L’Unione Europea negli ultimi anni è impegnata in un intenso sforzo regolatorio per quanto riguarda le tecnologie più avanzate, come l’intelligenza artificiale, l’automazione, i sistemi autonomi e il digitale, in generale.
Brussels effect, IA e robot
Tutto ciò si può ricondurre non solamente alla tradizione culturale e giuridica europea (che tende a regolare in anticipo), ma anche al peso economico e politico che le regole europee hanno a livello globale.
L’Europa è un mercato particolarmente ampio e ricco, nel quale le aziende di qualsiasi parte del mondo hanno interesse a essere presenti come esportatori, cosa che non possono fare se non rispettano gli standard previsti dalla regolazione europea.
In uno studio del 2020, Anu Bradford, una professoressa della Columbia Law School e direttrice dello European Legal Studies Center, ha misurato e dimostrato quello che, con espressione da lei stessa coniata nel 2012, ha chiamato Brussels effect.
Il peso giuridico dell’Europa
Promulgando regolamenti che modellano l’ambiente commerciale internazionale, elevando gli standard a livello mondiale e portando a una notevole europeizzazione di molti aspetti importanti del commercio globale, l’UE è riuscita a plasmare le politiche in settori quali la riservatezza dei dati, la salute e la sicurezza dei consumatori, la protezione dell’ambiente, l’antitrust e l’incitamento all’odio online.
L’UE non è una superpotenza che esercita un’influenza diretta globale o che impone i suoi standard, ma ha un peso che si manifesta nel fatto che le multinazionali estendono volontariamente le regole dell’UE per governare le loro operazioni globali[1]. Naturalmente, vi è anche qualche contro-effetto, ma si tratta di una dinamica importante che mostra, per un verso, il valore economico delle regole e, dall’altro, la loro non necessaria efficacia nella sola giurisdizione che le ha introdotte.
L’Unione Europea sta dedicando notevole attenzione per rendere il piano complessivo dello sforzo regolatorio quanto più chiaro e ordinato ma, inevitabilmente, si tratta di materia molto intrecciata e complessa, talora anche a causa di problemi definitori, come per esempio la definizione stessa di intelligenza artificiale e i rapporti con l’automazione e la robotica in generale.
La difficoltà di regolare le nuove tecnologie
Il quadro è ancora più complesso a causa di interventi similari che altre istituzioni, con estensione e portata territoriale diverse, stanno conducendo.
Basti ricordare, in materia di IA, il Consiglio d’Europa, che ha appena esaminato una bozza di Convenzione sull’IA nella riunione del 21-23 settembre 2022, oppure la raccomandazione del 2019 (Recommendation of the Council on Artificial Intelligence) dell’Organisation for Economic Co-operation and Development (OECD, in italiano OCSE) oppure, con una portata universale, la Raccomandazione sull’intelligenza artificiale approvata nel novembre 2021 dall’UNESCO.
Il risultato è un reticolo di norme di varia forza giuridica e natura, alcune già in vigore, altre di prossima entrata in vigore, altre appena annunciate, di cui non è facile avere un quadro chiaro in tempo reale, che dia conto dei vari movimenti e delle relazioni reciproche.
Noi proviamo a entrare in questo ambiente vario e cangiante avendo come guida narrante Aldo, un piccolo robot cognitivo destinato a essere usato in contesto sociale assistenziale, di cui seguiamo avventure e smarrimenti.
Un robot cognitivo nel reticolo di norme
Un robot cognitivo è frutto della ricerca di architetture e metodologie che migliorino il ciclo “percezione-comprensione-azione” dei sistemi autonomi artificiali, traendo ispirazione anche da modelli cognitivi umani. Cruciali sono la comprensione del significato, dell’apprendimento, dei processi decisionali, e della comunicazione, fino ad arrivare all’analisi delle emozioni nonché la creatività, l’intelligenza “sociale”, le capacità introspettive e le motivazioni che fortemente influenzano le azioni in ambienti reali[2].
Il problema del controllo ha un rilievo particolare: “Cognitive robotics and control refer to knowledge processing as much as knowledge generation from problem understanding, leading to special forms of architectures enabling systems to behave in an autonomous way”[3].
