Europa leader globale nella regolamentazione dell’IA
Con l'approvazione, lo scorso 13 marzo, di un sistema regolamentare per lo sviluppo, la distribuzione e l’uso dell’IA basato su un risk-based approach, l'UE batte tutti sul tempo, comprese Cina e Usa. Vediamone le caratteristiche
Getty Images
Dopo lunghe discussioni sulla dirompente capacità dell’IA di fornire vantaggi competitivi alla vita sociale, alle imprese e all’economia europea, l’UE si è dotata, lo scorso 13 marzo e per prima a livello globale, di un sistema regolamentare, basato su un risk-based approach, per lo sviluppo, la distribuzione e l’uso dell’IA. Ciò con l’intento di divenire, nel rispetto dei propri valori cardine, promotore e leader mondiale di un’IA sicura, affidabile ed etica a sostegno dell’innovazione.
Il perimetro applicativo dell’AI Act include i fornitori che immettono sistemi di IA nel mercato UE, gli operatori di sistemi IA che generino output nel territorio UE, così come quelli della riconnessa supply chain. Dal perimetro sono stati esclusi gli usi dell’IA per scopi non professionali, oltre che nel settore difesa e sicurezza nazionale e della ricerca e innovazione.
L’AI Act definisce l’AI quale “sistema basato su macchine progettato per operare con diversi livelli di autonomia e che può mostrare adattabilità dopo la sua implementazione e che, per obiettivi espliciti o impliciti, deduce, dall’input che riceve, come generare output come previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali”. La definizione esclude, pertanto, i software che eseguono automazioni su mero impulso umano.
Il nodo dei rischi
Il risk-based approach dell’AI Act conduce ad un quadro normativo a rigore e controllo crescente, correlato al rischio caratteristico dei diversi sistemi di IA. Un divieto assoluto è previsto per i sistemi di IA che minacciano i diritti fondamentali dell’uomo (unacceptable) quali, tra l’altro, quelli impiegati nella manipolazione congiuntivo-comportamentale o che sfruttano le vulnerabilità delle persone, di social scoring, di riconoscimento delle emozioni sul luogo di lavoro e nelle scuole e per alcune pratiche di polizia predittiva.
Uno specifico set di previsioni in tema, tra l’altro, di sistemi di gestione dei rischi, governance dei dati, sorveglianza umana, trasparenza e informativa, accuratezza e cybersecurity si applica alle IA high risk, quali quelle impiegabili in infrastrutture critiche, istruzione e formazione professionale, occupazione, servizi pubblici e privati di base (assistenza sanitaria, banche, ecc.), gestione delle frontiere e della giustizia.
Per le IA limited risk (le più diffuse) vengono previsti obblighi di trasparenza per rendere gli utenti edotti della loro interazione con una macchina, oltre ad un obbligo di etichettatura dei testi su temi di interesse pubblico e per gli audio/video cosiddetti deep fake generati dall’IA.
Un’apposita sezione dell’AI Act riporta il compromesso raggiunto sui sistemi IA con capacità simile quella umana, ossia progettati per la gestione di una vasta gamma di compiti e problemi in diversi contesti e senza necessità di una continua implementazione (General Purpose AI).
Al fine di un bilanciamento tra protezione e innovazione, l’AI Act introduce l’obbligo per i paesi dell’UE di rendere accessibili sandbox per consentire a PMI e start-up di sviluppare e “addestrare” sistemi di IA innovativi prima di immetterli sul mercato. Le sanzioni possono arrivare sino a Euro 35 milioni o al 7% del fatturato annuo globale.
L’Ai Act entrerà in vigore dopo 24 mesi dalla pubblicazione nella Gazzetta ufficiale dell’UE, previa approvazione da parte del Consiglio. I tempi si riducono a 12 mesi per le General Purpose AI, 6 mesi per le AI unacepptable e si estendono a 36 mesi per le high risk AI.
Cosa accade all’estero
Guardando oltre ai confini dell’UE. L’ultimo atto cinese sono le misure provvisorie e relative alla sola IA generativa emanate il 15 agosto 2023 dalla Cyberspace Administration of China, che lasciano ad oggi “deregolamentati” gli altri sistemi di IA. L’ultimo provvedimento USA è l’ordine esecutivo della Casa Bianca dello scorso 30 ottobre che prevede, entro i successivi 12 mesi, la definizione di nuove pratiche e normative per un’IA sicura ed affidabile nei maggiori settori di interesse nazionale.
