Cosa prevede l’AI Act, il primo regolamento europeo sull’intelligenza artificiale

Trovato l’accordo tra Parlamento e Consiglio per l’AI Act. Vieta il riconoscimento biometrico e introduce vari limiti ma, secondo le ong, non è abbastanza.

• Il Parlamento europeo e il Consiglio hanno trovato, dopo 36 ore di negoziato, l’accordo per l’AI Act, il regolamento sull’intelligenza artificiale.
• Viene vietato l’uso di sorveglianza di massa, come il riconoscimento facciale in diretta e la polizia predittiva, con varie eccezioni.
• Le associazioni che si occupano di diritti umani frenano l’entusiasmo: senza il testo definitivo non si può verificare il livello di tutela dei diritti e l’effettivo limite alla sorveglianza di massa.

Dopo mesi di dibattiti su come regolamentare aziende come OpenAI che si occupano di sistemi di intelligenza artificiale, l’Unione europea ha approvato venerdì 8 dicembre l’AI Act, il primo pacchetto di regole a livello regionale sull’intelligenza artificiale. Si tratta di una legge fondamentale che, negli auspici dei legislatori europei, potrebbe diventare un un modello per il resto del mondo.

Cos’è l’AI Act e in cosa è diverso dalle altre normative sull’intelligenza artificiale

Proposto dalla Commissione europea il 21 aprile 2021 nell’ambito della strategia digitale comunitaria, l’Artificial intelligence act è il regolamento dell’Unione europea che mira a introdurre un quadro normativo e giuridico comune per l’intelligenza artificiale.

Il regolamento di per sé non è il primo a livello globale. In Cina, per esempio, le norme sull’intelligenza artificiale generativa sono entrate in vigore già ad agosto. L’eccezionalità dell’AI Act riguarda però l’insieme di regole, molto più ampie, sull’uso dell’intelligenza artificiale, compreso un ampio numero di divieti.

Proprio su alcuni divieti il trilogo – il negoziato tra Parlamento, Commissione europea e Consiglio, parte finale del processo legislativo europeo – ha rischiato di arenarsi nelle 36 ore di negoziato. In particolare la discussione si è incentrata sugli usi ammessi e vietati dell’intelligenza artificiale da parte delle forze dell’ordine, in particolare in merito alla polizia predittiva e del riconoscimento facciale in tempo reale. Se da una parte il Parlamento difendeva la linea del blocco totale, il Consiglio, espressione degli stati membri, ha invece spinto per un approccio molto più permissivo.

La questione della sorveglianza da parte delle forze dell’ordine

Il tema più controverso e divisivo, non solo tra Parlamento e Commissione ma anche con la società civile, è stata la definizione dell’uso lecito dell’intelligenza artificiale da parte delle forze dell’ordine. 

Il Consiglio, che rappresenta i 27 governi nazionali degli stati membri, ha tentato di concedere la possibilità dell’uso dell’intelligenza artificiale per l’identificazione delle persone attraverso il riconoscimento facciale biometrico in tempo reale. Un’altra richiesta è stata quella di permettere l’uso di questi sistemi per i fini della polizia predittiva. Si tratta dell’utilizzo degli algoritmi per prevedere le probabilità con cui può essere commesso un reato, da chi e in che luogo. 

I paesi che hanno tentato di spingere in questa direzione sono stati l’Italia – dimenticandosi che il Garante della privacy ha vietato l’uso del riconoscimento in tempo reale nel 2021 – l’Ungheria e la Francia. Soprattutto quest’ultima di recente ha spinto molto in una direzione securitaria, prima con la legge sulla “sicurezza globale” e poi con la legge dello scorso aprile che ha autorizzato l’uso dell’intelligenza artificiale e delle inchieste preventive in vista delle Olimpiadi di Parigi.

Non sole: le preoccupazioni, soprattutto nella società civile e nelle organizzazioni che si occupano di diritti digitali, sono aumentate nel momento in cui, durante i negoziati, il Consiglio ha tentato di permettere l’uso del riconoscimento biometrico su base etnica.

Quali usi dell’intelligenza artificiale per la sorveglianza sono vietati

L’opposizione portata avanti dal Parlamento ha retto e l’uso dell’intelligenza artificiale per la sorveglianza è stato vietato, se non in poche eccezioni e comunque con l’autorizzazione delle autorità giudiziarie. Da quello che è emerso nelle ore successive, le norme sono impostate sui rischi, divisi in quattro categorie: minimi, limitati, alti e inaccettabili. Più sono alti i rischi, maggiori sono le responsabilità per chi sviluppa e usa quei determinati sistemi, fino ad arrivare al divieto per quelli considerati troppo pericolosi.

L’AI Act vieta la categorizzazione biometrica dei dati personali sensibili, come l’etnia, la fede o l’orientamento sessuale; la raccolta massiccia di volti da internet e le tecnologie che riconoscono le emozioni (solo, però, sui posti di lavoro e a scuola). Proibisce anche i sistemi in grado di manipolare le emozioni delle persone e quelli improntati sul social scoring, cioè il metodo di classificazione della reputazione dei cittadini già adottato in Cina.

