Buchi e «scappatoie» per la sorveglianza

Con 523 voti favorevoli, 46 contrari e 49 astensioni, dopo un lungo e travagliato iter nel quale talvolta sembrava di essere a un vicolo cieco, ieri il Parlamento europeo ha approvato l’AI Act, la prima regolamentazione al mondo sugli utilizzi dell’intelligenza artificiale e dei sistemi basati su questa tecnologia. Composto di 113 articoli e 12 allegati, il documento si propone di proteggere diritti fondamentali e la sostenibilità ambientale, mantenendo l’obiettivo di facilitare e promuovere la crescita di competitor europei ai colossi statunitensi.
L’articolo 3 è quello che definisce cosa si intende per intelligenza artificiale, ovvero «un sistema basato su macchine progettato per funzionare con diversi livelli di autonomia» e che dalle previsioni e dai contenuti generati «può influenzare ambienti fisici o virtuali». La definizione non si applica quindi ai sistemi di software tradizionali o agli approcci che si basano su regole predefinite.

Le norme si fondano su una classificazione dei sistemi di intelligenza artificiale basata sul rischio. Alcune applicazioni, considerate incompatibili con i diritti della persona, sono vietate. In questa categoria troviamo: i sistemi di identificazione biometrica e di categorizzazione basata su caratteristiche sensibili, i sistemi di credito sociale come quello cinese, il riconoscimento automatico delle emozioni sui luoghi di lavoro e nelle scuole, la polizia predittiva basata su profilazione e lo scraping di immagini del volto delle persone da internet, cioè la pratica di scaricare in automatico grosse quantità di immagini per creare banche dati. Per quanto riguarda il divieto di identificazione biometrica vengono però inserite delle eccezioni nelle quali la pratica sarebbe consentita, come nel caso della ricerca di una persona scomparsa, la prevenzione di un attacco terroristico o l’investigazione di un reato grave.

Altri sistemi sono consentiti ma vengono considerati ad alto rischio per l’impatto negativo sulla salute o la sicurezza. Questi casi, come l’Ia per gestire il traffico stradale o per analizzare curricula per posizioni lavorative, sono sottoposti a obblighi precisi, come la valutazione del rischio in fase di progettazione, la presenza di una documentazione tecnica, la trasparenza e la garanzia di una supervisione umana dei processi. Inoltre gli utenti di queste applicazioni possono presentare reclami verso le autorità competenti o chiedere spiegazioni delle scelte prese dai sistemi automatici.
Infine i sistemi per finalità generali, come i modelli generativi di testo o immagini, dovranno rispettare le norme europee in materia di trasparenza e diritto d’autore. I materiali generati dovranno essere chiaramente riconoscibili in quanto tali e l’utente deve sempre essere consapevole di stare dialogando con una macchina.

A bilanciare i vincoli, il regolamento introduce anche facilitazioni per la sperimentazione e l’adeguamento delle imprese nello sviluppo di tecnologie, come le cosiddette regulatory sandbox, ovvero ambienti fisici o virtuali in cui le aziende possono sperimentare nuove tecnologie monitorate da un’autorità competente, al fine di poter assicurare la compatibilità del prodotto una volta in circolazione. Inoltre sono previste agevolazioni per piccole e medie imprese e startup, e l’introduzione di autorità di controllo nazionale in ogni paese dell’Unione. Le sanzioni per le violazioni delle norme possono arrivare anche a 56 milioni di euro o al 7% del fatturato.

Un punto da notare, come già si evidenziò con il Gdpr (il regolamento europeo sulla privacy), è che alcune richieste, come la trasparenza e la possibilità di spiegazione delle scelte automatizzate, sono obiettivi della ricerca ancora in fase di sviluppo, quindi assumerli come obbligo non rende pienamente conto delle possibilità attuali di queste tecnologie. Lo stesso discorso vale per la «dichiarazione di fake», quando tuttora anche per la ricerca non è ancora chiaro come sia possibile inserire in un’immagine, o soprattutto in un testo, un marcatore che ne indichi l’origine artificiale (i cosiddetti watermark) senza compromettere il contenuto.

Inoltre, alcuni attivisti e organizzazioni per i diritti digitali, come Access Now, hanno criticato il testo definitivo, considerandolo pieno di «scappatoie ed eccezioni» in favore del controllo sociale e delle imprese. In particolare, secondo l’associazione, si fallisce nel tentativo di proibire la polizia predittiva e la sorveglianza di massa, oltre che creare politiche differenziate per migranti e rifugiati, non tutelati dalla regolamentazione, un punto che già Amnesty International aveva evidenziato l’anno scorso. L’Ue è da anni impegnata nello sviluppo di strumenti di sorveglianza e rilevamento automatico sulle zone di confine, e l’AI Act non andrebbe ad intaccare questa pratica. Per questo una serie di organizzazioni (Amnesty, Algorithm Watch, Avaaz e altre) ha lanciato la campagna #ProtectNotSurveil, per chiedere alla Commissione e al Parlamento di interrompere queste pratiche.