L’Europa ha raggiunto un accordo preliminare sul regolamento AI Act, ma è di massima; si attende ora il testo definitivo, con qualche dettaglio da sistemare. L’applicazione inoltre è in molta parte delegata ai singoli Stati.
Ciò detto, è possibile già stabilire comunque alcuni punti fermi emersi dalla fine delle contrattazioni tra Consiglio, Parlamento e Commissione Ue tra il 6 e il 9 dicembre.
Indice degli argomenti
Le principali novità nell’IA Act rispetto al primo testo
Rispetto alla proposta iniziale della Commissione, i principali nuovi elementi dell’accordo provvisorio possono essere riassunti come segue, a quanto si legge nella nota del Consiglio Ue:
- norme sui modelli di IA ad alto impatto generale che possono causare rischi sistemici in futuro, nonché sui sistemi di IA ad alto rischio
- un sistema di governance rivisto con alcuni poteri di applicazione a livello UE
- l’estensione dell’elenco dei divieti, ma con la possibilità di utilizzare l’identificazione biometrica a distanza da parte delle autorità di polizia negli spazi pubblici, a condizione che siano previste delle salvaguardie. Il Parlamento ne aveva chiesto il bando, ma il Consiglio ue ha ottenuto questa possibilità, limitata.
- una migliore protezione dei diritti attraverso l’obbligo per chi impiega sistemi di IA ad alto rischio di condurre una valutazione d’impatto sui diritti fondamentali prima di mettere in uso un sistema di IA.
L’accordo provvisorio chiarisce inoltre che il regolamento non si applica ad aree al di fuori del campo di applicazione del diritto dell’UE e non dovrebbe, in ogni caso, influire sulle competenze degli Stati membri in materia di sicurezza nazionale o su qualsiasi entità a cui siano affidati compiti in questo settore. Inoltre, l’atto di AI non si applicherà ai sistemi utilizzati esclusivamente per scopi militari o di difesa. Allo stesso modo, l’accordo prevede che il regolamento non si applichi ai sistemi di IA utilizzati al solo scopo di ricerca e innovazione, né alle persone che utilizzano l’IA per motivi non professionali.
Sistemi ad alto rischio e non
L’accordo raggiunto prevede – come già noto fin dall’inizio dell’iter – anzitutto una “classificazione dei sistemi di AI come pratiche di IA ad alto rischio e vietate” al fine di garantire che i sistemi di IA non provochino gravi danni o violazioni dei diritti fondamentali.
Obblighi di trasparenza, comunque, anche in caso di rischio limitato informando ad esempio che “…il contenuto è stato generato dall’intelligenza artificiale…” affinché gli utenti possano essere informati su decisioni e usi, in base al contesto di riferimento.
I sistemi di IA ad alto rischio sono autorizzati purché soggetti a una serie di norme requisiti e obblighi per accedere al mercato dell’UE, per esempio circa la qualità dei dati, o in relazione alla documentazione tecnica che dovrebbero essere redatti dalle PMI al fine di dimostrare che tali sistemi rispettino i requisiti.
Ancora, poiché i sistemi di intelligenza artificiale sono sviluppati e distribuiti attraverso catene del valore complesse, l’accordo raggiunto include “modifiche che chiariscono l’assegnazione di responsabilità e ruoli dei vari attori di quelle supply-chain, in particolare fornitori e utenti di sistemi di AI” chiarendo altresì il rapporto tra le responsabilità ai sensi della legge sull’AI e quelle già esistenti conformemente ad altre leggi ad esempio il GDPR.
Divieti assoluti
Il rischio inaccettabile come già accennato è bandito, così come altre forme di manipolazione comportamentale, riconoscimento delle emozioni in alcuni luoghi come sul posto di lavoro o nell’istruzione, rating sociali, categorizzazioni biometriche atte a ricavare e trattare dati sensibili (orientamento sessuale, credo religioso, ecc.), e ipotesi di polizia predittiva rivolte all’individuo.
