Intelligenza artificiale, il voto del Parlamento Ue regola tutto? Quasi. Dal copyright al deepfake, cosa c’è (e cosa manca)

L’Europa è riuscita a mettersi d’accordo sulle regole comuni in materia di intelligenza artificiale dopo una delle negoziazioni più difficili della sua storia. Il Parlamento europeo ha infatti approvato il 13 marzo, con un’amplissima maggioranza: 523 voti a favore, 46 contrari, 49 astenuti, il Regolamento comunemente definito Artificial intelligence Act. Ora manca soltanto l’ok del Consiglio e la verifica finale dei giuristi-linguisti, due requisiti formali e poi il Regolamento verrà pubblicato nella Gazzetta Ufficiale, per entrare in vigore prima della fine della legislatura europea.

Il Commissario Europeo al Mercato interno, Thierry Breton, ha subito esultato su X con un titolo dal sapore calcistico “Democrazia 1 – Lobby 0”, riferendosi forse alle cosiddette Big Tech, dimenticando però che la lobby contrapposta a quelle delle Big Tech, ovvero quella del Big copyright, ha invece ottenuto, consapevolmente o inconsapevolmente, tutto ciò che desiderava. Le società che gestiscono le cosiddette AI generative (come ChatGpt e Midjourney) sono infatti obbligate in base alle nuove norme a principi di trasparenza legati alla costruzione dei propri dataset, per evitare le violazioni del copyright, e il punto – del tutto assente nelle prime formulazioni della norma – ha costituito il terreno di scontro più duro durante le negoziazioni.

Per quanto l’accento delle istituzioni europee sia stato posto sempre sulla tutela dei diritti fondamentali e sulla necessità di proteggere i valori europei rispetto ad altre esperienze extra-Ue, non vi è dubbio che il punto del “dazio” economico da pagare per lo sviluppo delle nuove forme di intelligenza artificiale sia stato quello che ha dato più da discutere, insieme a quello dell’uso indiscriminato di tecnologie biometriche a beneficio della sicurezza pubblica.

Da questo punto di vista più che le lobby a cui fa riferimento il commissario Breton i timori sono stati espressi dalle start up e dalle società europee del nascente mercato dell’intelligenza artificiale, preoccupate dei costi di adempimento per il rispetto del diritto d’autore e per l’entità molto elevata delle sanzioni previste dall’Artificial intelligence act, improntate ad un principio di proporzionalità crescente, rispetto ai tipi di intelligenza artificiale. Timori che sono affiorati anche nella posizione italiana, che è stata estremamente ondivaga nel corso delle negoziazioni, stretta tra le aziende che non desideravano una posizione troppo rigida sugli obblighi ed i divieti, con un occhio interessato alle posizioni di Elon Musk, ad esempio, e quella “ideologica” di appoggio all’uso di tutti gli strumenti di repressione del crimine, anche digitali, da parte delle forze dell’ordine, fortemente avversata soprattutto dai parlamentari europei.

Una posizione stigmatizzata anche dal co-relatore della proposta presso il Parlamento europeo il capo delegazione del Pd, Brando Benifei, che però, è sembrato commentare la posizione del governo italiano più sotto il profilo politico che sotto quello del merito.

Venendo al merito del Regolamento va detto che, al fine di salvaguardare il mercato delle piccole e medie imprese, sono state comunque previste eccezioni con sanzioni limitate per pmi e start up, raggiungendo così un equilibrio tra la necessità di regolamentare l’AI e l’obiettivo di non limitare lo sviluppo di questa tecnologia nell’Ue. Le sanzioni per le violazioni del regolamento Ue sull’intelligenza artificiale sono comunque fissate in percentuale del fatturato annuo globale nell’esercizio finanziario precedente della società che ha commesso l’illecito o, se superiore, in un importo predeterminato. Per le violazioni relative alle applicazioni di IA vietate, la sanzione può arrivare fino a 35 milioni di euro o essere pari al 7% del fatturato annuo dell’azienda.

