Il disegno di legge proposto dalla Camera dei Lords britannica, pubblicato il 9 settembre scorso, rappresenta un esempio di concretezza che gli Stati Membri dovrebbero, o potrebbero prendere in considerazione; fornisce infatti, in sole 12 pagine, indicazioni e prescrizioni chiare e precise alle autorità pubbliche sull’impiego di sistemi decisionali automatizzati e algoritmici – supportati o meno da tecnologie di intelligenza artificiale.
Strumenti legislativi come questo, molto puntuali e pragmatici, sono particolarmente efficaci e possono costituire uno strumento di riferimento pratico per le PA; ad esempio, vengono fornite indicazioni sistematiche su quando e come deve essere svolta la valutazione di impatto “algoritmico”, e quali regole di trasparenza e adempimenti connessi (come le “registrazioni di trasparenza”) devono essere ottemperati per tutte le iniziative che utilizzino qualsiasi sistema decisionale algoritmico o automatizzato sviluppato o acquisito da un ente pubblico, anche in fase di sviluppo.
Regole chiare e precise, dunque, per Enti e Autorità pubbliche, che non potrebbero che far gola ad esempio alle PA italiane, che potrebbero essere invece spiazzate rispetto alle indicazioni del nostro DDL del 23 aprile scorso, e alla Strategia Italiana per l’intelligenza artificiale 2024-2026 pubblicata dal Dipartimento per la trasformazione digitale e dall’AGID, seppur valide e conformi ai requisiti di affidabilità, correttezza ed eticità necessari per un uso responsabile dell’AI.
I contenuti salienti del progetto di legge
L’obiettivo è quello di garantire che i sistemi decisionali algoritmici e automatizzati siano utilizzati in modo da considerare attentamente e attenuare i rischi per le persone, le autorità pubbliche, i gruppi e la società nel suo complesso, e che portino a un processo decisionale efficiente, equo, accurato, coerente e decisioni chiare e intellegibili per tutti, e prevedere un servizio indipendente di risoluzione di eventuali controversie.
La legge si applica a qualsiasi sistema, strumento o modello statistico utilizzato per informare, raccomandare o prendere una decisione amministrativa su un utente del servizio o un gruppo di utenti del servizio di un Ente o Autorità pubblica, ed include i sistemi in fase di sviluppo, esclusi i sistemi decisionali automatizzati operanti in ambienti di prova.
Sono esclusi dal campo di applicazione i sistemi decisionali automatizzati utilizzati ai fini della sicurezza nazionale, e i sistemi automatizzati che si limitano a calcolare e a applicare formule, tra cui la tassazione e l’assegnazione di risorse finanziarie nella misura in cui tali sistemi automatizzano un processo di calcolo che altrimenti verrebbe eseguito manualmente e compreso appieno.
I punti fondamentali del progetto di legge
I punti fondamentali trattati sono:
- Scopi specifici: garantire che i sistemi decisionali automatizzati siano utilizzati in modo equo, efficiente e trasparente, riducendo i rischi per individui e società;
- Criteri chiari di applicabilità della legge;
- Valutazioni di impatto: prima di implementare tali sistemi, le autorità devono completare una Valutazione d’Impatto degli Algoritmi, valutando rischi e benefici, e pubblicarne i risultati;
- Trasparenza: devono essere create e rese pubbliche delle registrazioni di trasparenza per ogni sistema automatizzato, spiegando il suo funzionamento e il suo impatto sulle decisioni amministrative;
- Obblighi per le autorità pubbliche: le autorità devono informare gli individui dell’uso di sistemi automatizzati nelle decisioni che li riguardano e spiegare come sono state prese le decisioni.
- Formazione: i dipendenti pubblici devono essere formati per capire e monitorare i sistemi automatizzati e le loro decisioni.
- Tracciamento: i sistemi devono essere progettati per registrare automaticamente gli eventi durante il loro utilizzo, permettendo un monitoraggio a lungo termine.
- Divieti: non è consentito l’uso di sistemi automatizzati che non possono essere valutati adeguatamente per motivi tecnici o contrattuali.
- Risoluzione delle dispute: i cittadini devono avere accesso a un servizio indipendente per contestare o richiedere il risarcimento per decisioni prese da sistemi automatizzati.
- Regolamentazione e attuazione: la legge entrerebbe in vigore sei mesi dopo la sua approvazione e sarebbe applicabile in Inghilterra e nel Galles.
La legge prevede due brevi Schedules (programmi) allegati; il primo contiene i principi per la revisione, la spiegazione e la supervisione del funzionamento di e dei sistemi decisionali automatizzati, mentre il secondo contiene le definizioni utilizzate nella proposta di legge.
I principi descritti nel primo Schedule
I principi descritti nel primo Schedule sono:
- La crescita inclusiva, sviluppo sostenibile e benessere per le persone ed il pianeta;
- Il rispetto dello Stato di diritto, dei diritti umani e dei valori democratici, tra cui l’equità, il rispetto dei diritti umani e la privacy;
- La trasparenza e la spiegabilità;
- La robustezza, la sicurezza e la protezione;
- La responsabilità.
Con termini semplici, in poco più di due pagine viene nella sostanza riassunta la letteratura relativa all’impiego delle tecnologie di intelligenza artificiale, in piena coerenza con i principi dell’AI Act dell’Unione Europea.