Immaginiamo che un robot di questo tipo, Aldo, compia un primo passo all’interno del reticolo di norme nazionali, europee e sovranazionali.
È una cosa ma cambia a seconda delle esperienze che fa
Le prime norme che Aldo, che è un artefatto materiale di tipo macchina e risponde ai requisiti di una macchina secondo le norme vigenti[4], pensa di incontrare sono quelle relative, appunto, alle macchine. Quindi, di doversi misurare con la Direttiva macchine, ormai in procinto di diventare Regolamento Prodotti Macchina.
Ma Aldo è anche cognitivo, che significa che è un robot con una elevata capacità di ricevere e immagazzinare le informazioni (che provengono dai suoi sensori, che rilevano alcuni aspetti di quello che accade nell’ambiente) e, quindi, di processarle, in modo da produrre un output comportamentale.
Il robot che suggeriva troppo: i problemi e i vantaggi del “nudging” applicato all’IA
Qui Aldo si trova a fronteggiare un problema esistenziale, di identità: come macchina appartiene sicuramente al mondo delle “cose” (e non dei viventi, per intenderci) ma non è necessariamente cosa/oggetto, nel significato giuridico tradizionale, come oggetto inanimato opposto all’essere umano o ad altro animale.
È cosa, ma è capace di elaborare informazioni e di cambiare o evolvere in relazione alle esperienze che fa. E, si noti bene, la capacità di elaborare informazioni è una capacità particolarmente importante nell’evoluzione dei sistemi di connettività ed è una capacità condivisa con ogni entità vivente, compresi gli umani.
Tanto che nell’«Internet di ogni cosa» (Internet of Everything, IoE, che è lo sviluppo dell’Internet delle cose, IoT), cose e persone sono parificate nell’essere connesse alla rete. Infatti, l’«Internet di ogni cosa» connette persone (di cui vengono valorizzate le scelte), processi, dati e cose in modo da dare valore alle connessioni a network.
Due regolamenti per un robot
A questo punto è evidente che Aldo deve rapportarsi non solo alle norme in materia di macchine, ma anche a quelle sull’IA.
Ecco che, perché possa farsi strada nel prossimo futuro, Aldo deve sicuramente fare i conti con i due Regolamenti sui “prodotti macchina” e sulla “intelligenza artificiale” (AI Act), entrambi proposti ad aprile 2021 e attualmente in fase di approvazione, secondo il complesso iter legislativo europeo.
A questo proposito va chiarito che noi facciamo riferimento solo ai testi originariamente presentati dalla Commissione Europea il 21 aprile 2021 (e non alle successive proposte di modifica). Facciamo inoltre riferimento ai testi delle due proposte della Commissione di direttive, l’una sulla responsabilità per danno da prodotti difettosi e l’altra sull’adattamento alle norme sull’intelligenza artificiale (in corso di approvazione come AI Act), delle norme sulla responsabilità civile extracontrattuale, entrambe presentate il 28 settembre 2022.
Ma proviamo a fare ordine. Abbiamo detto che Aldo è una macchina. Ed è pure intelligente.
La concomitanza della presentazione dei due testi di Regolamento (IA e macchine) è tutt’altro che casuale e, come si legge anche nel comunicato stampa della Commissione[5], risponde a una precisa scelta politica e legislativa dell’Unione Europea per affrontare l’era digitale.
Nel rapporto macchina / IA, la Commissione tratteggia la linea di demarcazione affidando la regolamentazione dei rischi relativi ai sistemi di intelligenza artificiale alla normativa dell’Unione in materia di intelligenza artificiale, lasciando, invece, che il nuovo Regolamento macchine disciplini i soli aspetti relativi all’interazione tra i componenti della macchina, ivi compresa l’intelligenza artificiale[6].
