Contenere i rischi dell’AI per legge

L’AI Act approvato dal Parlamento europeo a giugno 2023 (e dal Consiglio dell’Unione europea a dicembre 2023) prevede un sistema di classificazione dei sistemi di AI in base al loro livello di rischio. I sistemi di AI ad alto rischio, come quelli utilizzati per la sorveglianza o la selezione del personale (ma non solo, lo vedremo tra poco), sono soggetti a requisiti più stringenti, come la verifica da parte di un organismo indipendente.

Le commissioni ingaggiate hanno di fatto cercato soluzioni ‘universali’: il timore è sempre quello dell’evoluzione incontrollata dell’AI, negli usi e nelle applicazioni. L’Ue voleva evitare che, in un ambito a elevata protezione degli utenti finali (consumatori e cittadini), l’impresa, sviluppatrice o utilizzatrice, senza regole chiare, si potesse trovare davanti a richieste di danni, soprattutto negli ambiti considerati a elevato rischio (settore giudiziario, settore investigativo, video sorveglianza, riconoscimento biometrico, rilevazione presenze, ecc.). Ci sono infatti temi di interesse pubblico quali la sicurezza, la salute, l’uguaglianza.

Fare chiarezza nell’ecosistema digitale

Il punto, quindi, è sempre quello di prevenire il contenzioso, tutelando le imprese (attraverso lo stile normativo del Gdpr). Preoccupazione tipica dei paesi di civil law, dove è lasciato poco spazio alla componente giurisprudenziale di autoregolazione. Occorre però disambiguare, creando un sostrato convincente di informazioni da veicolare a tutti gli attori italiani coinvolti in innovazione e sviluppo tecnologico.

Innanzitutto, paghiamo lo scotto di una sorta di analfabetismo digitale, e ancora si fa confusione (anche in contesti ‘tecnici’) tra modelli previsionali (in uso da decenni, che sfruttano pattern statistici noti) e il panorama attuale abilitato dai Large language model (Llm; un algoritmo Deep learning capace di riconoscere contenuti, generarli, riassumerli, tradurli e persino prevederli, che rappresenta una evoluzione in termini di velocità e automazione, implementata da una accresciuta capacità computazionale). Pensiamo al credit scoring (inserito tra le attività a rischio elevato dal legislatore europeo in prima battuta), che non viene più considerato ‘solo’ metodo statistico e di cui si ‘teme’ una deriva profilatoria più spinta, ancor più automatizzata e ‘fuori controllo’, cui segua un processo decisionale totalmente automatizzato.

In secondo luogo, l’esigenza conformativa e la spinta al sincretismo hanno generato linee guida europee molto generaliste (valide per tutti i Paesi membri), che poi saranno calate nella legislazione di approdo.

Circoscrivere gli ambiti ad alto rischio

Secondo il primo testo dell’AI Act reso disponibile, era annoverato tra i contesti di sviluppo ad alto rischio il sistema di credit scoring – una misura quantitativa sintetica che riguarda l’affidabilità creditizia di un determinato soggetto e che può negare ai cittadini la possibilità di ottenere un prestito. Questo significa che per sviluppare in questo ambito, nel prossimo futuro, sarà richiesta una autocertificazione (presa in carico di responsabilità sulla struttura dell’algoritmo). L’autocertificazione comprende anche un sistema di valutazione e mitigazione dei rischi, e l’obbligo di fornire informazioni chiare e adeguate all’utente, con documentazione dettagliata che fornisca tutte le informazioni necessarie sul sistema e sul suo scopo affinché le autorità possano valutarne la conformità e la registrazione delle attività, in modo da garantirne la tracciabilità dei risultati. Sempre secondo quella versione, erano classificati ad alto rischio anche i sistemi di AI di raccomandazione dei social media o altre piattaforme digitali.

Dopo l’approvazione di dicembre 2023 è tuttavia circolata una nuova versione del testo, che mantiene le condizioni di esenzione trasversali, con alcuni aggiustamenti ai criteri stessi. Per esempio, è stato specificato che i criteri si applicano anche quando il modello AI non influisce materialmente sull’esito del processo decisionale o quando il sistema AI ha lo scopo di eseguire un compito procedurale ristretto, come trasformare dati non strutturati in dati strutturati.

Un altro criterio permette di evitare la classificazione ad alto rischio se l’AI serve a migliorare il risultato di un’attività umana già completata o a rilevare schemi decisionali, come nel caso di un modello di valutazione di un insegnante o, appunto, un sistema di raccomandazione.