Trasparenza e tutela dei diritti fondamentali
L’accordo provvisorio prevede una valutazione dell’impatto sui diritti fondamentali prima che un sistema di IA ad alto rischio venga immesso sul mercato da chi lo utilizza. L’accordo provvisorio prevede inoltre una maggiore trasparenza sull’uso dei sistemi di IA ad alto rischio.
In particolare, alcune disposizioni della proposta della Commissione sono state modificate per indicare che anche alcuni utenti di un sistema di IA ad alto rischio che sono enti pubblici saranno obbligati a registrarsi nella banca dati dell’UE per i sistemi di IA ad alto rischio. Inoltre, le nuove disposizioni aggiunte pongono l’accento sull’obbligo per gli utenti di un sistema di riconoscimento delle emozioni di informare le persone fisiche quando sono esposte a tale sistema.
Si prevedono quindi:
- requisiti di trasparenza orizzontali, e rimanendo tali, a differenza della valutazione dei modelli specifica per quelli di alto livello;
- sintesi dettagliate dei dati di addestramento messi a disposizione del pubblico, pur nel rispetto della tutela del segreto commerciale;
- modelli sistemici soggetti a obblighi relativi ai rischi sistemici, alla cybersicurezza e agli standard ambientali;
- codici di condotta quali misure provvisorie in attesa di standard armonizzati;
Eccezioni per le forze dell’ordine e biometria
Considerando le specificità delle autorità preposte all’applicazione della legge e la necessità di preservare la loro capacità di utilizzare l’IA nel loro lavoro vitale, sono state concordate diverse modifiche alla proposta della Commissione relative all’uso dei sistemi di IA a fini di applicazione della legge. Fatte salve le opportune salvaguardie, queste modifiche intendono riflettere la necessità di rispettare la riservatezza dei dati operativi sensibili in relazione alle loro attività.
Ad esempio, è stata introdotta una procedura di emergenza che consente alle forze dell’ordine di utilizzare uno strumento di IA ad alto rischio che non ha superato la procedura di valutazione della conformità in caso di urgenza. Tuttavia, è stato introdotto anche un meccanismo specifico per garantire che i diritti fondamentali siano sufficientemente protetti da eventuali abusi dei sistemi di IA.
L’accordo provvisorio chiarisce quindi gli obiettivi per i quali tale uso è strettamente necessario ai fini dell’applicazione della legge e per i quali le autorità preposte all’applicazione della legge dovrebbero quindi essere eccezionalmente autorizzate a utilizzare tali sistemi. L’accordo di compromesso prevede ulteriori garanzie e limita queste eccezioni ai casi di vittime di determinati reati, alla prevenzione di minacce reali, attuali o prevedibili, come gli attacchi terroristici, e alle ricerche di persone sospettate dei reati più gravi.
Non solo, Brando Benifei (parlamentare relatore del testo) ha dichiarato poi che “il riconoscimento delle emozioni è proibito” fornendo “chiare indicazioni sui casi d’uso vietati che non sono ammessi in Europa, come la polizia predittiva, il social scoring e il riconoscimento biometrico” precisando che “è permesso usare i cosiddetti sistemi di analisi dei crimini, ma senza che siano applicati a specifici individui ma solo a dati anonimi e non devono indurre a pensare che qualcuno abbia commesso un crimine”.
Sistemi di IA per scopi generali e modelli fondazionali (tipo Gpt)
IL testo approvato conserva le disposizioni – aggiunte dal Parlamento Ue- che riguardano i sistemi di IA “fondazionali”, quelli che possono essere utilizzati per molti scopi diversi (IA per scopi generali) e in cui la tecnologia di IA per scopi generali viene successivamente integrata in un altro sistema ad alto rischio. L’accordo provvisorio affronta anche i casi specifici dei sistemi di IA per scopi generali (GPAI).
L’accordo provvisorio prevede che i modelli di fondazione debbano soddisfare specifici obblighi di trasparenza prima di essere immessi sul mercato.