L’art. 9 della proposta di regolamento precisa, infatti, che “laddove i prodotti macchina contengono un sistema di intelligenza artificiale, al quale si applicano i requisiti essenziali di sicurezza e di tutela della salute di cui al regolamento [sull’Intelligenza Artificiale, ndr], in relazione a tale sistema di intelligenza artificiale il presente regolamento [macchine, ndr] si applica soltanto per quanto concerne la sua integrazione sicura nella macchina complessiva, in maniera da non compromettere la sicurezza del prodotto macchina nel suo complesso”.
Prima il regolamento IA e poi quello Macchine
A questo punto Aldo scopre che il suo primo identificarsi come macchina non porta da nessuna parte e che deve prima fare i conti con le sue capacità cognitive, ritenute evidentemente prevalenti: deve cominciare a valutare sé stesso partendo dal Regolamento IA per poi passare al Regolamento Macchine, per la sola parte che riguarda l’integrazione dell’IA con il sistema macchina.
Ma dove Aldo può trovare la sua collocazione per le sue capacità cognitive all’interno delle norme del Regolamento sull’Intelligenza Artificiale (AI Act)?
Cosa dice il regolamento IA
Il Regolamento definisce l’Intelligenza Artificiale come qualsiasi software, che può, per un dato insieme di obiettivi definiti dall’uomo, generare risultati come contenuti, previsioni, raccomandazioni o decisioni che influenzano gli ambienti con cui interagiscono (art. 3). Tali software devono essere sviluppati con uno dei seguenti approcci o tecniche:
a) apprendimento automatico (compresi l’apprendimento supervisionato, l’apprendimento non supervisionato e l’apprendimento per rinforzo, con utilizzo di un’ampia gamma di metodi, tra cui l’apprendimento profondo – c.d. deep learning);
b) approcci basati sulla logica (logic based) e approcci basati sulla conoscenza (knowledge based), compresi la rappresentazione della conoscenza, la programmazione induttiva (logica), le basi di conoscenze, i motori inferenziali e deduttivi, il ragionamento (simbolico) e i sistemi esperti;
c) approcci statistici, stima bayesiana, metodi di ricerca e ottimizzazione.
Sensori esterni e software in cloud
Per parte sua, Aldo riceve una pluralità di stimoli dai sensori esterni, alcuni dei quali possono riguardare il tatto o la distanza con gli oggetti circostanti, altri possono provenire dalle persone che gli si rivolgono usando il linguaggio naturale, altri ancora possono riguardare immagini di oggetti o persone o animali, e, nel caso delle persone, possono coinvolgere il riconoscimento facciale, e altro ancora.
L’elaborazione di tutte queste informazioni richiede sistemi di IA diversi e coordinati tra loro, che non sono necessariamente inseriti (embedded) nell’oggetto/cosa Aldo, ma possono trovarsi in uno o più server dislocati (cloud), che possono essere di proprietà di soggetti diversi e che potrebbero trovarsi anche in territori nazionali diversi da quello in cui la macchina agisce.
In più, una tale mole di dati non può essere processata con sistemi deterministici ma necessariamente con sistemi probabilistici, utilizzando sistemi di deep learning. Il tutto tenendo conto del fatto che si tratta di un flusso continuo di dati, che Aldo riceve (in entrata), che elabora ponendoli alla base delle sue azioni successive, che finiscono con il generare un nuovo flusso in entrata, che consentirà di affinare le sue azioni/reazioni.
Gli obblighi dei robot per poter essere in regola
Se si confrontano queste caratteristiche (sommariamente descritte) con l’art. 3 riportato sopra, se ne deve trarre necessariamente la conclusione che Aldo rientra pienamente nella definizione giuridica di IA.
Il che è alquanto scontato. La vera questione viene subito dopo: nell’ottica risk-based sulla quale è costruito il Regolamento IA, Aldo rientra nei sistemi vietati o ammessi e, tra i secondi, se e quali adempimenti deve mettere in atto prima di entrare sul mercato?
Aldo può stare relativamente tranquillo. Non è un sistema vietato, perché non è finalizzato a manipolare il comportamento dell’uomo e non è stato costruito con finalità di social scoring.
