đ¤ AI Act: istruzioni per l'uso â Legge Zero #edizionestraordinaria
Il Parlamento Europeo ha approvato il testo dell'AI Act: l'UE si dota della prima legge al mondo su IA. Nella nostra "edizione straordinaria" abbiamo ricostruito i punti principali del provvedimento.
đ§ AI Act: leggiamolo insieme
Ă la notizia del giorno, per chi si occupa di intelligenza artificiale. Ma si tratta di un passaggio importantissimo per tutti: aziende, pubbliche amministrazioni e semplici cittadini. Il Parlamento europeo, questa mattina, ha approvato il testo dellâAI Act.Â
Nelle prossime settimane ci saranno ulteriori passaggi procedurali in vista della pubblicazione del testo sulla Gazzetta Ufficiale dellâUnione Europea. Lâentrata in vigore è prevista per il prossimo mese di maggio.
Dopo lâaccordo politico (il famoso trilogo di cui avevamo parlato in LeggeZero #3) abbiamo finalmente un testo affidabile, utile per capire cosa cambierĂ e in cosa consisterĂ il percorso di adeguamento, che inizierĂ nelle prossime settimane.
Avviso ai naviganti: il testo del Regolamento è molto lungo (oltre 450 pagine) e complesso (180 considerando, 113 articoli e 13 allegati).
Per chi vuole cimentarsi nella lettura, qui sotto è possibile scaricare il testo approvato oggi (in italiano).
In questa newsletter straordinaria, rinviando per un esame specifico a ulteriori approfondimenti, abbiamo pensato di ricostruire i principali punti del provvedimento. Mettetevi comodi prima di iniziare la lettura, le cose da dire sono tante. Le abbiamo organizzate come risposte a 10 domande.
Che cosâè lâAI Act?
La Legge sullâintelligenza artificiale (AI Act) dellâUnione Europea, il cui iter è iniziato nellâaprile 2021, rappresenta il primo provvedimento normativo al mondo che contiene un insieme organico di regole che mirano a tutelare i diritti della persona, imponendo un approccio umano-centrico a chiunque sviluppi o utilizzi sistemi di intelligenza artificiale.
LâAI Act, mediante un approccio basato sul rischio, mira ad assicurare un'adeguata regolamentazione per quanto riguarda l'introduzione, la messa in funzione e l'impiego dei sistemi di IA.
2. Quali sono i principi dellâAI Act?
Il Regolamento richiama i principi etici elaborati nel 2019 dall'High-Level Expert Group on Artificial Intelligence nominato dalla Commissione europea:Â
intervento e sorveglianza umani (art. 14);
robustezza tecnica e sicurezza (art. 15);
vita privata e governance dei dati (art. 10);
trasparenza (artt. 13 e 50);
diversitĂ , non discriminazione ed equitĂ (cons. 27);Â
benessere sociale e ambientale (cons. 27);
responsabilitĂ dei fornitori di sistemi IA (art. 25).
A chi si applica lâAI Act?
LâAI Act si applica non solo ai providers (fornitori) dei sistemi di intelligenza artificiale che immettono sul mercato o mettono in servizio sistemi di IA nellâUnione Europea, ma anche a quelli extraeuropei, laddove gli output prodotti dal sistema di IA siano utilizzati in Europa.
In secondo luogo, il Regolamento si applica ai deployers (utilizzatori) dei sistemi di intelligenza artificiale, indipendentemente dal fatto che siano soggetti pubblici o privati.
Da ultimo, lâAI Act trova applicazione anche nei confronti di importatori e distributori dei sistemi di IA e alle persone interessate dallâutilizzo di tali sistemi.
Non rientrano nellâambito di applicazione i sistemi di IA il cui utilizzo:
sia esclusivamente volto a soddisfare scopi militari, di difesa o di sicurezza nazionale (di competenza degli Stati membri);Â
siano necessari per attivitĂ di ricerca e sviluppo scientifico relative a sistemi di intelligenza artificiale;Â
sia fatto da persone fisiche che utilizzano lâIA per motivi non professionali.