È stato introdotto inoltre un regime più severo per i modelli di fondazione “ad alto impatto”. Si tratta di modelli di fondazione addestrati con grandi quantità di dati e con complessità, capacità e prestazioni avanzate, ben al di sopra della media, che possono diffondere rischi sistemici lungo la catena del valore. Sono tali i modelli che raggiungono una soglia quantitativa per la potenza di calcolo utilizzata nei modelli di addestramento pari a 10 alla 25esima Flop (floating point operations per second, un’unità di misura della capacità computazionale). L’executive order di Biden prevede, analogamente, obblighi a partire da 10 alla 20esima flop.
Intelligenza artificiale più sicura, i paletti del G7 e di Biden
Gli obblighi previsti per questi modelli più avanzati comprendono la valutazione del modello, la valutazione e il monitoraggio dei rischi sistemici, la protezione della cybersecurity e la rendicontazione del consumo energetico del modello. È importante notare che – almeno alla luce dell’ultimo testo disponibile – l’AI Act non si applicherà ai modelli liberi e open source i cui parametri sono resi disponibili al pubblico, ad eccezione di ciò che riguarda l’implementazione di una politica per rispettare la legge sul copyright, la pubblicazione della sintesi dettagliata, gli obblighi per i modelli sistemici e le responsabilità lungo la catena del valore dell’AI.
In ogni caso, ci saranno allegati tecnici volti a definire criteri come quelli per la designazione dei modelli da parte dell’Ufficio AI, sia d’ufficio che sulla base delle segnalazioni del gruppo scientifico prendendo poi in considerazione fattori quali gli utenti commerciali e il numero di parametri del modello. Seguiamo gli sviluppi.
Non è passata quindi la linea che, nel Consiglio UE, chiedeva autoregolamentazione e codici di condotta per questi modelli.
Come si vede, i modelli fondazionali saranno invece regolati con lo stesso modello graduale basato sul rischio che in precedenza, nel testo, era pensato solo per gli usi e non per le tecnologie di IA. I modelli fondazionali sono le sole tecnologie di IA che subiscono questo trattamento perché si possono applicare a tanti scopi diversi, non prevedibili a priori dai regolatori. L’Europa però ha
Plausi dall’industria della cultura e del copyright
Queste regole erano quanto richiesto dall’industria del copyright.
Enzo Mazza, CEO di FIMI, ha commentato: “Stanotte l’Europa ha messo la firma su un importante strumento per il futuro dei contenuti musicali nell’era dell’intelligenza artificiale. Le previsioni per i sistemi di IA per scopi generali (GPAI) e i modelli GPAI che dovranno rispettare i requisiti di trasparenza come proposti dal Parlamento sono un’ottima notizia. Questi includono la stesura di documentazione tecnica, il rispetto della normativa UE sul diritto d’autore e la diffusione di riepiloghi dettagliati sui contenuti utilizzati per l’addestramento”.
Una nuova architettura di governance
A seguito delle nuove regole sui modelli GPAI e dell’evidente necessità della loro applicazione a livello UE, all’Ufficio AI (all’interno della Commissione) è dato, tra gli altri, il compito di vigilare maggiormente su questi modelli più o meno avanzati di intelligenza artificiale, contribuendo a promuovere standard e pratiche di test, con regole comuni in tutti gli Stati membri.
L’accordo prevede poi un comitato scientifico indipendente composto da esperti atto a consigliare il predetto Ufficio sui modelli GPAI, contribuendo alla sviluppo di metodologie per valutare le capacità dei modelli di fondazione, fornendo consulenza, monitorando i possibili rischi per la sicurezza.
Ancora è previsto il Consiglio AI, quale organo che comprende i rappresentanti degli Stati membri, quale “piattaforma di coordinamento e organo consultivo della Commissione”. Infine, un foro consultivo per portatori di interessi, come rappresentanti dell’industria, PMI, start-up, società civile e il mondo accademico, istituito per fornire competenze tecniche al comitato AI.
