Bruxelles – L’Unione Europea ce l’ha fatta, anche se ora devono essere finalizzati i lavori tecnici. L’Atto Ue sull’intelligenza artificiale – la prima legislazione al mondo in materia – è stato concordato dai co-legislatori del Parlamento e del Consiglio dell’Ue dopo una maratona di 36 ore iniziata mercoledì (6 dicembre) e continuata su due round, con l’intesa finale raggiunta nella tarda serata di venerdì (8 dicembre). “Questo Regolamento mira a garantire che i diritti fondamentali, la democrazia, lo Stato di diritto e la sostenibilità ambientale siano protetti dall’intelligenza artificiale ad alto rischio, stimolando al contempo l’innovazione e rendendo l’Europa leader nel settore”, è quanto si legge nella nota dell’Eurocamera, la parte che durante i negoziati ha più spinto per le salvaguardie democratiche a fronte delle intense pressioni dei 27 governi.
“La legge sull’intelligenza artificiale dell’Unione Europea è una novità a livello mondiale, un quadro giuridico unico per lo sviluppo dell’Ia di cui ci si può fidare e per la sicurezza e i diritti fondamentali delle persone e delle imprese”, ha esultato la presidente della Commissione Europea, Ursula von der Leyen, dopo un’attesa di oltre due anni e mezzo per vedere la proposta del suo gabinetto messa a terra dai co-legislatori: “Un impegno che abbiamo preso nei nostri orientamenti politici e che abbiamo mantenuto”. Ma il processo legislativo non si conclude con l’accordo provvisorio tra Parlamento e Consiglio. Il lavoro continuerà per settimane a livello tecnico per finalizzare i dettagli del Regolamento, prima che il testo sia sottoposto all’approvazione di entrambi i co-legislatori per il via libera definitivo. Con l’adozione formale e la pubblicazione in Gazzetta Ufficiale dell’Ue, la prima legislazione al mondo in materia di intelligenza artificiale entrerà in vigore due anni più tardi.
Proprio considerato il fatto che il corpo maggiore di disposizioni – come i requisiti sui sistemi di intelligenza artificiale ad alto rischio – saranno applicabili solo al termine di un periodo transitorio, la Commissione Ue ha lanciato il Patto sull’Ia lo scorso 16 novembre, per cercare di spingere l’impegno volontario dell’industria per iniziare ad attuarne i requisiti prima della scadenza legale, soprattutto per quanto riguarda i sistemi di Ia generativa in vista delle elezioni europee del giugno del prossimo anno. In questo contesto le aziende che aderiranno sigleranno delle dichiarazioni di impegno, accompagnate da azioni concrete in corso o pianificate che la Commissione Ue pubblicherà per dare visibilità e creare ulteriore fiducia. Al momento è stato lanciato l’invito a manifestare interesse, prima delle discussioni (previste nella prima metà del 2024) tra le parti interessate sulle idee preliminari e le buone pratiche. Dopo l’adozione formale dell’Atto sull’intelligenza artificiale, le organizzazioni leader del Patto saranno invitate a rendere pubblici i loro primi impegni.
Categorizzazione e divieti sull’intelligenza artificiale
L’accordo di compromesso ha mantenuto un livello orizzontale di protezione, con una scala di rischio per regolamentare le applicazioni di intelligenza artificiale su quattro livelli: minimo, limitato, alto e inaccettabile. I sistemi che presentano un rischio limitato sarebbero soggetti a obblighi di trasparenza molto leggeri, come la divulgazione del fatto che il contenuto è stato generato dall’Ia. Per quelli ad alto rischio è prevista una valutazione dell’impatto sui diritti fondamentali prima dell’immissione sul mercato, compresi l’obbligo a registrarsi nella banca dati Ue apposita e la definizione di requisiti sui dati e la documentazione tecnica da presentare per dimostrare la conformità dei prodotti.
L’accordo pone a livello inaccettabile – e perciò vieta – sistemi di manipolazione cognitiva del comportamento, la raccolta non mirata di immagini facciali da Internet o da filmati di telecamere a circuito chiuso per creare database di riconoscimento facciale, il riconoscimento delle emozioni sul posto di lavoro e negli istituti scolastici, l’assegnazione di un ‘punteggio sociale’ da parte dei governi, la categorizzazione biometrica per dedurre dati sensibili (convinzioni politiche, religiose, filosofiche, orientamento sessuale) o le convinzioni religiose, e alcuni casi di polizia predittiva per gli individui.
