Con 523 voti favorevoli, 46 contrari e 49 astensioni, mercoledì 13 marzo 2024 a Strasburgo è stata approvata la Legge sull’Intelligenza Artificiale, l’AI Act.
L’iter parte nel 2021, quando la Commissione presenta la proposta di Regolamento. Dopo vari step, l'8 dicembre 2023 il Consiglio e il Parlamento europeo raggiungono un accordo provvisorio sulle diverse regole. Attraverso l’operato degli esperti, è iniziato il processo di omogeneità del testo. L’ultima bozza del documento risale al 21 dicembre 2023, mentre il 2 febbraio 2024 il Consiglio vota il documento. Infine, è arrivato il turno del potere legislativo.
Si tratta dunque di un importante traguardo per l’intera Unione. A breve, potrà vantare la prima Legge al mondo che regola, nella sua complessità e in maniera complessiva, una tra le più discusse discipline. Amata e odiata allo stesso tempo.
Si basa su un testo composto da 113 articoli e 13 Allegati la normativa, che assume la forma del Regolamento. Essa sarà direttamente applicabile senza bisogno di ulteriori atti di implementazione, come nel caso delle Direttive.
L’Intelligenza Artificiale nello scenario europeo
La rapida evoluzione dell’intelligenza artificiale ha offerto importanti benefici a livello economico e sociale. Ha migliorato le previsioni, ottimizzato le operazioni e personalizzato numerose soluzioni digitali. Ha contribuito alla ricerca scientifica e all’assistenza sanitaria e, anche dal punto di vista energetico, ha mitigato alcuni aspetti dei cambiamenti climatici. Allo stesso tempo, però, l’utilizzo dell’IA presenta alcune zone d’ombra. Un utilizzo scorretto dei sistemi e delle applicazioni può comportare infatti seri rischi e pregiudizi materiali e immateriali.
Da questa esigenza nasce quindi la necessità di predisporre un quadro giuridico a livello europeo, con regole armonizzate. Il Regolamento assicurerà che i sistemi tecnologici immessi e utilizzati sul mercato risultino sicuri, rispettando i diritti fondamentali e i valori dell’Unione. In questo modo sarà più facile incoraggiare gli investimenti e l’innovazione nell’ambito dell'AI, migliorando altresì la governance.
Risulterà quindi semplice operare su un mercato unico dove le applicazioni di AI siano “lecite, sicure e affidabili”, senza incorrere in errori derivanti da una frammentazione normativa tra i diversi Stati Membri. Con la nuova Legge sarà possibile garantire la libera circolazione transfrontaliera di beni e servizi basati sull’AI. Nessuno Stato potrà imporre restrizioni allo sviluppo, alla commercializzazione e all’uso dei sistemi.
L’articolo 5 dell'AI Act e le pratiche di intelligenza artificiale vietate
L’AI Act si focalizza principalmente sui rischi derivanti dall’utilizzo dell’intelligenza artificiale, che vengono suddivisi in quattro tipologie: inaccettabili, alti, limitati e minimi. Con l’aumentare del rischio crescono le responsabilità e subentrano obblighi per chi sviluppa o adopera i sistemi di AI. Vengono in primis individuate applicazioni classificate come eccessivamente pericolose, tanto da non poter essere autorizzate.
Le “vietate” sono riportate nell’articolo 5, del Titolo II. Vengono individuate come applicazioni in grado di minacciare i diritti dei cittadini. Si fa riferimento, in particolare, ai sistemi di categorizzazione biometrica basati sui dati sensibili (religione, orientamento sessuale, preferenze politiche), alla estrapolazione indiscriminata di immagini facciali da internet o alle registrazioni dei sistemi di telecamere a circuito chiuso – capaci di creare banche dati di riconoscimento facciale (il già noto web scraping).
Allo stesso modo sono vietati i sistemi di riconoscimento delle emozioni nelle scuole o sui luoghi di lavoro, i sistemi di credito sociale, le pratiche di polizia predittiva. Queste ultime, in particolare, operano utilizzando informazioni profilate e valutate partendo dalle caratteristiche di una persona. Sono esempi il carattere, la nazionalità, la situazione economica o familiare. Dal combinato disposto di questi elementi si potrebbe valutare la probabilità di perpetrazione del reato. Sono poi esclusi i sistemi che manipolano il comportamento umano o sfruttano le vulnerabilità delle persone.
Sono però ammesse specifiche eccezioni, per le forze dell’ordine. In alcuni casi espressamente previsti dalla Legge, sarà possibile utilizzare l’identificazione biometrica “in tempo reale”, per attività di contrasto verso 16 reati (riportati nell’apposito Allegato II), per la ricerca mirata di specifiche vittime (rapimento, tratta e sfruttamento sessuale di esseri umani e persone scomparse) e per la prevenzione di minacce (vita, incolumità fisica, attacco terroristico). L’utilizzo deve avvenire in un limitato lasso temporale o spaziale, previa autorizzazione giudiziaria o amministrativa.
AI Act: i sistemi ad alto rischio (e quelli a rischio minimo)
Individuate, quindi, le applicazioni vietate, il Regolamento disciplina i sistemi di AI che potrebbero, potenzialmente, avere ripercussioni negative sulla sicurezza delle persone o sui loro diritti fondamentali. Questi sono considerati sistemi ad alto rischio. Prima di immettere gli stessi sul mercato europeo o prima di farli entrare in servizio è necessario prevedere una valutazione di conformità. Questa valutazione consisterà in una descrizione dei processi per i quali il sistema sarà utilizzato.
