AI Act, ok dal Parlamento UE: ecco cosa prevede il testo approvato

Il Parlamento europeo ha approvato ieri il testo definitivo dell’AI Act. Si tratta di un passaggio storico, anche perché è la prima normativa uniforme su queste tecnologie, eccezion fatta per l’Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence firmato da Biden il 23 ottobre scorso. Il percorso, in verità, è ancora lungo, nel senso che il Regolamento entrerà in vigore 20 giorni dopo la pubblicazione sulla Gazzetta Ufficiale dell’Unione europea, ma la maggior parte delle sue disposizioni diverrà efficace solo dopo 24 mesi, così come era avvenuto per il GDPR. Quindi, la Commissione assegna un periodo mediamente lungo, in modo da consentire alle imprese e ai soggetti di adeguarsi agli obblighi del Regolamento. Le regole sui sistemi AI vietati si applicheranno dopo 6 mesi; quelle sulle GPAI (General purpose AI o intelligenza artificiale generale) dopo 12 mesi, tranne per i modelli di GPAI che sono stati immessi sul mercato prima di questa data (24 mesi); quelle sui sistemi AI ad alto rischio dopo 36 mesi; infine, quelle per i sistemi AI ad alto rischio destinati all’uso da parte di autorità pubbliche, che erano già sul mercato prima dell'entrata in vigore dell'AI Act, avranno ben 48 mesi di tolleranza.

Ambito di applicazione

L’AI Act ha adottato una soluzione simile a quella che era già stata intrapresa dal GDPR e da altre normative successive in materia di digitale.

Difatti, il Regolamento trova applicazione non solo ai fornitori di sistemi di intelligenza artificiale che immettono sul mercato o utilizzano tali sistemi nel territorio dell’Unione Europea, ma anche a quelli al di fuori di tale ambito, se i risultati generati dai sistemi di intelligenza artificiale sono impiegati in Europa.

Inoltre, il regolamento si applica agli utilizzatori dei sistemi di intelligenza artificiale, sia enti pubblici sia privati. Infine, l'AI Act riguarda anche gli importatori, i distributori e le persone coinvolte nell'uso di tali sistemi.

Restano escluse le tecnologie di intelligenza artificiale utilizzate esclusivamente per scopi militari, di difesa o di sicurezza nazionale (di competenza degli Stati membri); quelli necessari per attività di ricerca e sviluppo scientifico relativi ai sistemi di intelligenza artificiale; o quelli utilizzati da persone fisiche per motivi non professionali.

Sistemi vietati

L’AI Act suddivide le diverse tecnologie in base a parametri di rischio. Innanzi tutto, c’è un lungo elenco di pratiche che sono proibite o, meglio, il divieto di immettere sul mercato o di utilizzare determinate tecnologie. In particolare, quelle che utilizzano tecniche volutamente subliminali o manipolative, distorcendo il comportamento di una persona e inducendolo a prendere una decisione che non avrebbe altrimenti preso. Allo stesso modo, tecnologie che si sfruttino la vulnerabilità di determinati soggetti (ad es. età o disabilità) con l’effetto, nuovamente, di distorcere il suo comportamento.

Parimenti vietati sono i sistemi automatizzati di social scoring, così come sistemi di polizia predittiva, ossia sistemi che considerano la la probabilità che una persona fisica commetta un reato, unicamente sulla base della profilazione fisica o della valutazione dei tratti e delle caratteristiche della personalità.

Parimenti vietati sono i sistemi che analizzano l’inferenza delle emozioni nell’ambito dei rapporti lavorativi o delle istituzioni scolastiche, fatta eccezione per motivi di salute o di sicurezza.

Uno dei punti maggiormente discussi – e che, in parte, rimarrà di competenza degli Stati membri – riguarda l’identificazione biometrica in tempo reale utilizzati per finalità connesse alla commissione di reati o per prevenzione di attacchi terroristici.

Sistemi ad alto rischio

L’art. 6 del Regolamento si occupa dei sistemi ad alto rischio: tali sono considerati i sistemi di IA destinati a essere utilizzati come componente di sicurezza di un prodotto oppure quelli elencati nell’Allegato III. Si tratta di sistemi ammessi, a condizione che non presentino un rischio significativo di danni per la salute, la sicurezza o i diritti fondamentali delle persone fisiche. Per esempio, i sistemi destinati a svolgere un compito procedurale limitato; migliorare il risultato di un’attività umana precedentemente realizzata; rilevare schemi decisionali o deviazioni dai precedenti schemi decisionali e non è destinato a sostituire o influenzare la valutazione umana precedentemente completata, senza una corretta revisione umana; o svolgere un compito preparatorio per una valutazione. Fine modulo

In altri termini, si tratta di strumenti che presentano dei rischi – ad esempio, nel caso del profiling delle persone –, il cui ambito applicativo però è incerto ed è probabile che molti fornitori cercheranno di non ricadere in tale categoria.