Tra i sistemi ammessi, con molta probabilità, Aldo rientrerà tra quelli definiti ad alto rischio, che richiedono adempimenti procedurali stringenti prima della loro immissione sul mercato (valutazione dei rischi, sistemi di mitigazione, qualità dei dataset)[7].
Aldo usa sistemi per l’identificazione biometrica dei pazienti e, quindi, ricade nell’elenco di tecnologie di AI indicate nell’allegato III, cui l’art. 6 rimanda.
Arrivato a questo punto, Aldo sa di poter iniziare la sua avventura, o può almeno provarci. Tutto è vedere quali siano le accortezze necessarie per essere in regola!
Robot: è l’ora di una carta dei diritti e dei doveri? Ecco perché non è “fantalegislazione”
La delicata gestione del rischio
Aldo è dotato di un sistema IA ad alto rischio e deve perciò, sempre secondo il Regolamento IA, (art. 9) “istituire, adottare, attuare e mantenere” un sistema di gestione dei rischi, ossia “un processo iterativo continuo eseguito nel corso dell’intero ciclo di vita di un sistema” che identifichi e analizzi i rischi noti previsti, stimi e valuti i rischi che possono emergere quando il sistema è utilizzato in maniera propria (o impropria ma prevedibile), indichi i rischi che emergono dal monitoraggio dopo l’immissione sul mercato.
Il sistema deve anche prevedere l’adozione di misure di gestione dei rischi attraverso un’adeguata progettazione e fabbricazione, misure di attenuazione e di controllo per i rischi che non possono essere eliminati e deve formare gli utenti e informarli dei rischi in sede di utilizzo del sistema di IA.mo
Un ciclo di vita in tutta trasparenza
Ma non basta. Aldo deve avere sistemi di IA progettati e sviluppati in modo tale da garantire che il funzionamento sia sufficientemente trasparente da consentire agli utenti di interpretare l’output del sistema e utilizzarlo adeguatamente (art. 13).
In più Aldo deve tenere traccia degli eventi (log) durante il funzionamento del sistema per tutto il suo ciclo di vita (art. 12). Quanti e quali log vadano conservati è una scelta discrezionale del sistema, ovviamente, nel rispetto delle finalità dettate dal regolamento per le quali il monitoraggio dei log è previsto.
In deroga a questa discrezionalità, per i sistemi di IA finalizzati al riconoscimento biometrico, è previsto che i log debbano registrare almeno il periodo di ciascun utilizzo del sistema, la banca dati di riferimento con cui il sistema ha verificato i dati di input, i dati di input per i quali la ricerca ha portato a una corrispondenza, l’identificativo delle persone fisiche che partecipano alla verifica dei risultati.
Serve anche governance e gestione dei dati
Scoglio superato! Aldo si è dotato di un sistema di monitoraggio dei rischi e pensa di essere pronto. Ma sbaglia. Aldo utilizza tecniche che prevedono l’uso di dati per l’addestramento di modelli. Ebbene, il regolamento gli impone che il sistema di IA venga sviluppato sulla base di set di dati di addestramento, convalida e prova che soddisfino i criteri di qualità. Ecco quindi che, il sistema deve prevedere pratiche di governance e gestione dei dati (art. 10).
Ma la qualità dei dati a quali fasi di vita si riferisce? Anzitutto alle scelte progettuali, che devono essere pertinenti, poi alla raccolta dei dati e alle operazioni di trattamento, poi alla formulazione delle ipotesi pertinenti, poi alla valutazione preliminare della disponibilità, della quantità e dell’adeguatezza dei set di dati necessari. Infine, sempre con riferimento ai dati, è necessario valutare le possibili distorsioni e individuare eventuali carenze o lacune.
Questo passaggio, che può sembrare scontato, rappresenta invece una scelta molto importante perché porta sul piano normativo, introducendo un’obbligazione giuridica, un aspetto tecnico che, sino ad oggi, assumeva valenza “solo” sul piano delle linee guida o delle buone pratiche e, non meno importante, dell’etica. Lo stesso ragionamento e, quindi, lo spostamento sul piano giuridico, con conseguente coattività e sanzione, vale per i requisiti di robustezza e accuratezza (art. 15).