Eccezioni per le forze dell’ordine
È questo il capitolo su cui le discussioni hanno rischiato di arenarsi nel corso della maratona negoziale e quello su cui sono state concordate più modifiche rispetto alla proposta della Commissione. Una delle più sostanziali è quella che riguarda la procedura di emergenza che consentirà alle forze dell’ordine di utilizzare uno strumento di intelligenza artificiale ad alto rischio che non ha superato la procedura di valutazione, che dovrà dialogare con il meccanismo specifico sulla tutela dei diritti fondamentali.
Anche l’uso di sistemi di identificazione biometrica a distanza in tempo reale in spazi accessibili al pubblico ha visto delle deroghe “previa autorizzazione giudiziaria e per elenchi di reati rigorosamente definiti”. L’utilizzo ‘post-remoto’ potrebbe essere utilizzato esclusivamente per la ricerca mirata di una persona condannata o sospettata di aver commesso un reato grave, mentre quello in tempo reale “limitato nel tempo e nel luogo” per le ricerche mirate di vittime (rapimento, traffico, sfruttamento sessuale), prevenzione di una minaccia terroristica “specifica e attuale” e per la localizzazione o identificazione di una persona sospettata di aver commesso reati specifici (terrorismo, traffico di esseri umani, sfruttamento sessuale, omicidio, rapimento, stupro, rapina a mano armata, partecipazione a un’organizzazione criminale, reati ambientali).
Governance e modelli di fondazione
Nel testo dell’accordo sono state aggiunte nuove disposizioni per tenere conto delle situazioni in cui i sistemi di intelligenza artificiale possono essere utilizzati per molti scopi diversi (Ia per scopi generali) e in cui la tecnologia per scopi generali viene successivamente integrata in un altro sistema ad alto rischio. In questo contesto sarà istituito un Ufficio Ai all’interno della Commissione Europea con il compito di “supervisionare i modelli più avanzati, contribuire alla promozione di standard e pratiche di test e applicare le regole comuni in tutti gli Stati membri”. Parallelamente opererà anche un forum consultivo per le parti interessate – come i rappresentanti dell’industria, delle piccole e medie imprese, delle start-up, della società civile e del mondo accademico – che fornirà competenze tecniche all’Ufficio Ai.
Per tenere conto dell’ampia gamma di compiti che i sistemi di intelligenza artificiale possono svolgere – generazione di video, testi, immagini, la conversazione in linguaggio laterale, il calcolo o la generazione di codice informatico – e della rapida espansione delle loro capacità, è stato concordato che i modelli di fondazione ‘ad alto impatto’ (un tipo di intelligenza artificiale generativa addestrata su un ampio spettro di dati generalizzati e senza etichette) dovranno rispettare una serie di obblighi di trasparenza prima di essere immessi sul mercato. Dalla stesura di una documentazione tecnica, al rispetto della legge Ue sul copyright, fino alla diffusione di sintesi dettagliate sui contenuti utilizzati per la formazione.
Innovazione e sanzioni
Sul piano del sostegno dell’innovazione, le sandbox (gli ambienti di prova in ambito informatico) di regolamentazione dell’intelligenza artificiale potranno creare un ambiente controllato per lo sviluppo, la sperimentazione e la convalida di sistemi innovativi anche in condizioni reali. Per alleggerire l’onere amministrativo delle imprese più piccole e proteggerle dalle pressioni degli attori dominanti del mercato, l’accordo prevede azioni di sostegno e deroghe “limitate e chiaramente specificate”.
Infine le sanzioni. Qualsiasi persona fisica o giuridica potrà presentare un reclamo all’autorità di vigilanza del mercato competente in merito alla mancata osservanza della legge Ue sull’intelligenza artificiale. In caso di violazione del Regolamento, l’azienda dovrà pagare o una percentuale del fatturato globale annuo nell’esercizio finanziario precedente o un importo predeterminato (a seconda di quale sia il più alto): 35 milioni di euro o il 7 per cento per le violazioni delle applicazioni vietate, 15 milioni di euro o il 3 per cento per le violazioni degli obblighi della legge, 7,5 milioni di euro o l’1,5 per cento per la fornitura di informazioni non corrette. Massimali più proporzionati saranno applicati invece per piccole e medie imprese e start-up.
