Auto a guida autonoma, nuovi obblighi nel regolamento europeo su AI

Con un tempismo quasi perfetto, se non fosse per la tragicità della concomitanza con la notizia dagli Stati Uniti della morte di due persone a bordo di una Tesla, macchina a guida semi autonoma, la Commissione Europea ha pubblicato il 21 aprile 2021 la COM(2021) 206 contenente una proposta di Regolamento sull’utilizzo dell’intelligenza artificiale.

Dalla lettura delle regole emerge con tutta evidenza la volontà dell’Unione di imporre vincoli molto stringenti, vietando l’uso dei sistemi di intelligenza artificiale in alcuni ambiti ed imponendo peraltro agli Stati membri di istituire appositi comitati di valutazione funzionali a testare e, se del caso, validare i sistemi di AI che presentano profili di alto rischio, facendo poi riferimento ad una European Artificial Intelligence Board composta da rappresentanti di ciascun Paese membro.

Il profilo sanzionatorio è molto gravoso potendo arrivare a 30 milioni di euro ovvero al 6 per cento del fatturato mondiale in caso il soggetto che ha violato le disposizioni sia una società.

Regolamento UE su intelligenza artificiale e auto a guida autonoma

Con particolar riguardo ai sistemi di guida automatica (self-driving) le disposizioni di riferimento vanno ravvisate nel titolo III del Regolamento, all’interno del quale sono contenute regole specifiche per i sistemi AI che creano un rischio elevato per la salute e la sicurezza o i diritti fondamentali delle persone fisiche. In linea con un approccio basato sul rischio, questi sistemi AI ad alto rischio sono consentiti sul mercato europeo a condizione che siano conformi ad alcuni requisiti obbligatori e ad una valutazione di conformità ex-ante.

Intelligenza artificiale, i punti chiave del regolamento europeo

La classificazione di un sistema di intelligenza artificiale come ad alto rischio si basa sullo scopo previsto del sistema di intelligenza artificiale, in linea con la legislazione esistente sulla sicurezza dei prodotti. Pertanto, la classificazione come ad alto rischio non dipende solo dalla funzione svolta dal sistema di IA, ma anche dallo scopo specifico e dalle modalità per cui tale sistema viene utilizzato.

Due sono le categorie principali di sistemi AI ad alto rischio:

1. sistemi di intelligenza artificiale destinati a essere utilizzati come componenti di sicurezza di prodotti soggetti a valutazione di conformità ex-ante da parte di terzi;
2. altri sistemi AI autonomi con implicazioni principalmente sui diritti fondamentali che sono esplicitamente elencati nell’allegato III.

Questo elenco di sistemi AI ad alto rischio nell’allegato III contiene un numero limitato di sistemi AI i cui rischi si sono già concretizzati o è probabile che si concretizzino nel prossimo futuro.

Vi rientrano, tra gli altri, i sistemi per permettono l’identificazione e la categorizzazione biometrica delle persone fisiche, la gestione e il funzionamento delle infrastrutture critiche (funzionamento del traffico stradale e nella fornitura di acqua, gas, riscaldamento ed elettricità, l’istruzione e la formazione professionale, l’occupazione, la gestione dei lavoratori e l’accesso al lavoro autonomo (in particolare per pubblicizzare i posti vacanti, esaminare o filtrare le candidature, valutare i candidati nel corso di colloqui o prove), l’accesso e il godimento di servizi privati essenziali e di servizi e benefici pubblici (ad esempio per valutare l’ammissibilità delle persone fisiche a prestazioni e servizi di assistenza pubblica, nonché per concedere, ridurre, revocare o richiedere tali prestazioni e servizi.

La compliance del veicolo a guida automatica

Ciò significa che un sistema di guida automatico dei veicoli deve essere compliant con le prescrizioni dettate dal Regolamento, considerando che presenta potenzialmente un rischio elevato per la salute e la sicurezza: in questo senso, essenziale il rispetto di quanto dettato dall’articolo 10, che richiede lo sviluppo dei modelli sulla base di serie di dati di addestramento, convalida e prova che soddisfano alcuni criteri di qualità, tenuto conto di scelte progettuali pertinenti, raccolta dei dati, pertinenti operazioni di trattamento della preparazione dei dati, quali annotazione, etichettatura, pulizia, arricchimento e aggregazione, formulazione delle ipotesi pertinenti, in particolare per quanto riguarda le informazioni che i dati dovrebbero misurare e rappresentare, valutazione preliminare della disponibilità, della quantità e dell’adeguatezza delle serie di dati necessari, esame in vista di possibili distorsioni e identificazione di eventuali lacune o carenze di dati e il modo in cui tali lacune e carenze possono essere affrontate.