L’intelligenza artificiale in sanità promette bene ma va a rilento: ecco i problemi
Il robot sanitario si affida alle deroghe
Ecco che un altro ostacolo si para nel percorso di Aldo. È indiscutibile che tra i dati che processa vi siano anche dati personali e dati biometrici, perché se deve lavorare in un contesto assistenziale sanitario è fondamentale che svolga i suoi compiti nei confronti di persone identificate con assoluta certezza.
Il che ci farebbe pensare che la corsa di Aldo si infranga contro il divieto previsto dall’art. 9 del GDPR, che prevede notoriamente il divieto di “trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati personali biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute [corsivo aggiunto]”.
Ma, forse, Aldo può sopravvivere a questo ostacolo appellandosi alle deroghe previste dallo stesso articolo 9, comma 2, che vanno dal consenso dell’avente diritto, alle finalità di salute o di ricerca.
Un’altra àncora di salvezza può trovarsi nello stesso AI Act, laddove, all’Art. 10, comma 5, si prevede che i fornitori di sistemi di IA possano non applicare i limiti di cui all’art.9 GDPR quando “sia strettamente necessario al fine di garantire il monitoraggio, il rilevamento e la correzione delle distorsioni in relazione ai sistemi di IA ad alto rischio”, fatte salve le tutele adeguate per i diritti e le libertà fondamentali delle persone fisiche, comprese tecniche come la pseudonimizzazione o la cifratura, qualora l’anonimizzazione possa incidere significativamente sulla finalità perseguita[8].
Ma non è finita
Un sistema di IA ad alto rischio richiede la supervisione umana durante il suo utilizzo (art. 14). Secondo il regolamento, la sorveglianza umana mira a prevenire o ridurre al minimo i rischi per la salute, la sicurezza o i diritti fondamentali che possono emergere quando un sistema di IA ad alto rischio viene utilizzato.
La sorveglianza può essere realizzata attraverso misure di progettazione del fornitore, ove tecnicamente possibile, oppure, sempre in base alla progettazione, attraverso l’intervento dell’utente durante l’uso dell’IA.
Ma se il robot si guasta le cose si complicano
Aldo può soddisfare questo ulteriore requisito, ma ha un dubbio. Il suo sistema di IA è di tipo intrinsecamente evolutivo. Cioè, disegnato e costruito dal produttore secondo tutte le norme sin qui viste, è stato consegnato all’acquirente utente che ha cominciato a utilizzarlo fruendo di un periodo di assistenza da parte del produttore; intanto però ha fatto esperienza, ha affinato sempre più le sue capacità di risposta e le ha sviluppate in modo relativamente autonomo.
La domanda è: come si individua il passaggio dalle misure di progettazione cui è tenuto il fornitore (“ove tecnicamente possibili”) all’intervento dell’utente durante l’utilizzo dell’IA?
Una proposta lo salverà
La proposta di Direttiva sulla responsabilità per prodotti difettosi (proposta del 28 settembre 2022), che assume coerentemente il punto di vista del danneggiato, si pone l’obiettivo di “consentire risarcimenti per i danni causati da prodotti come robot, droni o sistemi di domotica, diventati non sicuri in seguito ad aggiornamenti del software, dei servizi di IA o dei servizi digitali necessari al funzionamento dei prodotti stessi, nonché quando i fabbricanti non rimediano alle vulnerabilità esistenti in termini di cybersicurezza”.
Qui si introducono concetti e criteri ulteriori che sono destinati a operare sul crinale tra posizione del produttore e dell’utilizzatore, come per esempio un obbligo dei produttori di rimediare a vulnerabilità sopravvenute o rivelatesi successivamente, nonché un obbligo di risarcire i danni provocati da aggiornamenti del software.
Ma dovrà rispettare anche i requisiti macchina
A questo punto Aldo è un po’ stanco, ma non sfiduciato. E vorrebbe essere inserito in un contesto sociale (forse sanitario assistenziale) pensando di far bene.