Le sanzioni
Le sanzioni/multe per le violazioni della legge sull’AI sono fissate in percentuale dell’infrazione fatturato annuo globale della società nell’anno finanziario precedente o predeterminato importo, a seconda di quale sia maggiore.
Parrebbero essere stati previsti tre scaglioni:
- 35 milioni di euro ovvero del 7% per le violazioni della normativa applicazioni IA vietate,
- 15 milioni di euro o 3% per violazioni degli obblighi della legge sull’IA
- 7,5 milioni di euro ovvero 1,5% per la fornitura di informazioni errate.
Invero, sono previsti anche dei limiti più proporzionati per le PMI e start-up in caso di violazione delle disposizioni della legge sull’AI.
Ancora, l’accordo chiarisce che chiunque (persona fisica o giuridica) possa fare un reclamo all’Autorità di Vigilanza del Mercato denunciando il mancato rispetto della legge sull’AI.
Misure a sostegno dell’innovazione
Si legge nella nota del Consiglio: “Al fine di creare un quadro giuridico più favorevole all’innovazione e di promuovere l’apprendimento normativo basato su dati concreti, le disposizioni relative alle misure a sostegno dell’innovazione sono state sostanzialmente modificate rispetto alla proposta della Commissione.
In particolare, è stato chiarito che le sandbox di regolamentazione dell’IA, che dovrebbero creare un ambiente controllato per lo sviluppo, la sperimentazione e la convalida di sistemi innovativi di IA, dovrebbero anche consentire la sperimentazione di sistemi innovativi di IA in condizioni reali. Inoltre, sono state aggiunte nuove disposizioni che consentono di testare i sistemi di IA in condizioni reali, nel rispetto di specifiche condizioni e salvaguardie.
Per alleggerire l’onere amministrativo delle imprese più piccole, l’accordo provvisorio comprende un elenco di azioni da intraprendere per sostenere tali operatori e prevede alcune deroghe limitate e chiaramente specificate”.
La critica del Beuc
Dall’associazione europea dei consumatori Beuc arriva un giudizio tutto sommato negativo.
Il risultato parrebbe deludente data l’ampiezza dei rischi e quindi tutele non pienamente adeguate, anche se non mancano aspetti positivi.
Ad esempio, il divieto del cd social scoring (pratica su cui anche il nostro Garante per la protezione dei dati si è espresso) troppo umiliante e discriminatorio per i consumatori.
Non solo, anche la possibilità di presentare reclamo ovvero di chiedere un “risarcimento collettivo” in caso di danni di massa da sistemi di AI, tramite verosimilmente azioni di classe, sono viste con favore.
Ciò che non piace e sminuisce la tutela del consumatore è il fatto che saranno (ancora) consentiti sistemi di AI in grado di “identificare e analizzare i sentimenti dei consumatori (come i sopracitati sistemi di riconoscimento dell’emozioni)” assai preoccupanti.
Ancora, il fatto che l’AI Act si concentri molto sui sistemi di intelligenza artificiale ad alto rischio, lasciando sostanzialmente non regolamentati altri rischi come quelli, ad esempio, dei “giocattoli intelligenti” o assistenti virtuali ovvero tutti quelli che non rientrino in quelle categorie di rischio sopra descritte.
Allora, restano domande aperte.
Ad esempio, sui modelli di chatbot integrabili in un’ampia gamma di servizi come sono regolamentati? Che obblighi di trasparenza hanno ulteriori, inferiori?
Insomma, sistemi di AI e tutele dei consumatori appaiono come un matrimonio ancora difficile da attuare. Ma attendiamo gli sviluppi.
I timori di startup e aziende tech
Delusione serpeggia anche tra le aziende tech, che avevano chiesto una regolamentazione light sulle tecnologie fondazionali tramite la loro associazione Digital Europe. Lo confermano, a valle dell’approvazione del regolamento, da Anitec Assinform.