In questo senso è assolutamente prioritario e obbligatorio realizzare un sistema di gestione dei rischi, consistente in un processo iterativo continuo durante l’intero ciclo di vita con aggiornamento sistematico regolare, strutturato in modo tale da identificare ed analizzare non solo i rischi noti e prevedibili, associati a ciascun sistema di intelligenza artificiale ad alto rischio, ma anche stimare e valutare rischi che possono emergere quando il sistema di intelligenza artificiale ad alto rischio è utilizzato conformemente alla sua destinazione e in condizioni di uso improprio ragionevolmente prevedibili.

In definitiva, un quadro normativo di principi e criteri sta faticosamente venendo alla luce e, alla lunga, permetterà di gestire in maniera da contenere, prevedendole, le variabili di utilizzo di sistemi ad alto rischio tanto da limitarne per quanto possibile la potenzialità di danneggiare gli utenti, compresi i passeggeri di un veicolo a guida automatica.

Seguono alcuni aspetti generali del regolamento, utili a contestualizzare le norme su guida autonoma.

Definizioni di AI nel regolamento UE

Ai fini del Regolamento sono dettate una serie di definizioni di assoluto rilievo ai fini dell’inquadramento del campo di applicazione, soggettivo e oggettivo, delle misure di interesse. Innanzitutto per “sistema di intelligenza artificiale” (sistema IA), si intende un software sviluppato con una o più tecniche e approcci come delineati nell’allegato I, e cioè:

• approcci di apprendimento automatico, compreso l’apprendimento supervisionato, non supervisionato e di rinforzo, utilizzando un’ampia varietà di metodi, compreso l’apprendimento profondo;
• approcci basati sulla logica e sulla conoscenza, compresa la rappresentazione della conoscenza, la programmazione induttiva (logica), le basi di conoscenza, i motori di inferenza e deduttivi, il ragionamento (simbolico) e i sistemi esperti;
• approcci statistici, stima bayesiana (in grado di massimizzare il valore atteso a posteriori di una funzione di utilità), metodi di ricerca e ottimizzazione.

I sistemi AI sono così in grado, per una determinata serie di obiettivi definiti dall’uomo, di generare risultati quali contenuti, previsioni, raccomandazioni o decisioni che influenzano gli ambienti con cui interagiscono.

Dal punto di vista soggettivo, sono individuati come “operatore”: il fornitore, l’utente, il rappresentante autorizzato, l’importatore e il distributore. Nel dettaglio, il fornitore è una persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo che sviluppa un sistema di intelligenza artificiale o che fa sviluppare un sistema di intelligenza artificiale al fine di immetterlo sul mercato o metterlo in servizio con il proprio nome o marchio, a pagamento o gratuitamente. L’utente è invece qualsiasi persona fisica o giuridica, autorità pubblica, agenzia o altro organismo che utilizza un sistema di intelligenza artificiale sotto la sua autorità, tranne quando il sistema di intelligenza artificiale è utilizzato nel corso di un’attività personale non professionale. Allo stesso tempo, l’importatore è qualsiasi persona fisica o giuridica stabilita nell’Unione che immette sul mercato o mette in servizio un sistema di intelligenza artificiale che reca il nome o il marchio di una persona fisica o giuridica stabilita al di fuori dell’Unione, mentre distributore è qualsiasi persona fisica o giuridica nella catena di fornitura, diversa dal fornitore o dall’importatore, che rende disponibile sul mercato dell’Unione un sistema di intelligenza artificiale senza alterarne le proprietà.

Di assoluto rilievo la necessità di una “marcatura CE di conformità” (marcatura CE) e cioè una marcatura con la quale un fornitore indica che un sistema di intelligenza artificiale è conforme ai requisiti del Regolamento e ad altra normativa applicabile dell’Unione che armonizza le condizioni di commercializzazione dei prodotti (“normativa di armonizzazione dell’Unione”) che ne prevede l’apposizione. Inoltre va realizzato il “monitoraggio successivo all’immissione sul mercato“, e cioè l’insieme delle attività svolte dai fornitori di sistemi di intelligenza artificiale per raccogliere ed esaminare in modo proattivo l’esperienza acquisita con l’uso dei sistemi di intelligenza artificiale che immettono sul mercato o mettono in servizio al fine di individuare l’eventuale necessità di applicare immediatamente le necessarie azioni correttive o preventive.

