMI
Infine, sarà necessario istituire “sandbox normativi” e test nel mondo reale a livello nazionale e renderli accessibili alle PMI e alle start-up, onde sviluppare e formare un’intelligenza artificiale innovativa ma “controllata”, prima che venga immessa sul mercato.
AI Act approvato e una nuova stagione di compliance: cosa devono fare le aziende
Non è affatto prematuro parlare di cosa le Organizzazioni saranno chiamate da qui ai prossimi due anni. Gli impatti non sono pochi infatti. L’AI Act, come dice l’autorevole Collega Panetta in un’intervista plasmerà il futuro delle nostre vite proiettandoci “in una nuova dimensione di regole e mercati” e aggiunge “l’umanità può adesso iniziare a cogliere a pieno ed a plasmare le opportunità offerte dalla tecnologia a base AI in una prospettiva non più di paura e di soggezione”. Totalmente d’accordo.
Questa legge tuttavia richiederà un importante lavoro di studio, comprensione, applicazione e adeguamento. Quindi professionisti, compliance manager e DPO saranno figure assolutamente centrali.
Le aziende che decideranno di utilizzare sistemi di AI dovranno adottare misure strong per conformarsi all’AI Act. I passi di compliance necessari dipenderanno dal tipo di sistema adottato e dal suo livello di rischio.
I passi di compliance, in generale
Vediamo ora per sommi capi cosa devono iniziare a pensare di fare in questo biennio se si vogliono ammodernare in tal senso.
- Effettuare una valutazione del rischio: le aziende dovranno identificare i potenziali rischi e danni associati all’utilizzo del sistema di AI. Stimare la probabilità e l’impatto di tali rischi. Assegnare la classificazione di rischio appropriata al sistema di IA (livello basso, medio o alto).
- Implementare misure di mitigazione del rischio: le aziende dovranno poi adottare misure tecniche e organizzative per ridurre i rischi identificati. Assicurarsi che il sistema di AI sia progettato e sviluppato in modo sicuro e responsabile. Implementare procedure per la gestione dei dati e la sicurezza informatica.
- Documentare le proprie attività di compliance: torna imperante il principio di accountability dovendo mantenere una documentazione completa delle proprie attività di valutazione e mitigazione del rischio.
- Essere compliant: nel senso di dimostrare la conformità al Regolamento in caso di audit.
- Fornire informazioni agli utenti: informandoli in modo chiaro e trasparente sull’utilizzo dei sistemi di AI, dando lorola possibilità di controllare e modificare le impostazioni ad essi relative.
I passi di compliance, nello specifico con riguardo ai sistemi di AI ad alto rischio
Accenniamo ora ai passi più specifici rivolgendoci sempre alle aziende con riferimento ai sistemi di AI ad alto rischio, con riserva di ulteriori approfondimenti nel merito.
- Registrazione del sistema presso la Commissione Europea, fornendo informazioni specifiche sul sistema di IA e sui suoi rischi, ottenendo quanto per conseguenza (numero di registrazione).
- Audit di conformità da parte di un organismo indipendente, verificandone la compliance;
- Certificato di conformità, quale requisito fondamentale, pena sanzioni severe.
Sanzioni AI ACT
Il regolamento stabilisce delle soglie di sanzione che devono essere prese in considerazione dagli Stati, che le applicheranno:
- Fino a 35 milioni di euro o al 7% del fatturato totale annuo a livello mondiale dell’esercizio finanziario precedente (a seconda di quale sia il valore più alto) per le violazioni relative alle pratiche vietate o alla non conformità ai requisiti sui dati;
- Fino a 15 milioni di euro o al 3% del fatturato totale annuo a livello mondiale dell’esercizio finanziario precedente per la mancata osservanza di uno qualsiasi degli altri requisiti o obblighi del regolamento, compresa la violazione delle norme sui modelli di IA per uso generale;
- fino a 7,5 milioni di euro o all’1,5% del fatturato mondiale annuo totale dell’esercizio precedente per la fornitura di informazioni inesatte, incomplete o fuorvianti agli organismi notificati e alle autorità nazionali competenti in risposta a una richiesta;
Per ogni categoria di infrazione, la soglia sarebbe il minore dei due importi per le PMI e il maggiore per le altre aziende.
AI Act approvato e gli scenari sullo sfondo
Concludiamo, richiamando le dichiarazioni fatte da due esponenti in occasione della seduta plenaria. In particolare, l’eurodeputato Dragos Tudorache (Renew, Romania) ha commentato, a caldo, che l’intero sistema normativo consentirà alle aziende di continuare a creare e innovare in Europa in sicurezza, e l’AI Act intende garantire tutti gli strumenti per poterlo fare. Tuttavia, nel contempo occorrerà “rafforzare al massimo la protezione fondamentale per i nostri cittadini e per le nostre società affinché si possano fidare di questa tecnologia”
Di qui, il delicato equilibrio tra l’interesse a rinnovare e quello di tutelare i diritti degli individui.
Poiché l’AI ha un impatto pervasivo nelle nostre vite e in più settori, dal mercato del lavoro all’istruzione, continua l’eurodeputato “è essenziale che la governance anche dei dati dimori nell’AI Act, tenendo ben presente l’evoluzione della tecnologia per essere pronti in futuro a raccogliere nuove sfide che potranno emergere e che sono legate a questa evoluzione tecnologica”.
Il modello basato sul rischio, conclude, non può far trovare impreparati. Anzi, dice proprio che “…bisogna essere pronti ai salti quantici che questa tecnologia è in grado di fare specialmente quando sorprenderà con le sue capacità di raggiungere un momento in cui ci sarà l’intelligenza generata a livello artificiale bisognerà essere pronti nel “rispondere agli interrogativi etici e morali che emergeranno da questa evoluzione”
Altrettanto convincenti sono state le dichiarazioni rilasciate da Brando Benifei (S&D, Italia), correlatore della commissione per il mercato interno, il quale ha espressamente dichiarato che: “Finalmente abbiamo la prima legge vincolante al mondo sull’intelligenza artificiale, per ridurre i rischi, creare opportunità, combattere la discriminazione e portare trasparenza. Grazie al Parlamento, le pratiche inaccettabili di intelligenza artificiale saranno bandite in Europa e i diritti dei lavoratori e dei cittadini saranno tutelati. L’Ufficio AI sarà ora istituito per supportare le aziende nell’iniziare a conformarsi alle norme prima che entrino in vigore. Abbiamo fatto in modo che gli esseri umani e i valori europei siano al centro stesso dello sviluppo dell’IA”.
Quindi, la vera sfida è appena cominciata giacché da oggi, il giorno dopo l’approvazione, cruciale sarà l’attuazione dell’AI Act “primo, coraggioso e ambizioso equilibrio (legislativo) tra tutela dei diritti e delle libertà fondamentali e sostegno all’innovazione”.