Il timore è quello di una penalizzazione delle aziende tech europee, soggette a obblighi di compliance elevati, ora, sulle tecnologie di IA. Un rischio che potrà essere sventato – dicono – se saranno confermati gli investimenti pubblici in IA (in Italia ed Europa) e una certa flessibilità attuativa nazionale a tutela dell’industria.
Entrata in vigore: che succede ora?
L’accordo provvisorio prevede che l’atto di AI si applichi due anni dopo la sua entrata in vigore, con alcune eccezioni per disposizioni specifiche.
Si prevede una riduzione a sei mesi per i divieti assoluti (tipo sul social scoring). I requisiti per i sistemi di IA ad alto rischio, i modelli di IA potenti, gli organismi di valutazione della conformità e il capitolo sulla governance inizieranno ad essere applicati un anno prima.
Quindi, le disposizioni dell’AI Act, una volta approvato, entreranno progressivamente in vigore: alcune subito, altre dopo sei mesi, per esempio le applicazioni proibite, altre dopo dodici e le ultime dopo due anni.
Un’incognita riguarda la possibilità che questa normativa finisca per danneggiare l’innovazione in Europa piuttosto che favorirla, secondo alcuni.
Ma non è tutto. Poiché ci sarà una conformità volontaria, il cosiddetto AI Pact, che permetterà alle aziende di adeguarsi alla normativa prima del tempo ecco la funzione dell’ufficio europeo dedicato all’intelligenza artificiale, incardinato presso la direzione generale Connect della Commissione deputato a sovrintendere l’applicazione della legge. Tuttavia, sono già (state) contemplate delle eccezioni per le PMI dando loro la possibilità di creare ambienti di test esenti dalla regole (i cd regulatory sandbox) per favorire l’innovazione.
La nota Butti-Urso
E’ quanto si legge anche in una nota congiunta il Sottosegretario alla presidenza del Consiglio con delega all’innovazione tecnologica, Alessio Butti, e il ministro delle Imprese e del Made in Italy, Adolfo Urso. “Il regolamento in generale prevede che l’attuazione passi anche da atti delegati degli Stati. Prevista insomma flessibilità nell’attuazione nazionale del regolamento. Del resto l’IA interviene pesantemente su attività su cui gli Stati hanno forti prerogative, come la sicurezza e la Sanità, e non si poteva lasciare decidere tutto dall’alto da Bruxelles.
L’accordo politico preliminare dovrà ora essere sottoposto all’esame dei governi europei che ne valuteranno i dettagli in vista dell’approvazione finale da parte del Consiglio. L’Italia ribadirà la necessità di un quadro normativo semplice e chiaro, che rispecchi un equilibrio tra progresso tecnologico e salvaguardia dei principi etici costituzionalmente orientati e dei diritti dei cittadini, in grado di supportare adeguatamente lo sviluppo del mercato e della tecnologia, in perenne evoluzione. Il Governo auspica che la futura legislazione possa favorire un’innovazione responsabile e sostenibile, promuovendo sviluppo ed investimenti da parte delle imprese nazionali ed europee, nel rispetto dei diritti dei cittadini e delle prerogative degli Stati membri a salvaguardia dell’interesse nazionale”.
Conclusioni
In conclusione, è vero che questo accordo costituisce senz’altro un “momento storico” per il mondo e l’Europa, come affermato da diversi rappresentati delle istituzioni europee; ma il lavoro sull’AI Act evidentemente non può dirsi di certo esaurito con oggi.
Un atteggiamento cauto e a contenimento degli entusiasmi iniziali ci appare saggio. Non solo nell’attesa del testo finale e della sua necessaria, successiva analisi; ma soprattutto alla luce della complessa attuazione che ogni Stato dovrà fare, nella pratica e nelle norme. Il tutto, per altro, cercando al tempo stesso di sostenere l’innovazione con le misure previste dall’Europa (come la sandbox) e altri strumenti, anche finanziari, che ogni Stato dovrà mettere in campo.