Da ricordare, anche ai fini del presente intervento, la definizione di “incidente grave”, inteso come qualsiasi incidente che, direttamente o indirettamente, provoca, avrebbe potuto provocare o potrebbe provocare uno dei seguenti eventi:

1. il decesso di una persona o gravi danni alla salute di una persona, ai beni o all’ambiente
2. un’interruzione grave e irreversibile della gestione e del funzionamento delle infrastrutture critiche.

Divieto di utilizzo

Sono ad ogni modo vietati l’immissione sul mercato, la messa in servizio o l’uso di un sistema di intelligenza artificiale che:

1. utilizzi tecniche subliminali al di là della coscienza di una persona al fine di distorcere materialmente il comportamento di una persona in modo da causare o poter causare a tale persona o ad un’altra un danno fisico o psicologico;
2. sfrutti le vulnerabilità di un gruppo specifico di persone a causa della loro età, disabilità fisica o mentale, al fine di falsare materialmente il comportamento di una persona appartenente a tale gruppo in modo da causare o da rendere probabile un danno fisico o psicologico a tale persona o ad un’altra persona;
3. sia utilizzato da parte di autorità pubbliche o per loro conto per la valutazione o la classificazione dell’affidabilità delle persone fisiche per un certo periodo di tempo sulla base del loro comportamento sociale o di caratteristiche personali o di personalità note o previste, con un punteggio sociale che porti ad uno dei seguenti risultati o ad entrambi:
4. trattamento pregiudizievole o sfavorevole di alcune persone fisiche o di interi gruppi di esse in contesti sociali che non sono collegati ai contesti in cui i dati sono stati originariamente generati o raccolti;
5. un trattamento lesivo o sfavorevole di talune persone fisiche o di interi gruppi di esse che è ingiustificato o sproporzionato al loro comportamento sociale o alla sua gravità;
6. si avvalga di sistemi di identificazione biometrica a distanza “in tempo reale” in spazi accessibili al pubblico ai fini dell’applicazione della legge, a meno che e nella misura in cui tale uso sia strettamente necessario per uno dei seguenti obiettivi

• la ricerca mirata di specifiche vittime potenziali di reati, compresi i bambini scomparsi;
• la prevenzione di una minaccia specifica, sostanziale e imminente alla vita o all’incolumità fisica delle persone fisiche o di un attacco terroristico
• l’individuazione, la localizzazione, l’identificazione o il perseguimento dell’autore o del sospetto di un reato di punibile nello Stato membro interessato con una pena o una misura di sicurezza privative della libertà della durata massima di almeno tre anni, come stabilito dalla legge di tale Stato membro.

Profili sanzionatori

Inoltre nel rispetto dei termini e delle condizioni stabiliti dal Regolamento, gli Stati membri stabiliscono le norme relative alle sanzioni, comprese le sanzioni amministrative pecuniarie, applicabili alle violazioni, adottando tutte le misure necessarie per garantirne un’attuazione corretta ed efficace.

Gli Stati membri devono notificare alla Commissione tali misure, così come ogni successiva modifica.

Sono soggette a sanzioni amministrative pecuniarie fino a 30 milioni di euro o, se il trasgressore è una società, fino al 6% del suo fatturato mondiale totale annuo per l’esercizio finanziario precedente, se quest’ultimo è superiore, le violazioni consistenti nella:

(a) inosservanza del divieto delle pratiche di intelligenza artificiale di cui all’articolo 5;

(b) non conformità del sistema di intelligenza artificiale con i requisiti stabiliti dall’articolo 10.

Il mancato rispetto da parte del sistema di intelligenza artificiale di qualsiasi requisito o obbligo diverso da quelli di cui agli articoli 5 e 10, è soggetto a sanzioni amministrative pecuniarie fino a 20 milioni di euro o, se il trasgressore è una società, fino al 4% del suo fatturato totale annuo mondiale per l’esercizio finanziario precedente, se superiore.

Inoltre, la comunicazione di informazioni inesatte, incomplete o fuorvianti agli organismi notificati e alle autorità nazionali competenti in risposta a una richiesta è soggetta a sanzioni amministrative pecuniarie fino a 10 milioni di euro o, se il trasgressore è una società, fino al 2 % del suo fatturato mondiale totale annuo per l’esercizio finanziario precedente, se quest’ultimo è superiore.

Nel decidere l’importo dell’ammenda amministrativa in ogni singolo caso, si deve tenere conto di tutte le specifiche circostanze ed in particolare:

1. di natura, gravità e durata dell’infrazione e sue conseguenze;
2. se altre autorità di vigilanza del mercato abbiano già applicato ammende amministrative allo stesso operatore per la stessa infrazione:

• di dimensioni e quota di mercato dell’operatore che commette l’infrazione.