Lo scorso 11 maggio è arrivato il via libera da parte di due delle principali Commissioni parlamentari europee alle modifiche del testo del Regolamento sull’intelligenza artificiale, la cui prima stesura risaliva all’aprile del 2021. Tra i cambiamenti più importanti si segnalano il divieto totale all’utilizzo dei sistemi di riconoscimento biometrico in "real time” a distanza in spazi pubblici e dei sistemi di polizia predittiva.
Il lavoro congiunto delle Commissioni IMCO (“Commissione per il mercato interno e la protezione dei consumatori”) e LIBE (“Commissione per le libertà civili, la giustizia e gli affari interni”) ha portato ad una sostanziale modifica, in un’ottica restrittiva, dell’AI Act, a partire dall’articolo contenente le varie definizioni correlate all’intelligenza artificiale (art. 3). In particolare, sono state aggiunte ulteriori descrizioni relative alla biometria (art. 3 n. 33a-33e), tra cui quella di identificazione biometrica e di verifica biometrica, oltre a una specifica definizione di deep fake (art. 3 n. 44d), consistente in quell’audio, immagine o video manipolato in modo tale da farlo apparire falsamente come autentico o veritiero, tramite la rappresentazione di persone che sembrano dire o fare cose che in realtà non hanno mai compiuto, utilizzando tecniche di intelligenza artificiale (“IA”).
È rilevante segnalare anche l’aggiunta dell’articolo 4a, relativo ai principi generali applicabili a tutti i sistemi di intelligenza artificiale. Essi devono, pertanto, essere sviluppati in modo tale che il cosiddetto approccio “umano-centrico” sia sviluppato, tramite l’utilizzo di un’IA etica ed affidabile. Per poter arrivare a questa fase, devono essere rispettati i principi di “agentività e sorveglianza umana” (“human agency and oversight”), “robustezza tecnica e sicurezza” (“technical robustness and safety”), “privacy e data governance”, “trasparenza”, “diversità, non-discriminazione ed equità” e “benessere sociale e ambientale”.
I livelli di rischio dei sistemi di intelligenza artificiale
I deputati europei hanno poi consolidato le previsioni in ambito di approccio basato sul rischio (“risk-based approach”), uno dei principi fondamentali su cui si basa la proposta di regolamento. È stato infatti mantenuto lo schema piramidale originario che prevede la distinzione in base al rischio (inaccettabile, alto, limitato e minimo), aumentando il numero di categorie di IA che rientrano in quello più elevato, che devono essere quindi sempre proibite. Nello specifico, all’articolo 5 è stato aggiunto il riferimento a quei sistemi di categorizzazione biometrica che classificano le persone in base a caratteristiche sensibili o protette (fatti salvi quei casi in cui l’IA è usata per scopi terapeutici approvati che richiedono il consenso informato).
Vengono ora vietati del tutto anche quei sistemi di intelligenza artificiale che valutano il rischio di commissione di un reato o di recidiva, o la sua predizione, basandosi sulla profilazione dell’individuo o valutandone i tratti della personalità e le sue caratteristiche.
È stato inoltre statuito il divieto di utilizzo di quei sistemi che creano database fondati sul riconoscimento facciale tramite lo scraping (una tecnica di estrazione dei dati) non mirato di immagini da internet o da telecamere a circuito chiuso.
Sono stati proibiti anche quei sistemi che inferiscono le emozioni di una persona in settori come la gestione delle frontiere e gli ambienti lavorativi.
Al divieto di utilizzo di sistemi di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico, è stato aggiunto anche quello di utilizzo di tali sistemi ex post, a meno che non sia presente un’autorizzazione preventiva strettamente necessaria e connessa a seri e specifici reati gravi, che siano già stati commessi.
Le modifiche hanno riguardato anche l’articolo 5, concernente i sistemi di IA ad alto rischio.
I deputati europei hanno infine ampliato la classificazione delle aree considerate ad alto rischio, includendovi i potenziali danni alla salute, alla sicurezza, ai diritti fondamentali o all’ambiente (un riferimento ulteriore si può trovare anche nel nuovo Considerando 32a). Hanno inoltre aggiunto alla lista ad alto rischio i sistemi di intelligenza artificiale per influenzare gli elettori nelle campagne politiche e nei sistemi di raccomandazione utilizzati dalle piattaforme di social media (con oltre 45 milioni di utenti ai sensi del DSA).
Le sanzioni
Il testo riformato dell’AI Act prevede un innalzamento delle sanzioni. Infatti, l’utilizzo dei sistemi di intelligenza artificiale vietati dall’art. 5 può portare all’irrogazione di una sanzione pecuniaria fino a 40 milioni di euro o fino al 7% del fatturato globale annuo in caso di società. Se invece non sono rispettate le norme relative alla data governance (art. 10) e alla trasparenza e fornitura di informative agli utenti (art. 13), la sanzione può arrivare fino a 20 milioni di euro o al 4% del fatturato globale annuo.
Conclusioni
L’incredibile sviluppo dei sistemi di intelligenza artificiale, come ad esempio ChatGPT, ha entusiasmato gli utenti di tutto il mondo, facendo, di conseguenza, emergere ulteriori potenziali rischi ad essi connessi. Questo spiega l’accelerazione del legislatore europeo nella rideterminazione di alcuni punti del testo normativo in esame.
Il testo emendato adesso dovrà essere approvato dall’intero Parlamento europeo il cui voto è previsto durante la sessione del 12-15 giugno.
L’AI Act potrebbe diventare di fatto uno standard per disciplinare l’intelligenza artificiale definendo in tal modo la via europea per affrontare i cambiamenti tecnologici che sono già in atto, ma anche quelli futuri, con l’obiettivo primario di tutelare i diritti fondamentali dei cittadini europei.
Avv. Sabrina Salmeri e Dott. Lapo Lucani