Ma quali sono questi sistemi ad alto rischio? L’elenco preciso è ricompreso nell’Allegato III al Regolamento. Tra le voci, rientrano quelli di identificazione biometrica remota, categorizzazione biometrica e riconoscimento delle emozioni (al di fuori delle categorie vietate), i sistemi usati per determinare l’accesso a servizi e a prestazioni pubblici e privati essenziali (ad esempio, l’assistenza sanitaria), quelli relativi alla valutazione dell’occupazione o quelli finalizzati alla valutazione dell’affidabilità creditizia.
I sistemi dovranno quindi dimostrare di utilizzare una AI affidabile. Qualora si verifichi una loro modifica sostanziale, sarà necessaria una nuova valutazione. È inoltre richiesta la trasparenza, con tracciabilità e verificabilità degli stessi e degli algoritmi utilizzati, con una apposita garanzia di conservazione della documentazione – almeno per dieci anni, per eventuali indagini ex post.
Il Regolamento, poi, prevede alcuni sistemi di AI catalogati come “a rischio minimo”, categoria nella quale è ricompresa la maggio parte dei sistemi di sistemi di AI attualmente utilizzati. Pensiamo ai videogiochi o ai filtri spam, per esempio. Questa tipologia è esente da specifici obblighi ma i fornitori potrebbero aderire volontariamente a codici di condotta, laddove si configurasse un evidente rischio di manipolazione.
L’obbligo di trasparenza nel Regolamento AI
Sono analizzati anche i “rischi sistemici”, ovvero quelli derivanti da modelli di AI per finalità generali “General-Purpose AI Systems” (GPAI), impiegati per svolgere un’ampia gamma di compiti. Qualora molto utilizzati o se particolarmente efficaci, questi modelli potrebbero causare incidenti gravi o essere usati impropriamente per attacchi informatici di vasta portata. Un uso improprio dell’AI, in questo ambito, va quindi scongiurato.
Individuate quindi le suddette tipologie di rischio, il Regolamento procede con una serie di obblighi, destinati a determinati sistemi di IA, nell’ambito della trasparenza. In particolare, laddove esista un evidente rischio di manipolazione (pensiamo all’uso di chatbot), agli utenti dovrà essere chiarito che è in atto un’interazione tra soggetto e macchina, e gli stessi dovranno essere consapevoli di ciò.
Inoltre, i fornitori di sistemi di AI capaci di generare contenuti audio, immagini, video o testi sintetici, dovranno palesare che il risultato del sistema di AI sia stato generato o manipolato artificialmente. I deep fake, ad esempio, dovranno essere etichettati come tali. Nel caso in cui siano utilizzati sistemi di categorizzazione biometrica o di riconoscimento delle emozioni, sarà obbligatorio informare gli utenti.
Governance e sanzioni nel Regolamento sull’Intelligenza Artificiale
Il Regolamento sull’AI istituisce il Consiglio per l’Intelligenza Artificiale, composto da un esponente per ogni Stato Membro. L’Ufficio monitorerà l’andamento generale e, all’occorrenza, potrà aggiornare le normative nel caso di evidenti evoluzioni tecnologiche in materia. Al sopraggiungere di rischi sistemici, l’Ufficio sarà contattato dai fornitori. Questi, dopo una accurata valutazione – ed entro due giorni dal verificarsi dell’evento o dalla avvenuta conoscenza del fatto – dovranno infatti segnalare gli incidenti gravi.
Sono poi previste misure a sostegno dell’innovazione. Il Regolamento stabilisce la creazione di spazi di sperimentazione e meccanismi di prova in condizioni reali (le cosiddette sandbox). Ogni Stato (o anche più Paesi congiuntamente) dovrà quindi istituire uno schema che consenta di effettuare test in sicurezza, promuovendo così l’innovazione da parte delle imprese, delle pmi e delle startup.
E, come ogni normativa che si rispetti, è previsto anche un aspetto punitivo. Le violazioni sono punite con sanzioni variabili, ovvero con percentuali basate sul fatturato mondiale totale, registrato nel precedente anno finanziario.
Si parte da multe pari a 7,5 milioni di euro o all’1% del fatturato globale per informazioni scorrette. Si sale a 15 milioni o al 3% per l’inosservanza di qualsiasi altro requisito o obbligo, compresa la violazione delle regole relative ai modelli di AI per finalità generali. Infine, il tetto massimo: 35 milioni di euro o il 7% del fatturato globale nel caso degli usi proibiti.
I 5 step temporali per l’applicazione dell’AI Act
In attesa della formale approvazione da parte del Consiglio, il Regolamento ora verrà sottoposto alla verifica finale dei giuristi linguisti. Dovrebbe essere adottato definitivamente prima di giugno 2024, ovvero prima della fine della legislatura europea. Entrerà quindi in vigore venti giorni dopo la pubblicazione nella Gazzetta ufficiale dell’UE, mentre sarà applicabile con una tempistica scadenzata.
Dopo 6 mesi dall’entrata in vigore (quindi previsionalmente agli inizi del 2025) gli Stati membri dovranno eliminare gradualmente i sistemi vietati. Dopo 9 mesi partirà la validità dei codici di buone pratiche, dopo 12 mesi saranno operative le norme sui sistemi di AI per finalità generali, compresa la governance.
Tutte le altre regole ricomprese nell’AI Act, tra cui gli obblighi per i sistemi ad alto rischio definiti nell’Allegato III, diventano applicabili dopo i consueti 24 mesi. Per l’applicazione degli obblighi relativi ai sistemi ad alto rischio la deadline è più lontana. Bisognerà attendere ben 36 mesi, data la delicatezza della materia.