Peraltro, tali sistemi saranno censiti in database dell’Unione europea prima di essere immessi sul mercato o messi in servizio.

Sistemi a basso rischio

Infine, per i sistemi a basso rischio, sono previsti solo degli obblighi di trasparenza e di informazione: si tratta di sistemi come, ad esempio, chatbot come ChatGPT oppure software antispam. Particolare attenzione è riservata ai deep fake, nel senso che è imposto al sistema di informare gli utenti: l’art. 50 stabilisce che le persone fisiche interessate devono “essere informate del fatto di stare interagendo con un sistema di IA, a meno che ciò non risulti evidente dal punto di vista di una persona fisica ragionevolmente informata, attenta e avveduta, tenendo conto delle circostanze e del contesto di utilizzo”.

Principali obblighi

L'Artificial Intelligence Act ha introdotto una serie di obblighi significativi che coinvolgono direttamente fornitori, deployers, importatori e distributori di sistemi di intelligenza artificiale ad alto rischio.

I principali obblighi imposti ai fornitori di sistemi IA ad alto rischio (articolo 16) e agli importatori (articolo 23) includono quello di garantire la conformità ai requisiti tecnici specifici indicati dal Regolamento, indicare informazioni essenziali sul sistema, disporre di un sistema di gestione della qualità, elaborare una dichiarazione di conformità UE, adottare misure correttive se necessario e fornire tutte le informazioni richieste alle Autorità competenti.

L’articolo 26 disciplina gli obblighi imposti ai deployer dei sistemi di IA ad alto rischio, tra cui adottare misure tecniche ed organizzative adeguate ad un utilizzo conforme, affidare la sorveglianza umana dei sistemi a persone competenti, monitorare il funzionamento dei sistemi e cooperare con le autorità di vigilanza e controllo, se necessario. Devono inoltre effettuare una valutazione dell'impatto sui diritti fondamentali in determinati casi, come previsto dall'art. 27.

Il Regolamento prevede inoltre specifici obblighi per i fornitori di modelli di IA per finalità generali, inclusi i modelli di IA generativa di grandi dimensioni (come, ad es., ChatGPT).

In particolare, tali fornitori devono redigere e mantenere aggiornata la documentazione tecnica del modello, compresi i dettagli del processo di addestramento e prova, nonché i risultati della sua valutazione. Devono inoltre attuare una politica volta ad adempiere alla normativa dell’Unione in materia di diritto d’autore. Un'altra responsabilità importante è redigere e mettere a disposizione del pubblico una sintesi dei contenuti utilizzati per l’addestramento del modello di IA, consentendo agli interessati di esercitare l'opt-out.

È da notare che i fornitori di modelli rilasciati con licenza libera o open source sono esentati da questi obblighi, a meno che tali modelli non presentino un rischio sistemico.

Se è vero che, da una parte, la mole più importante di obblighi è riservata ai fornitori, il legislatore europeo ha previsto, dall’altra, un meccanismo tale per cui un importatore, distributore, deployer o qualsiasi terza parte potrebbe essere identificata come il fornitore del sistema di intelligenza artificiale ad alto rischio. Ciò comporta, di conseguenza, l'applicazione di tutti gli obblighi che abbiamo visto. Ciò avviene, però, solo in determinate ipotesi: se il soggetto in questione ha apposto il proprio nome o marchio sul sistema dopo che è stato già messo sul mercato o in servizio, se ha apportato modifiche sostanziali dopo la sua commercializzazione o messa in servizio (purché il sistema rimanga ad alto rischio), o se ha modificato lo scopo previsto del sistema di intelligenza artificiale, rendendolo ad alto rischio.

La tutela dei diritti fondamentali

Il Regolamento ha riposto, infine, particolare attenzione alla tutela dei diritti fondamentali delle persone fisiche, imponendo a istituzioni pubbliche e organizzazioni private che offrono servizi alla collettività (come ad esempio istruzione, assistenza sanitaria, strutture ricettive, servizi sociali e enti che operano nell'assicurazione sulla vita e sulla salute) l’obbligo di effettuare una valutazione dell'impatto sui diritti fondamentali (“Fundamental Rights Impact Assessment” o “FRIA”) prima di implementare il sistema di intelligenza artificiale ad alto rischio. Questa valutazione richiede a tali enti di elencare i rischi, le misure di supervisione, le misure di mitigazione del rischio, le categorie di persone fisiche interessate, la frequenza prevista di utilizzo e i processi dei vari deployers per i quali il sistema sarà utilizzato.

Copyright © - Riproduzione riservata