Le valutazioni di impatto algoritmico
Sebbene il framework da utilizzare per le valutazioni di impatto algoritmiche sia demandato a successive prescrizioni in regolamenti proposti alle Camere da parte del Segretario di Stato, nella proposta legge i contenuti e le caratteristiche degli Algorithmic Impact Assessments sono ben spiegati e includono una descrizione dettagliata del sistema decisionale algoritmico o automatizzato, una valutazione dei benefici e dei rischi relativi del sistema, compresi i rischi per la privacy e la sicurezza delle informazioni personali, i rischi per gli utenti dei servizi pubblici, nonché i rischi e i probabili impatti sui dipendenti delle autorità pubbliche, idonee spiegazioni delle misure adottate per ridurre al minimo tali rischi, e un controllo esterno indipendente dell’efficacia e dell’accuratezza del sistema.
La valutazione di impatto deve essere pubblicata in formato accessibile entro 30 giorni dall’ottenimento dei risultati, e deve essere aggiornata quando la funzionalità o la portata del sistema decisionale algoritmico o automatizzato cambia.
Il framework con i criteri di valutazione dovrà prevedere anche un sistema di governance e il pieno rispetto della Legge inglese sull’uguaglianza e parità di genere (Equality Act del 2010) e sulla la legge inglese sui diritti umani del 1998.
I registri di trasparenza algoritmica
Interessante l’obbligo per le autorità ed enti pubblici di compilare, e pubblicare in una sorta di Pubblico registro, entro 30 giorni dal completamento, dei Registri di trasparenza che contengono:
(a) una descrizione dettagliata del sistema decisionale algoritmico o automatizzato,
(b) una spiegazione delle motivazioni per l’utilizzo del sistema,
(c) informazioni sulle specifiche tecniche del sistema,
(d) una spiegazione del modo in cui il sistema viene utilizzato per concepire le decisioni amministrative riguardanti gli utenti, o gruppi di utenti dei servizi pubblici
(e) informazioni sulla supervisione umana del sistema
Ciò ricorda, a chi si occupa di protezione dati personali dai primi anni 2000, gli Schemi tipo di regolamento per il trattamento dei dati sensibili e giudiziari che erano da sottoporre al Garante per la protezione dati personali da parte degli Enti pubblici.
Questo apparente passo indietro, rispetto alla moderna tendenza ad una piena accountability di ogni organismo pubblico e privato, fa riflettere (come del resto la classificazione dei livelli di rischio prevista dall’AI Act) su quanto sia temuta la perdita di controllo derivante dall’impiego di tecnologie decisionali automatizzate, e di fatto dell’AI nel suo complesso.
Da qui, probabilmente, l’impegno del legislatore del Regno Unito, e il conseguente obbligo previsto nella proposta di legge britannica per le autorità ed enti di comunicare in un registro pubblico che la decisione resa sarà presa in tutto o in parte da un sistema decisionale algoritmico o automatizzato, e di rendere una chiara spiegazione alle persone interessate di come e perché una decisione che incide sui processi è stata realizzata, e di quali possano essere le potenziali conseguenze degli esiti, è un requisito vincolante per l’impiego, insieme all’obbligo di fornire un’adeguata formazione ai dipendenti in merito alla progettazione, al funzionamento e alla gestione del processo decisionale al fine di consentir loro di esaminare, spiegare e sorvegliare il suo operato in conformità con i principi per un uso consapevole, sicuro e responsabile di tali tecnologie.
Interessante anche il divieto, prescritto nella proposta di legge, di impiegare o utilizzare un sistema decisionale algoritmico o automatizzato se esistono ostacoli pratici, tra cui misure contrattuali o tecniche e interessi di proprietà intellettuale, che limitino la loro effettiva valutazione o monitoraggio dell’algoritmo o del sistema automatizzato in relazione ai singoli risultati o alle prestazioni aggregate, e di contro l’obbligo di massima trasparenza delle valutazioni condotte sui modelli scelti, e di sottoporre i sistemi e la relativa documentazione, su richiesta, alla valutazione dell’AI Safety Institute.
Il confronto con gli strumenti regolatori dell’Unione Europea
Il pragmatismo e la ricerca di efficacia ed efficienza del Regno Unito, che ha storicamente ispirato le norme standard volontarie (si pensi a quanti BS – British Standard – sono stati nel tempo recepiti dall’ISO con pochissime o addirittura assenti modifiche negli standard internazionali) continua a far riflettere se non sia il caso, anche negli Stati membri che spesso soffrono il lento adattamento delle proprie Autorità pubbliche al recepimento e comprensione dell’iper-regolazione europea, di prendere come esempio questo approccio schematico con chiare indicazioni e prescrizioni, magari onerose, ma che non lasciano adito alle interpretazioni filosofico-giuridiche per gli addetti ai lavori che vengono lette come mere formalità incomprensibili dai dipendenti pubblici, risultando nella sostanza applicate poco o male.
Adesso, con l’esplosione degli strumenti regolatori UE in atto, atti legislativi concreti come la proposta di legge del Regno Unito possono davvero costituire un valido riferimento per i legislatori nazionali, anche se ciò implica umiltà e logiche che forse non sposano la necessità di ostentazione di stile della politica dell’Unione e di tanti Stati membri.
Conclusioni
La proposta di legge sui sistemi decisionali automatizzati delle autorità pubbliche del Regno Unito è una lettura dovuta (e particolarmente agevole e piacevole, vista la chiarezza espositiva e la brevità del testo) per tutti gli appassionati di tecnologia e di compliance, e costituisce un buon esempio di legislazione concreta e senza fronzoli che in un contesto sempre più complesso e iper-regolato può, forse dovrebbe, far riflettere se non sia il momento che venga adottata sempre più spesso per supportare la transizione digitale della nostra pubblica amministrazione.
