La maggior parte delle aziende che stanno muovendo i primi passi nel campo dell’intelligenza artificiale non subirà ripercussioni significative a causa di , la nuova legge dell’UE sull’intelligenza artificiale – almeno non in un primo momento. Tuttavia, è necessario esaminare la questione più da vicino, poiché anche gli impieghi dell’IA apparentemente minori potrebbero essere soggetti a requisiti di trasparenza e a valutazioni dei rischi.
La normativa relativa al programma “ ” ( ) è stata adottata dal Parlamento europeo il 13 marzo, mentre l’approvazione da parte del Consiglio dell’UE è prevista entro la fine del mese; la legge dovrebbe entrare in vigore formalmente tra la fine di maggio e l’inizio di giugno.
La legge dell’UE sull’intelligenza artificiale (AI Act) istituisce un quadro normativo basato sul rischio che disciplinerà lo sviluppo, l’implementazione e l’utilizzo dei sistemi di intelligenza artificiale di tipo “ ” in Europa; le norme entreranno in vigore in più fasi tra il 2024 e il 2026. Le aziende che ignorano o violano in altro modo le norme potrebbero incorrere in sanzioni fino al 7% del proprio fatturato globale.
«Se disponete di un sistema di intelligenza artificiale che in qualche modo riguarda l’Europa, dovete tenere conto della legge dell’UE sull’intelligenza artificiale», afferma Gretchen Scott, partner specializzata in tecnologia presso la sede londinese dello studio legale Goodwin.
Qual è il Suo livello di rischio legato all’intelligenza artificiale? La legge dell'UE sull'intelligenza artificiale prevede che Lei sia a conoscenza di quanto segue
Gli avvocati raccomandano di adottare diverse misure per valutare la propria posizione.
“Se disponete di un sistema di intelligenza artificiale che, in qualsiasi modo, avrà ripercussioni sull’Europa, dovete tenere conto della legge dell’UE sull’intelligenza artificiale.””Gretchen Scott, partner specializzata in tecnologia presso lo studio legale Goodwin
In primo luogo, afferma Scott, è importante conoscere la propria posizione nella catena del valore dell’IA per verificare se si ricade in uno dei ruoli chiave che la legge dell’UE sull’IA intende regolamentare, quali fornitori, operatori, distributori, produttori e importatori di sistemi di IA.
Successivamente, afferma che è necessario determinare il livello di rischio del proprio sistema di intelligenza artificiale sulla base dei quattro livelli definiti nella legge dell’UE sull’intelligenza artificiale.
1. Rischio inaccettabile
Si tratta della categoria che vieta gli utilizzi dell’intelligenza artificiale che, secondo l’UE, potrebbero violare i diritti fondamentali dei cittadini o sfruttare i gruppi vulnerabili. Tra i sistemi di intelligenza artificiale vietati figurano quelli che: causano danni significativi sfruttando le vulnerabilità per distorcere il comportamento; il riconoscimento delle emozioni nei luoghi di lavoro e nelle scuole; i sistemi di classificazione biometrica che utilizzano caratteristiche sensibili; l’estrazione di immagini facciali da Internet e dalla televisione per creare banche dati di riconoscimento facciale; il social scoring, la polizia predittiva (si pensi a , , Minority Report, ) e gli strumenti di intelligenza artificiale che manipolano il comportamento umano.
2. Alto rischio
Se la Sua azienda rientra in questa categoria, dovrà far fronte a requisiti normativi piuttosto onerosi. I sistemi di intelligenza artificiale soggetti alle normative dell’UE in materia di sicurezza dei prodotti (quali giocattoli, dispositivi medici e macchinari) sono considerati ad alto rischio, così come lo sono alcuni sistemi di intelligenza artificiale destinati all’uso nell’ambito delle infrastrutture , critiche, dell’istruzione e della formazione professionale, dell’occupazione, dei servizi essenziali pubblici e privati quali l’assistenza sanitaria e il settore bancario, nonché di particolari sistemi utilizzati nelle forze dell’ordine, nella gestione della migrazione e delle frontiere, nella giustizia e nei processi democratici.
