Regolamentazione e rischi collegati all’utilizzo dei sistemi di intelligenza artificiale
Come noto, il 21 aprile 2021 la Commissione Europea finalizzava una proposta di regolamento (di seguito per comodità “Regolamento”) al fine di introdurre un sistema di norme armonizzate per lo sviluppo, immissione e utilizzo di sistemi di intelligenza artificiale “IA” all'interno dell'Unione Europea. In quell’occasione, veniva previsto un “periodo di grazia”, vale a dire un periodo di due anni in cui tutti gli operatori del settore avrebbero avuto il tempo di conformarsi al Regolamento, nonché di adottare decisioni in base alle regole in esso contenute.
Visto il proliferarsi di sistemi di intelligenza artificiale, è lecito domandarsi se durante il citato periodo di grazia gli stessi si siano effettivamente conformati alle norme del Regolamento.
Per rispondere a tale quesito, è necessario anzitutto elencare di seguito i sistemi di intelligenza artificiale specificamente vietati dal Regolamento:
- quelli che utilizzano tecniche subliminali capaci di distorcere il comportamento di un soggetto;
- quelli che sfruttano la vulnerabilità di un gruppo specifico di persone;
- quelli che permettono alle autorità pubbliche di creare una classificazione delle persone basata su un punteggio sociale;
- quelli che utilizzano sistemi di identificazione biometrica in tempo reale, salvo nei casi previsti dalla legge.
In aggiunta a quanto sopra, la Commissione Europea ha altresì individuato tre tipologie di rischio in relazione al tipo di sistema di intelligenza artificiale in uso che vengono riportate di seguito:
- “rischio inaccettabile” qualora il sistema di IA sia da considerarsi una minaccia per la sicurezza, i mezzi di sostegno e i diritti individuali; un tale sistema è da ritenersi proibito in base al Regolamento;
- "alto rischio” qualora i sistemi di IA siano utilizzati in settori che coinvolgono diritti fondamentali dell’uomo; un tale sistema può essere utilizzato e implementato solo adottando una serie precauzioni di cui si parlerà di seguito;
- “rischio limitato” qualora i sistemi di IA comportino rischi considerati minori, come ad esempio nel campo dei videogiochi, dove vengono imposti unicamente obblighi di trasparenza.
Sulla base di queste dovute premesse, proviamo ad analizzare una fattispecie concreta di intelligenza artificiale – vale a dire la guida autonoma della nota casa automobilistica “Tesla” in relazione alla quale lo Studio ha già pubblicato un articolo - per comprendere se essa sia o meno conforme al Regolamento e, soprattutto, che tipo di rischio potrebbe derivare dal suo utilizzo.
È ragionevole considerare come elevato il rischio che tale sistema di IA potrebbe comportare per il pubblico e ne sono prova gli oltre 700 incidenti provocati dalla stessa al di fuori dell’Unione Europea, con danni sia a persone che a veicoli di terzi.
È altrettanto ragionevole affermare che un sistema di guida autonoma come quello in questione necessiterebbe di una doppia regolamentazione, vale a dire sia le norme del citato Regolamento in relazione all’uso / implementazione del sistema di intelligenza artificiale, sia nuove e precipue regole del codice della strada necessitate dalla circolazione di veicoli senza conducente che comunicano tra di loro attraverso segnali e suoni non comprensibili per l’essere umano (risulta che tale ultima regolamentazione sia già a buon punto in Francia, Germania e Stati Uniti).
Ora, pare ragionevole inquadrare tale sistema di IA c.d. “self-driving car” all’interno della seconda tipologia di rischio, ossia quello ritenuto “alto”; sulla base del Regolamento, questo livello di rischio richiede al produttore di tale sistema di intelligenza artificiale (“Tesla”) di svolgere una preliminare valutazione di conformità del sistema nonché di fornire una dettagliata analisi dei relativi rischi, il tutto mediante una serie di test che dovranno dimostrare la totale assenza di errori di tali sistemi. In aggiunta, l’art. 10 del Regolamento prevede un ulteriore obbligo a carico dell’azienda utilizzatrice del sistema di IA riguardante la corretta conservazione e governance dei dati degli utenti trattati dai sistemi in questione.
Il Regolamento in esame prevede dunque una serie di requisiti e obblighi piuttosto rigidi che, ad opinione di chi scrive, saranno difficilmente soddisfatti da parte dei sistemi di intelligenza artificiale oggi in circolazione e, difatti, non sono mancate le critiche da parte di coloro che auspicano l’introduzione di criteri meno stringenti in modo da facilitare un maggior utilizzo di tali sistemi.
Un altro esempio concreto di intelligenza artificiale, di cui abbiamo già parlato nell’articolo dello scorso mese, è ChatGPT che in Italia è stata bloccata dal Garante della Privacy per inosservanza delle norme europee sui dati personali.
Proprio ChatGPT dimostra come sia alquanto complesso inquadrare e classificare i diversi dispositivi di intelligenza artificiale pur applicando i criteri e principi definiti dal Regolamento. Difatti, ad una prima e superficiale analisi, ChatGPT potrebbe rientrare nei sistemi di IA con un rischio minore (terzo livello) in quanto non sembra coinvolgere diritti fondamentali.
C’è tuttavia da domandarsi se questo sia valido anche qualora si chiedesse all’applicazione ChatGPT di rintracciare e divulgare i dati di una persona ovvero di predisporre un saggio ovvero ancora di rielaborare un’opera protetta dal diritto d’autore.
La risposta a tale quesito non potrà che essere negativa, atteso che tale utilizzo dell’applicazione in esame rischierebbe di violare non solo i diritti fondamentali relativi alla protezione dei dati personali di ciascun individuo ma anche quelli appartenenti agli autori delle opere protette dal diritto d’autore. Tutto questo ci impone di classificare ChatGPT nella categoria dei sistemi IA ad “alto rischio”, con tutte le conseguenze che ne derivano.
Sotto questo profilo, bisogna inoltre evidenziare che il Regolamento prevede severi controlli in relazione ai sistemi di IA ad “alto rischio”, nonché l’applicazione di sanzioni amministrative che possono arrivare fino a 30 milioni di euro ovvero al 6% di fatturato dell’azienda interessata. Non è tuttavia chiaro, o comunque non è stato ancora individuato, quale sarà l’organo deputato a svolgere i controlli circa il rispetto delle norme del Regolamento.
In conclusione e sulla base delle considerazioni svolte sopra, chi scrive ritiene opportuno che in fase di approvazione definitiva del Regolamento vengano meglio definiti i principi e criteri per la classificazione dei vari sistemi di intelligenza artificiale in quanto attualmente troppo generici e spesso insufficienti a classificare correttamente i sistemi di IA più complessi (tra i quali “ChatGPT”).
È inoltre auspicabile che venga creata ed istituita un’autorità indipendente ed imparziale per ciascuno stato membro capace di svolgere la funzione di controllo e verifica di corretta applicazione delle norme del Regolamento al fine di una migliore tutela dei diritti fondamentali dei singoli individui.
