L'Unione europea ha adottato il primo quadro normativo organico sull'intelligenza artificiale: il Regolamento (UE) 2024/1689, noto come AI Act. Essendo un regolamento, si applica direttamente in tutti gli Stati membri, senza bisogno di leggi di recepimento. Le sue disposizioni entrano in applicazione in modo graduale, con scadenze diverse per i vari obblighi. Più che memorizzare articoli, è utile capire la logica con cui è costruito, perché è quella che determina cosa cambia per chi sviluppa o usa sistemi di AI.
L'idea di fondo: regolare in base al rischio
L'AI Act non regola la tecnologia in sé, ma i suoi usi. Lo stesso modello di riconoscimento delle immagini può servire a ordinare le foto delle vacanze o a selezionare persone all'ingresso di un luogo: il rischio per i diritti delle persone è molto diverso, e così gli obblighi.
Il regolamento distingue quindi diversi livelli.
| Livello | Esempi | Conseguenza |
|---|---|---|
| Rischio inaccettabile | Punteggio sociale delle persone, manipolazione che sfrutta vulnerabilità | Pratiche vietate |
| Alto rischio | Selezione del personale, accesso all'istruzione, valutazione del merito creditizio | Obblighi stringenti prima e durante l'uso |
| Rischio limitato | Chatbot, contenuti generati artificialmente | Obblighi di trasparenza |
| Rischio minimo | Filtri antispam, AI nei videogiochi | Nessun obbligo specifico aggiuntivo |
Le pratiche vietate
L'articolo 5 elenca gli usi considerati incompatibili con i valori dell'Unione. Tra questi rientrano, in sintesi:
- tecniche manipolative o ingannevoli che distorcono in modo significativo il comportamento delle persone causando danni;
- lo sfruttamento delle vulnerabilità legate all'età, alla disabilità o alla situazione sociale o economica;
- sistemi di punteggio sociale che portano a trattamenti sfavorevoli ingiustificati;
- la creazione di banche dati di riconoscimento facciale tramite raccolta non mirata di immagini da internet o da telecamere;
- il riconoscimento delle emozioni sul luogo di lavoro e negli istituti di istruzione, salvo motivi medici o di sicurezza;
- l'identificazione biometrica remota in tempo reale in spazi pubblici a fini di contrasto, salvo eccezioni strettamente definite.
I sistemi ad alto rischio
È la parte più corposa del regolamento. Sono considerati ad alto rischio, tra gli altri, i sistemi usati come componenti di sicurezza di prodotti già regolamentati e quelli impiegati in ambiti elencati in un allegato apposito, come occupazione e gestione dei lavoratori, istruzione, accesso a servizi essenziali, infrastrutture critiche, giustizia, migrazione.
Per questi sistemi sono previsti, tra l'altro:
- un sistema di gestione dei rischi lungo tutto il ciclo di vita;
- requisiti sulla qualità dei dati di addestramento, validazione e test;
- documentazione tecnica e conservazione dei registri di funzionamento;
- trasparenza verso chi utilizza il sistema, con istruzioni chiare;
- sorveglianza umana effettiva;
- adeguati livelli di accuratezza, robustezza e sicurezza informatica.
Gli obblighi di trasparenza
Per alcuni sistemi il problema principale è che le persone sappiano con cosa hanno a che fare. Per esempio:
- chi interagisce con un chatbot deve essere informato che sta parlando con un sistema di AI, salvo che sia evidente dal contesto;
- i contenuti sintetici, come immagini, audio o testi generati, devono essere riconoscibili come tali secondo le modalità previste;
- chi usa sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, dove consentiti, deve informare le persone esposte.
I modelli di AI per finalità generali
Il regolamento dedica regole specifiche ai modelli per finalità generali, come i grandi modelli linguistici che possono essere integrati in tantissime applicazioni diverse. Chi li fornisce deve, tra l'altro, predisporre documentazione tecnica, fornire informazioni a chi li integra nei propri prodotti, adottare una politica di rispetto del diritto d'autore e pubblicare una sintesi dei contenuti usati per l'addestramento. Per i modelli che presentano rischi sistemici sono previsti obblighi ulteriori di valutazione e mitigazione.
Chi ha obblighi: i ruoli
L'AI Act distingue diversi soggetti, ciascuno con responsabilità proprie:
- il fornitore, che sviluppa un sistema e lo immette sul mercato con il proprio nome;
- il deployer, cioè chi utilizza un sistema di AI sotto la propria autorità nell'ambito di un'attività professionale;
- l'importatore e il distributore, che lo portano o lo rendono disponibile sul mercato europeo.
Un'azienda che acquista un software di selezione del personale basato sull'AI non è il fornitore, ma come deployer ha comunque doveri, per esempio usarlo secondo le istruzioni e garantire una sorveglianza umana adeguata.
L'alfabetizzazione in materia di AI
Un obbligo spesso trascurato riguarda tutti: l'articolo 4 chiede a fornitori e deployer di adottare misure per garantire un livello sufficiente di alfabetizzazione in materia di AI del personale che si occupa di questi sistemi. In pratica significa formare le persone a capire cosa fa lo strumento, quali sono i suoi limiti e quali rischi comporta.
Il rapporto con il GDPR
L'AI Act non sostituisce il GDPR: i due regolamenti si applicano insieme. Se un sistema di AI tratta dati personali, restano validi tutti i principi della protezione dei dati, dalla base giuridica alla minimizzazione, oltre agli obblighi specifici dell'AI Act.
In sintesi
- L'AI Act è il Regolamento (UE) 2024/1689 e si applica direttamente in tutta l'Unione, in modo graduale.
- Regola gli usi dell'AI in base al rischio: inaccettabile, alto, limitato, minimo.
- Le pratiche vietate e gli obblighi per i sistemi ad alto rischio sono il cuore della disciplina.
- Fornitori e deployer hanno responsabilità diverse, compresa la formazione del personale.
- Il GDPR continua ad applicarsi accanto all'AI Act.