[Leggi anche: Le 3 principali minacce legate alla GenAI (più un altro rischio) e come contrastarle]
Le imprese che forniscono sistemi di intelligenza artificiale ad alto rischio devono attuare processi completi di gestione dei rischi e della qualità e sistemi, valutare e ridurre i rischi, conservare i registri di utilizzo, garantire trasparenza e accuratezza, assicurare la supervisione umana e istituire sistemi di monitoraggio post-commercializzazione. Nel contempo, coloro che utilizzano sistemi di intelligenza artificiale ad alto rischio hanno inoltre l’obbligo di utilizzare tali sistemi secondo le istruzioni fornite dal fornitore, di effettuare valutazioni d’impatto, di garantire la supervisione umana e la trasparenza, nonché di monitorare il sistema per individuare eventuali rischi.
3. Intelligenza artificiale a uso generale (GPAI)
In questa categoria saranno trattati molti nomi noti nel settore dell’intelligenza artificiale, tra cui OpenAI, Google e Microsoft. In linea di massima, si tratta di applicazioni considerate a basso rischio. Tuttavia, poiché i modelli GPAI costituiscono la base di numerosi sistemi di IA a valle, i fornitori di GPAI sono soggetti a determinati obblighi, quali la trasparenza, al fine di riconoscere il proprio ruolo e le proprie responsabilità all’interno dell’ecosistema dell’IA.
Una serie di contenziosi in materia di proprietà intellettuale negli Stati Uniti ha messo in luce che, al momento, l’addestramento dei modelli di intelligenza artificiale generativa (GPAI) è un vero e proprio “Far West” – soprattutto per quanto riguarda il presunto ricorso “ ” ai dati altrui per rendere l’IA più intelligente. L’UE richiede ai fornitori di GPAI di attuare politiche volte al rispetto della legislazione regionale in materia di diritto d’autore e di pubblicare sintesi dettagliate dei contenuti utilizzati per la formazione. I modelli gratuiti open source sono esenti da tali requisiti. I modelli GPAI più potenti che comportano un rischio sistemico sono soggetti a requisiti più rigorosi. Scott afferma che, se si stanno sviluppando e distribuendo modelli linguistici di grandi dimensioni (LLM) dotati di funzionalità ad alto impatto, sarà inoltre necessario dimostrare di effettuare valutazioni periodiche dei modelli, di valutare e mitigare i rischi di sistema e di segnalare eventuali incidenti che dovessero verificarsi, compresi gli attacchi informatici .
4. Rischio limitato
I sistemi di intelligenza artificiale che non rientrano in nessuna delle altre categorie saranno soggetti a requisiti di trasparenza volti a garantire che gli utenti siano consapevoli di interagire con l’intelligenza artificiale o che i contenuti che stanno leggendo siano generati artificialmente. Ad esempio, le immagini artificiali o manipolate, i contenuti audio e video di tipo “ ” (come i deepfake) devono essere chiaramente contrassegnati come tali. Le aziende che sviluppano o implementano l’intelligenza artificiale dovranno inoltre garantire un livello sufficiente di competenza in materia di intelligenza artificiale all’interno della propria organizzazione.
Come districarsi tra gli obblighi previsti dalla legge dell’UE sull’IA (e la governance dell’IA)
Una volta compreso il proprio ruolo nella catena del valore dell’IA e la classificazione dei rischi dei propri sistemi di IA, sarete in grado di determinare i vostri obblighi normativi. Scott afferma che la maggior parte dei sistemi di intelligenza artificiale non sarà vietata né considerata ad alto rischio ai sensi della legge dell’UE sull’intelligenza artificiale. «Riteniamo tuttavia che l’impatto della legge dell’UE sull’intelligenza artificiale si farà sentire su ampia scala, poiché assistiamo all’adozione, da parte delle imprese, di misure volte a mitigare i rischi associati allo sviluppo e all’implementazione di sistemi di intelligenza artificiale che comportano gli oneri normativi più elevati», afferma.
“Istituire una task force o un comitato dedicato all’intelligenza artificiale per valutare lo sviluppo o l’utilizzo di tale tecnologia all’interno dell’organizzazione e assicurarsi che siano coinvolti i principali soggetti interessati all’interno dell’organizzazione.””Ana Hadnes Bruder, socia dello studio Mayer Brown
Stabilire almeno un livello minimo di governance dell’intelligenza artificiale è fondamentale ai fini della conformità, afferma Ana Hadnes Bruder, socia dello studio legale Mayer Brown. E le aziende la cui intelligenza artificiale rientri in una qualsiasi categoria ad alto rischio dovrebbero attuare una solida governance dell’IA.