4. Come sono classificati i sistemi di IA?
Il concetto di rischio, come definito dal Regolamento, si basa sulla combinazione tra la probabilitĂ di un danno e la sua gravitĂ . In considerazione di questa definizione, il Regolamento prevede tre classi di rischio, valutando il possibile impatto per la sicurezza e i diritti fondamentali delle persone fisiche.Â
Le categorie sono:Â Â
I) Rischio inaccettabile: in questa categoria rientrano tutte quelle pratiche vietate, poichĂŠ in grado di manipolare il comportamento umano attraverso lâuso di tecniche subliminali, o che consentono di classificare le persone in base alla loro caratterizzazione biometrica o al loro comportamento sociale, per finalitĂ pubbliche e private (ad esempio, attraverso tecniche di âsocial scoringâ).
II) Rischio alto: tali sistemi - in considerazione del maggior potenziale di rischio connesso al loro utilizzo (ad esempio nellâambito della selezione del personale) - per poter circolare nel mercato europeo dovranno rispondere a caratteri di conformitĂ , robustezza e tracciabilitĂ . Dovranno, inoltre, essere addestrati e testati con set di dati sufficientemente rappresentativi per ridurre al minimo il rischio di distorsioni inique nel modello, le quali, se presenti, potranno essere risolte mediante opportune misure di rilevazione e correzione. Per i sistemi ad alto rischio è richiesto di effettuare una valutazione dâimpatto sui diritti fondamentali.
III) Rischio basso o minimo:Â i sistemi di intelligenza artificiale considerati a basso rischio, come videogiochi o filtri antispam, saranno esentati da obblighi normativi. Tuttavia, i fornitori di tali sistemi sono incoraggiati ad aderire volontariamente a codici di condotta, specialmente quando sussiste un rischio evidente di manipolazione.
Infine, ai sensi dellâart. 50, il Regolamento introduce obblighi specifici di trasparenza per tutti i modelli di IA. In particolare, i fornitori devono garantire che i sistemi di IA destinati a interagire direttamente con le persone fisiche siano progettati e sviluppati in modo tale da informare queste ultime della loro interazione con un sistema di IA, a meno che ciò ânon risulti evidente (...) tenendo conto delle circostanze e del contesto di utilizzoâ.Â
Quali sono gli adempimenti?
Sono numerosi gli obblighi indirizzati a fornitori, deployers, distributori e importatori in relazione ai sistemi ad alto rischio.
I principali obblighi imposti ai fornitori di sistemi IA ad alto rischio (art. 16) e agli importatori (art. 23), sono:
garantire che i sistemi siano conformi a specifici requisiti tecnici indicati dal Regolamento;
indicare sul sistema di IA ad alto rischio nome, denominazione commerciale registrata o marchio registrato e indirizzo al quale possono essere contattati;
disporre di un sistema di gestione della qualitĂ (art. 17), ad es. un documento che garantisca la conformitĂ allâAI Act;
elaborare una dichiarazione di conformitĂ UE (art. 47);
adottare misure correttive (es. ritirare, disabilitare) nel caso in cui ritengano che un sistema di IA ad alto rischio da essi immesso sul mercato o messo in servizio non sia conforme allâAI Act;
fornire alle AutoritĂ competenti tutte le informazioni e la documentazione richiesta.
Lâart. 26, invece, disciplina gli obblighi imposti ai deployer dei sistemi di IA ad alto rischio, prevedendo tra le altre cose che essi debbano:
adottare misure tecniche ed organizzative idonee a garantire un utilizzo conforme;
affidare la sorveglianza umana dei sistemi a persone fisiche adeguatamente competenti;
monitorare il funzionamento dei sistemi e, se del caso, informare i fornitori di eventuali malfunzionamenti;
cooperare con le competenti autoritĂ di vigilanza e di controllo, ove necessario;
effettuare, nei casi previsti dallâart. 27, una valutazione dellâimpatto sui diritti fondamentali che tali sistemi devono rispettare.
Cosa prevede lâAI Act per la IA generativa?
Il Regolamento (art. 53) prevede specifici obblighi per i fornitori di modelli di IA per finalitĂ generali, compresi i modelli di IA generativa di grandi dimensioni (es. ChatGPT).
In particolare, tali fornitori dovranno:
redigere e mantenere aggiornata la documentazione tecnica del modello, compresi il processo di addestramento e prova e i risultati della sua valutazione;
attuare una politica volta ad adempiere alla normativa dellâUnione in materia di diritto dâautore;
redigere e mettere a disposizione del pubblico una sintesi dei contenuti utilizzati per lâaddestramento del modello di IA (in modo da consentire opt-out da parte degli interessati).
