L’ AI ACT: Una legislazione per l’uso sicuro dell’Intelligenza Artificiale

L’Unione Europea è la prima al mondo a dotarsi di regole sull’Intelligenza artificiale. Il nuovo regolamento, in assenza di una legislazione degli Stati Uniti, andrà a stabilire come l’IA dovrebbe essere governata nel mondo occidentale. Fulcro della nuova legge è la necessità di affrontare le preoccupazioni relative a pregiudizi, privacy e altri rischi derivanti dalla rapida evoluzione della tecnologia. La legislazione vieterà l’uso dell’intelligenza artificiale per rilevare le emozioni nei luoghi di lavoro e nelle scuole e limiterà il suo utilizzo in situazioni ad alto rischio, oltre a possibili (ma non certe) restrizioni agli strumenti di IA generativa, come ChatGPT, che era stato attenzionato dal Garante italiano un anno fa, per come raccoglieva e gestiva le informazioni sensibili degli utenti. Della nuova legislazione parliamo con Antonino Caffo, giornalista esperto di tecnologia e collaboratore, tra gli altri, dell’Agenzia Ansa.

Caffo, il Parlamento europeo approva una legge di regolamento sull'Intelligenza Artificiale, l'AI Act. Qualcuno ha definito questa importante regolamentazione come una "vittoria della democrazia contro le lobby". È così?

Lo scorso giugno, quando si cominciava a parlare di AI Act, più di 150 amministratori delegati di importanti aziende europee come Renault, Heineken, Airbus e Siemens hanno inviato una lettera aperta al Parlamento europeo, alla Commissione europea e ai governi degli Stati membri dell’UE esprimendo la loro opposizione alla bozza di legge sull’intelligenza artificiale. Il motivo? La paura che, in quella forma, la regolamentazione potesse incidere negativamente sulla concorrenza e sulla sovranità tecnologica europea. Nella forma aggiornata, molti dei requisiti della legge sull’intelligenza artificiale, ad esempio in materia di governance dei dati, sono stati rivisti, non sempre in forma restrittiva, anzi. La bozza iniziale proposta dal Parlamento voleva estendere un divieto completo delle tecnologie di sorveglianza biometrica di massa, mentre la nuova legge permetterà alle forze dell'ordine di usare software per il riconoscimento facciale negli spazi pubblici. Questo apre a tutta una nuova serie di servizi e offerte da parte delle aziende specializzate ma anche a possibili errori e cosiddetti “bias”, risultati non del tutto corretti ma opinabili.

Ci troviamo di fronte ad una regolamentazione davvero completa (per qualche osservatore troppo)?

Come molte normative dell’UE, l’AI Act inizialmente dovrà fungere da legislazione sulla sicurezza dei consumatori, adottando un “approccio basato sul rischio” per prodotti o servizi che utilizzano l’intelligenza artificiale. Più un’applicazione di intelligenza artificiale è rischiosa, maggiore sarà il controllo che dovrà affrontare. I sistemi a basso rischio, come i sistemi di raccomandazione dei contenuti o i filtri antispam, dovranno affrontare solo regole leggere, come rivelare che sono alimentati dall’intelligenza artificiale. L’UE prevede che la maggior parte dei sistemi di IA rientri in questa categoria. Gli usi ad alto rischio dell’intelligenza artificiale, come nei dispositivi medici o nelle infrastrutture critiche come le reti idriche o elettriche, devono affrontare requisiti più severi come l’utilizzo di dati di alta qualità e la fornitura di informazioni chiare agli utenti. Alcuni usi dell’intelligenza artificiale sono vietati perché considerati un rischio inaccettabile, come i sistemi di punteggio sociale che regolano il comportamento delle persone, alcuni tipi di polizia predittiva e i sistemi di riconoscimento delle emozioni a scuola e sul posto di lavoro. Altri usi vietati includono la scansione dei volti da parte della polizia in pubblico utilizzando sistemi di “identificazione biometrica” remota alimentati dall’intelligenza artificiale, ad eccezione di crimini gravi come rapimenti o terrorismo. Come è chiaro, niente sarà completo quando ci si trova dinanzi ad una tecnologia ad ampio spettro, teoricamente applicabile a qualsiasi contesto della vita digitale odierna. La legge dovrà tenere il passo dell’innovazione, aggiornata in base al contesto.

Qual è l'originalità di questa legislazione?