«In termini pratici, ciò significa che è opportuno istituire una task force o un comitato dedicato all’intelligenza artificiale per valutare lo sviluppo o l’utilizzo di tale tecnologia all’interno dell’organizzazione e garantire il coinvolgimento delle principali parti interessate», afferma Bruder, che opera a Francoforte, in Germania, ed è specializzato in protezione dei dati, sicurezza informatica e questioni relative all’intelligenza artificiale. “E dovreste cercare di rendere quel gruppo il più eterogeneo possibile , poiché persone diverse hanno punti di vista diversi, e questo è davvero prezioso per assicurarvi di evitare pregiudizi nella vostra IA.”
La legge dell’UE sull’intelligenza artificiale suscita ulteriori dibattiti: conformarsi o non conformarsi
Bruder afferma che una delle questioni fondamentali che la maggior parte dei comitati sull’IA solleverà inevitabilmente è se le loro implementazioni di IA raggiungano effettivamente un livello tale da richiedere il rispetto della legge dell’UE sull’IA. Dopotutto, l’adeguamento a qualsiasi normativa può richiedere molto tempo ed essere oneroso. Ma Bruder ritiene che i segnali siano evidenti: questa normativa è solo l’inizio.
«Ho consigliato ai miei clienti di aspettarsi un’accelerazione di questa tendenza», afferma Bruder.
Infatti, sebbene gli avvocati non si aspettino che la legge dell’UE sull’intelligenza artificiale venga replicata altrove, come è avvenuto per il Regolamento generale sulla protezione dei dati (GDPR GDPR) , numerosi governi stanno cercando di frenare l’espansione incontrollata dell’intelligenza artificiale. Ad esempio, l’amministrazione Biden ha firmato lo scorso anno un decreto esecutivo intitolato “ ” (Protezione della sicurezza nazionale e della salute pubblica dall’uso improprio dell’intelligenza artificiale) , che impone agli sviluppatori di sistemi di intelligenza artificiale che potrebbero costituire una minaccia per la sicurezza nazionale, l’economia, la salute pubblica o la sicurezza degli Stati Uniti di rendere noti i risultati dei test di sicurezza prima di immettere i propri prodotti sul mercato. Anche le autorità di regolamentazione cinesi hanno stabilito delle norme in materia di intelligenza artificiale generativa. Secondo quanto riportato, lo scorso ottobre 31 paesi avevano approvato una normativa in materia di intelligenza artificiale e altri 13 stavano discutendo leggi in materia.
In linea di massima, le grandi aziende del settore dell’intelligenza artificiale hanno accolto con un tiepido consenso tali normative, poiché riconoscono di non poter sfuggire a tali leggi e sperano di stabilire delle regole di base che consentano loro di continuare a operare. Allo stesso tempo, alcuni esponenti di spicco del settore dell’intelligenza artificiale hanno espresso pubblicamente la preoccupazione che le persone possano perdere il controllo su un’intelligenza artificiale priva di limiti.
Tuttavia, sono state espresse anche preoccupazioni riguardo al fatto che le normative possano soffocare l’innovazione – un rischio che i legislatori hanno cercato di evitare nel corso delle trattative sugli elementi della legge dell’UE sull’intelligenza artificiale, svoltesi negli ultimi cinque anni circa.
Evi Fuelle, direttrice delle politiche globali di CredoAI, una piattaforma dedicata alla governance dell’intelligenza artificiale, ritiene che la normativa definitiva abbia raggiunto un buon equilibrio sotto questo aspetto.
«La legge dell’UE sull’intelligenza artificiale non sta ostacolando l’innovazione, ma la sta incoraggiando», afferma. «Si dice spesso che la mancanza di fiducia rappresenti un ostacolo maggiore in questo ecosistema rispetto alla conformità normativa.»
La legge dell’UE sull’intelligenza artificiale offre certezza alle imprese, definendo quali utilizzi dell’IA siano vietati, ad alto rischio o con un rischio minimo o nullo, nonché i corrispondenti obblighi di trasparenza per ciascuno di essi, afferma Fuelle.
«Ciò offre alle aziende la possibilità di investire con certezza in un’IA responsabile fin dalla progettazione, poiché sanno che questo importante mercato ha affermato con fermezza che non accetterà l’uso o la disponibilità di modelli di IA ad alto rischio che non siano trasparenti e affidabili», afferma.