Si tratta essenzialmente dei sistemi di categorizzazione biometrica basati su caratteristiche sensibili o l’estrapolazione indiscriminata di immagini facciali da internet o dalle registrazioni dei sistemi di telecamere a circuito chiuso per creare banche dati di riconoscimento facciale. Stesse divieti per altri sistemi vietati come i sistemi di riconoscimento delle emozioni sul luogo di lavoro e nelle scuole, i sistemi di “social scoring” (largamente in uso in Cina, ad esempio), le pratiche di polizia predittiva (se basate esclusivamente sulla profilazione o sulla valutazione delle caratteristiche di una persona) e i sistemi che manipolano il comportamento umano o sfruttano le vulnerabilità delle persone.

In linea di principio le forze dell’ordine non potranno fare ricorso ai sistemi di identificazione biometrica, tranne in alcune situazioni specifiche espressamente previste dalla legge. L’identificazione “in tempo reale” potrà essere utilizzata solo se saranno rispettate garanzie rigorose, ad esempio se l’uso è limitato nel tempo e nello spazio e previa autorizzazione giudiziaria o amministrativa. Gli usi ammessi includono, ad esempio, la ricerca di una persona scomparsa o la prevenzione di un attacco terroristico. L’utilizzo di questi sistemi a posteriori è considerato ad alto rischio. Per questo, per potervi fare ricorso, l’autorizzazione giudiziaria dovrà essere collegata a un reato.

La regolamentazione pone, al di là dei divieti, anche degli obblighi, in relazione ai diversi tipi di intelligenza artificiale. Sono infatti previsti obblighi per sistemi di IA ad alto rischio (che potrebbero arrecare danni significativi alla salute, alla sicurezza, ai diritti fondamentali, all’ambiente, alla democrazia e allo Stato di diritto). Rientrano in questa categoria gli usi legati a infrastrutture critiche, istruzione e formazione professionale, occupazione, servizi pubblici e privati di base (ad esempio assistenza sanitaria, banche, ecc.), alcuni sistemi di contrasto, migrazione e gestione delle frontiere, giustizia e processi democratici (come nel caso di sistemi usati per influenzare le elezioni). Per questi sistemi vige l’obbligo di valutare e ridurre i rischi, mantenere registri d’uso, essere trasparenti e accurati e garantire la sorveglianza umana.

I cittadini avranno diritto a presentare reclami sui sistemi di IA e a ricevere spiegazioni sulle decisioni basate su sistemi di IA ad alto rischio che incidono sui loro diritti. Queste ultime disposizioni hanno attenuato in parte le forti critiche che erano giunte dalle Associazioni di consumatori quando erano circolate le prime bozze del Regolamento, mentre il diritto alle spiegazioni sull’algoritmo colmano un vuoto che era stato lasciato aperto dal Regolamento generale Privacy (GDPR), al cui interno all’ultimo minuto non aveva trovato spazio il diritto alla conoscenza da parte dei cittadini.

I sistemi di AI per finalità generali e i modelli su cui si basano dovranno soddisfare determinati requisiti di trasparenza e rispettare le norme Ue sul diritto d’autore durante le fasi di addestramento dei vari modelli. I modelli più potenti, che potrebbero comportare rischi sistemici, dovranno rispettare anche altri obblighi, ad esempio quello di effettuare valutazioni dei modelli, di valutare e mitigare i rischi sistemici e di riferire in merito agli incidenti. Inoltre, le immagini e i contenuti audio o video artificiali o manipolati (i cosiddetti “deepfake”) dovranno essere chiaramente etichettati come tali.

Come tale disposizione potrà essere attuata, allo stato attuale, non è chiaro. Per le violazioni degli obblighi le pene pecuniarie possono arrivare fino a 15 milioni di euro o il 3% del fatturato. Mentre per chi fornisce informazioni inesatte la sanzione amministrativa può giungere a 7,5 milioni di euro o l’1,5% del fatturato.

Il Regolamento si applicherà in maniera graduale: i divieti per le tecnologie bandite saranno effettivi prima della fine dell’anno, le regole per i sistemi di intelligenza artificiale di uso generale inizieranno ad applicarsi un anno dopo l’entrata in vigore della legge. Entro la metà del 2026 entrerà in vigore l’intera serie di regolamenti, compresi i requisiti per i sistemi ad alto rischio.