Le prime bozze della legge si concentravano sui sistemi di intelligenza artificiale che svolgevano compiti strettamente limitati, come la scansione di curriculum e domande di lavoro. La sorprendente ascesa dei modelli di intelligenza artificiale per scopi generali, esemplificata da ChatGPT di OpenAI, ha spinto i politici a lottare per tenere il passo. Hanno aggiunto disposizioni per i cosiddetti modelli di intelligenza artificiale generativa, la tecnologia alla base dei sistemi di chatbot che può produrre risposte, immagini e altro ancora uniche e apparentemente realistiche. Gli sviluppatori di modelli di intelligenza artificiale per scopi generici, dalle startup europee a OpenAI e Google, dovranno fornire un riepilogo dettagliato di testo, immagini, video e altri dati su Internet utilizzati per addestrare i sistemi e rispettare la legge sul copyright dell'UE. Immagini, video o audio deepfake generati dall'intelligenza artificiale di persone, luoghi o eventi esistenti devono essere etichettati come manipolati artificialmente. Viene effettuato un ulteriore controllo per i modelli di intelligenza artificiale più grandi e potenti che comportano "rischi sistemici", tra cui GPT4 di OpenAI, il suo sistema più avanzato, e Gemini di Google. L’UE afferma di essere preoccupata che questi potenti sistemi di intelligenza artificiale possano “causare gravi incidenti o essere utilizzati in modo improprio per attacchi informatici di vasta portata”. C’è inoltre il timore che l’intelligenza artificiale generativa possa diffondere “pregiudizi dannosi” in molte applicazioni. Le aziende che forniscono questi sistemi dovranno valutare e mitigare i rischi; segnalare eventuali incidenti gravi, quali malfunzionamenti che causino la morte di qualcuno o gravi danni alla salute o alle cose; mettere in atto misure di sicurezza informatica e rivelare quanta energia utilizzano i loro modelli.

A chi si applica L'AI Act? E per l'imprese extra europee?

Le disposizioni inizieranno ad entrare in vigore gradualmente, con i paesi UE tenuti a monitorare i sistemi di intelligenza artificiale sei mesi dopo l’entrata in vigore delle norme nei codici legislativi. Le regole per i sistemi di intelligenza artificiale di uso generale come i chatbot inizieranno ad applicarsi un anno dopo l’entrata in vigore della legge. Entro la metà del 2026 entrerà in vigore l’intera serie di regolamenti, compresi i requisiti per i sistemi ad alto rischio. Per quanto riguarda l’applicazione delle norme, ciascun paese dell’UE istituirà un proprio organismo di controllo dell’IA, presso il quale i cittadini potranno presentare un reclamo se ritengono di essere stati vittime di una violazione. Nel frattempo, Bruxelles creerà un ufficio IA incaricato di far rispettare e supervisionare la legge per i sistemi IA di uso generale. Le violazioni dell’AI Act potrebbero comportare multe fino a 35 milioni di euro (38 milioni di dollari), ovvero il 7% delle entrate globali di un’azienda. Negli Stati Uniti, il presidente Joe Biden ha firmato lo scorso ottobre un ampio ordine esecutivo sull’intelligenza artificiale che dovrebbe essere sostenuto da leggi e accordi globali. I legislatori di almeno sette stati degli Stati Uniti stanno lavorando alla propria legislazione sull’IA. Il presidente cinese Xi Jinping ha proposto la sua Global AI Governance Initiative e le autorità hanno emesso “misure provvisorie” per la gestione dell’intelligenza artificiale generativa, che si applica a testo, immagini, audio, video e altri contenuti generati per le persone all’interno del Paese. Altri, dal Brasile al Giappone, così come gruppi globali come le Nazioni Unite e il G7, si stanno muovendo per elaborare norme specifiche.

È una regolamentazione che favorirà una migliore progettazione dell'IA e del suo "addestramento"?

L’introduzione di obblighi relativi ai modelli di intelligenza artificiale per scopi generali (GPAI) ha suscitato confusione tra le imprese. Distinguere tra modelli GPAI e sistemi GPAI e comprendere la loro separazione dai sistemi ad alto rischio pone delle sfide. Molte aziende si trovano a dover affrontare queste distinzioni, il che contribuisce ad alimentare incertezze sui limiti e sugli obblighi di conformità applicabili. Inoltre, anche gli obblighi relativi ai modelli GPAI stessi sono ancora confusi. Ad esempio, l'obbligo di rendere disponibile una “sintesi sufficientemente dettagliata” dei dati relativi alla formazione è aperto a interpretazioni, almeno fino alla pubblicazione di norme armonizzate. In conclusione, l’AI Act, pur segnando un passo significativo nella regolamentazione dell’IA, non è privo di sfide. L’industria deve affrontare le complessità e le ambiguità presenti nella legislazione, cercando chiarezza attraverso il dialogo e l’impegno continui. La diversità delle prospettive sottolinea la necessità di un continuo perfezionamento e adattamento per garantire un quadro normativo equilibrato ed efficace.