I fornitori di modelli rilasciati con licenza libera o open source sono esentati da questi obblighi a meno che non presentino un rischio sistemico.
Quali sono i diritti previsti dallâAI Act?
Il Regolamento prevede che i sistemi di IA, specialmente quelli considerati ad alto rischio, siano tracciabili attraverso pratiche come la conservazione e pubblicazione della documentazione - compresi i dati utilizzati per addestrare lâalgoritmo - o la valutazione dâimpatto sui diritti fondamentali.
LâAI Act prevede che qualsiasi persona che abbia motivo di ritenere che vi sia stata una violazione del Regolamento possa, fatti salvi ricorsi giurisdizionali, rivolgersi allâAutoritĂ nazionale di vigilanza. Inoltre, qualsiasi persona interessata oggetto di una decisione adottata dal deployer sulla base di un output di un sistema di IA ad alto rischio, ha il diritto di ottenere spiegazioni chiare e significative sul ruolo del sistema di IA nella decisione.
Come funzionerĂ la governance dellâIA?
Lâorganizzazione della governance prevista dallâAI Act è articolata su un duplice livello: europeo e nazionale.
A livello europeo è prevista lâistituzione del Comitato Europeo per l'intelligenza artificiale che sarĂ composto dai rappresentanti di ciascuno Stato membro. Ne fanno inoltre parte il Garante europeo della protezione dei dati e lâAI office della Commissione (ne abbiamo parlato in LeggeZero #14). ma senza diritto di voto. A supporto del Comitato è prevista lâistituzione di un Forum consultivo, con competenze prevalentemente tecniche per fornire consulenza e competenze al Comitato e alla Commissione (art.67) e di un gruppo di esperti scientifici (art.68).
A livello nazionale ogni Stato dovrĂ istituire autoritĂ competenti per l'attuazione del Regolamento (âart. 70). A tali AutoritĂ verrĂ demandato il compito di vigilare sull'attuazione delle disposizione dellâAI ACT e sulla comminazione delle sanzioni.
Alcuni Stati Membri hanno giĂ provveduto ad individuare tale AutoritĂ o istituendone una dedicata (come la Spagna con lâAESIA) oppure affidando le competenze ad unâAutoritĂ giĂ esistente (come in Olanda dove è stato indicato il Garante Privacy).
Quali sono le sanzioni previste per le violazioni dellâAI Act?
Per le violazioni relative ad applicazioni di IA vietate, la sanzione può arrivare fino a 35 milioni di euro o essere pari al 7 % del fatturato mondiale totale annuo se superiore.
Per violazione degli altri obblighi invece le sanzioni possono arrivare fino a 15 milioni di euro o il 3% del fatturato mondiale annuo.
Invece, per chi fornisce informazioni inesatte la sanzione può arrivare a 7,5 milioni di euro o l'1,5% del fatturato mondiale annuo.
Quando diventeranno applicabili le previsioni dellâAI Act?
Il Regolamento entrerĂ in vigore il 20° giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell'Unione europea, divenendo pienamente applicabile a decorrere da 24 mesi dalla data di entrata in vigore (art. 113, par.1).Â
Numerose sono tuttavia le ipotesi di applicazione anticipata di alcune delle disposizioni del Regolamento. Ad esempio, le disposizioni generali e quelle relative ai divieti troveranno esecuzione a partire da sei mesi dallâentrata in vigore mentre quelle sui sistemi di IA per finalitĂ generali saranno applicabili a partire dal dodicesimo mese dallâentrata in vigore.
Per facilitare una tempestiva applicazione del Regolamento, la Commissione UE ha lanciato lâiniziativa denominata AI Pact, un sistema per promuovere lâattuazione anticipata dellâAI Act, ovviamente su base volontaria.
đ Approfondimenti
Se volete approfondire ulteriormente i contenuti del provvedimento, vi segnaliamo:
Dossier su AI Act preparato da European Parliamentary Research Service
Dossier su AI Act preparato dalla Camera dei deputati
Per ora è tutto, torniamo nel fine settimana. Se la newsletter ti è piaciuta, commenta o fai girare. Grazie!