Ma, affrontato il Regolamento IA, ecco che Aldo, in quanto macchina, si trova a dover rispettare anche la normativa europea in tema di prodotti macchina. Avendo al suo interno l’IA, come abbiamo già visto, dovrà applicare il regolamento macchina solo per la parte relativa alla integrazione del sistema di IA sulla macchina.
Partendo quindi dal sistema di gestione dei rischi, che sarà unico per il nostro robot cognitivo, ecco che Aldo dovrà anche rispettare i requisiti essenziali di sicurezza (come quelli relativi all’ergonomia e agli elementi mobili e alle tensioni psichiche) e di tutela della salute dei soggetti con cui interagisce.
Chi c’è dietro Aldo
Chi ci ha seguito fin qui ha colto che la personificazione del robot Aldo è servita per raccogliere intorno ad esso la massa di progettisti, scienziati, tecnici, imprenditori, produttori, utilizzatori, destinatari, fruitori ecc. Una complessità alla quale bisogna abituarsi per godere al meglio dei servigi di… Aldo e dei suoi fratelli, sorelle e discendenti. Evitando che Aldo sia indotto a gettare la spugna o che muoia per… intossicazione normativa.
Note
- Anu Bradford, The Brussels Effect. How the European Union Rules the World, Oxford University Press, 2020. ↑
- Così nel sito di ICAR CNR: https://www.icar.cnr.it/en/laboratori-icar/robotica-cognitiva-e-social-sensing/ ↑
- Cecilio Angulo, Cognitive Robotics and Control, May 2020 Electronics 9(5), DOI: 10.3390/electronics9050760 ↑
- art. 2, direttiva 2006/42/CE) testo disponibile qui: https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:2006:157:0024:0086:IT:PDF ↑
- Così recita il comunicato stampa: “La Commissione propone oggi nuove regole e azioni allo scopo di mettere l’Europa al centro dell’intelligenza artificiale affidabile. La combinazione del primo quadro giuridico dell’intelligenza artificiale e del nuovo piano di coordinamento con gli Stati membri garantiranno la sicurezza e di diritti fondamentali delle persone e delle imprese, rinforzando, al contempo, la diffusione gli investimenti e l’innovazione in Europa. Nuove regole sui prodotti macchina completeranno questo approccio adattando le regole di sicurezza per aumentare la fiducia degli utilizzatori nella nuova e versatile generazione di prodotti” (Cfr. https://ec.europa.eu/commission/presscorner/detail/en/IP_21_1682) ↑
- In generale, in caso di possibile sovrapposizione del Regolamento Macchine con altri regolamenti applicabili, il considerando 19, così recita: “laddove i prodotti macchina presentino rischi che sono affrontati dai requisiti essenziali di sicurezza e di tutela della salute stabiliti nel presente regolamento, ma siano anche interamente o parzialmente soggetti ad un’altra normativa dell’Unione più specifica, il presente regolamento non dovrebbe applicarsi nella misura in cui tali rischi siano trattati da tale altra normativa dell’Unione”. ↑
- Le altre categorie di sistemi ammessi sono i sistemi con rischi limitati, che impongono obblighi di trasparenza (come quello, per esempio, di rendere noto che l’utente sta interagendo con un sistema di IA) e i sistemi con rischi minimi, il cui uso è libero. ↑
- Art. 10 comma 5 AI Act, comma 5. “Nella misura in cui ciò sia strettamente necessario al fine di garantire il monitoraggio, il rilevamento e la correzione delle distorsioni in relazione ai sistemi di IA ad alto rischio, i fornitori di tali sistemi possono trattare categorie particolari di dati personali di cui all’articolo 9, paragrafo 1, del regolamento (UE) 2016/679, all’articolo 10 della direttiva (UE) 2016/680 e all’articolo 10, paragrafo 1, del regolamento (UE) 2018/1725, fatte salve le tutele adeguate per i diritti e le libertà fondamentali delle persone fisiche, comprese le limitazioni tecniche all’utilizzo e al riutilizzo delle misure più avanzate di sicurezza e di tutela della vita privata, quali la pseudonimizzazione o la cifratura, qualora l’anonimizzazione possa incidere significativamente sulla finalità perseguita”. ↑