Il riconoscimento biometrico in tempo reale è stato vietato, se non in tre situazioni: minaccia di terrorismo, ricerca di vittime di reati (come, ad esempio, degli ostaggi) e per identificare sospettati di alcuni “seri crimini”. La prima lista diffusa include traffico degli esseri umani, traffico di sostanze stupefacenti, traffico di armi, pedopornografia e abusi sui minori, crimini ambientali, omicidi, ma anche terrorismo e sequestro di persona, crimini in realtà già inseriti nelle tre eccezioni previste.

I sistemi di polizia predittiva, invece, possono essere utilizzati solo per analizzare informazioni anonimizzate per fornire delle tendenze sulla scena del crimine, mentre sono vietati i sistemi che, attraverso degli algoritmi, indicano un sospetto. In altre parole, non si potrà indagare un individuo perché segnalato da un algoritmo.

Le altre regole previste nell’AI Act

Un tema importante su cui interviene il regolamento è la trasparenza nell’uso dei sistemi di intelligenza artificiale. Gli utenti devono poter riconoscere i contenuti deep fake, come immagini e video, attraverso delle etichette ben evidenti, e devono sapere se stanno interagendo con una persona o con un sistema, come ad esempio un chatbot. Inoltre, le aziende fornitrici di servizi digitali avranno l’obbligo di individuare i contenuti creati con l’intelligenza artificiale che circolano sulle loro piattaforme e devono marcare automaticamente come tali. Una rivoluzione se pensiamo al numero di deep fake che circolano, ad esempio, sui social.

Altro tema è quello dell’intelligenza artificiale generativa, quel sistema che è in grado, appunto, di generare testo, immagini, video, musica o altri media in risposta a delle richieste, come ChatGpt. La norma fa riferimento a sistemi di AI per uso generale, in grado di svolgere compiti diversi e allenati attraverso un’enorme quantità di dati non categorizzati. Vengono fissati delle soglie per identificare i sistemi in base all’impatto: maggiori sono gli effetti sulla popolazione, maggiori saranno gli obblighi da rispettare.

Tra le altre questioni, si tratta il tema relativo alla tutela del copyright e la trasparenza generale di tutti i contenuti digitali creati con l’intelligenza artificiale.

I prossimi passi dell’AI Act le critiche ricevute dalla società civile

Il testo del regolamento ha finito il suo iter politico ed ora è passato in mano ai tecnici che hanno il compito di visionare le norme per verificarne la coerenza e gli emendamenti. Dopo la pubblicazione del testo definitivo, indicativamente verso la fine del prossimo gennaio, la Commissione si doterà di un ufficio per l’intelligenza artificiale. Ogni stato dovrà nominare un’autorità locale che sovrintende l’applicazione del regolamento, lavorando insieme al Garante per la protezione dei dati.

Importante sottolineare che ad oggi non c’è ancora un documento definitivo visionabile. Tutto ciò che conosciamo è stato comunicato nella conferenza stampa e fatto trapelare dalle fonti di Bruxelles.

La società civile e i network di associazioni europee che si occupano di diritti digitali tra cui EDRi, rete di ong e accademici che si occupano di diritti digitali, sono molto cauti nel festeggiare l’accordo raggiunto. Dello stesso avviso sono le associazioni italiane, tra cui The Good Lobby, Hermes Center e Privacy Network, che sottolineano la preoccupazione per le molteplici deroghe al divieto di uso del riconoscimento facciale negli spazi pubblici, ma soprattutto la mancata trasparenza durante i negoziati. Una nota positiva, come sottolinea Diletta Huyskes di Privacy Network, sembrerebbe l’inclusione nella norma della valutazione di impatto sui diritti fondamentali per le intelligenze artificiali ad alto rischio, ma anche questo verificabile sono con la pubblicazione del testo definitivo.

Come per altri regolamenti europei, i dettagli più problematici emergeranno solo una volta che il testo sarà reso pubblico. Durante i negoziati i governi hanno dovuto ammettere che i sistemi di intelligenza artificiale sono sempre più utilizzati per la sorveglianza di massa, la profilazione razziale e altri scopi dannosi e invasivi. L’accordo contiene dei limiti, ma solo con il testo definitivo sarà possibile verificarne l’impatto, soprattutto in merito alla sorveglianza interna e alle frontiere.

È difficile essere entusiasti di una legge che, per la prima volta nell’Unione europea, ha preso provvedimenti per legalizzare il riconoscimento facciale in tempo reale. Sebbene il Parlamento abbia lottato duramente per limitarne i danni, il pacchetto complessivo sulla sorveglianza biometrica e la profilazione non è abbastanza incisivo. La nostra lotta contro la sorveglianza biometrica di massa è destinata a continuare

Ella Jakubowska, Senior Policy Advisor, EDRi