Mentre in UE siamo presi con il testo (pionieristico) dell’AI Act approvato lo scorso 13 marzo dal parlamento europeo, l’esigenza di regolamentare la tecnologia della IA e i suoi “proteiformi” impatti, è sulla agenda di altri, grandi e importanti player globali.
Tra le iniziative rilevanti oltre quella indiana, oggetto di questa breve disamina, si registrano quella statunitense del National Artificial Intelligence Initiative[1], il Piano di Sviluppo Cinese del New Generation Aritifical Intelligence[2] e, anche se geograficamente europeo, quello dell’AI Governance Framework Britannico[3]. Ciascuna con un peculiare approccio che riflette indirizzi etici, gestione dei rischi e degli impatti economici affatto uniformi tra loro[4].
L’AI Act europeo: una mappa normativa per l’intelligenza artificiale
Come è stato ampiamente sottolineato da più voci, l’AI Act europeo, è il primo quadro normativo completo di questo tipo in tutto il mondo. L’obiettivo è quello di regolamentare e governare la tecnologia in forte espansione che accompagna sia il fervore che la paura del futuro.
Il Parlamento europeo, attraverso una legislazione unica nel suo genere, si propone di proteggere i diversi aspetti dei diritti fondamentali, della democrazia, dello stato di diritto e della sostenibilità ambientale dall’impatto dell’IA ad alto rischio, incoraggiando e sostenendo al contempo l’innovazione tecnologica nell’IA.
La legislazione consolidata ha suddiviso la tecnologia in quattro aspetti per facilitarne la regolamentazione e l’adesione: vietata, ad alto rischio, a rischio limitato e a rischio minimo. I settori che si occupano di identificazione biometrica in ambito sanitario, giuridico e scolastico sono classificati come sistemi ad alto rischio e destinati a soddisfare requisiti rigorosi, supervisione umana, sicurezza e valutazione, mentre i sistemi che interagiscono con chatbot e programmi di generazione di immagini sono classificati nella categoria a rischio limitato, che prevede il consenso informato degli utenti.
La legislazione prevede una politica di tolleranza zero nei confronti dei modelli di IA che si impegnano nella manipolazione del comportamento umano e nello sfruttamento delle vulnerabilità umane come la razza, la religione o l’orientamento sessuale. Tuttavia, i sistemi a rischio trascurabile, come i filtri antispam e gli elettrodomestici intelligenti, sono considerati a rischio minimo e devono aderire alle leggi esistenti. La legge prevede inoltre che i produttori di sistemi di IA generici siano tenuti a fornire il materiale utilizzato per addestrare i loro modelli e a rispettare le leggi sul copyright dell’UE.
La legislazione dell’UE è già stata criticata per la severità delle sue norme che rischiano di soffocare nella culla l’innovazione.
L’ascesa dell’IA in India
Anche l’India si trova di fronte a sfide simili, in quanto i regolamenti stringenti che affrontano i rischi derivanti dalla proliferazione emergente di deep fakes sono percepiti come ostacoli per le start-up promettenti e per il miglioramento delle vite umane[5].
L’esponenziale ascesa dell’IA in India ha sollevato anche potenziali e preoccupanti questioni di etica, privacy dei dati, trasparenza, pregiudizi ed equità alimentati dai modelli di IA.
L’ecosistema indiano, per adesso, sta affrontando questi problemi pressanti regolamentando la raccolta, l’elaborazione e l’archiviazione dei dati personali, ponendosi in linea con gli standard internazionali, introducendo anche aspetti di standardizzazione e certificazione che favoriscano le componenti di responsabilità, equità e innovazione.
L’approccio indiano alla regolamentazione dell’IA
L’India sembra aver adottato un approccio distinto alla regolamentazione dell’IA rispetto alla UE, dando la priorità allo sfruttamento del suo potenziale piuttosto che a una regolamentazione rigorosa[6].
Il 1° marzo 2024, il Ministero indiano dell’Elettronica e della Tecnologia dell’Informazione (“MeitY”) ha emesso un “documento consultivo (detto “Advisory”) per gli intermediari e le piattaforme che operano nel settore della tecnologia dell’intelligenza artificiale (“AI”). Pur essendo definito come “consultivo”, il documento delinea in concreto una serie di mandati, incaricando gli intermediari di rispettarli immediatamente e di fornire al MeitY un rapporto sulle azioni intraprese entro 15 giorni.
L’obiettivo del parere è quello di regolamentare e rendere responsabili le piattaforme di IA non testate per l’utilizzo di tali modelli di IA non affidabili. Con un’eccezione prevista per le start-up, l’avviso è un tentativo di dare spazio alle possibilità di trasformazione dei modelli di IA, promuovendo le capacità innovative e l’aggiornamento tecnologico nel Paese e bilanciando al contempo il diritto dei cittadini di essere informati di ogni potenziale pericolo.
Dato che il documento ha suscitato un certo clamore all’interno della crescente comunità indiana delle startup, in relazione al suo impatto sulla responsabilità delle aziende che utilizzano l’IA, il 15 marzo, il MeitY ha rilasciata una nuova advisory in sostituzione di quella del primo marzo.
Gli obblighi previsti dall’advisory indiana
La nuova Advisory affronta l’uso e lo sviluppo di modelli di IA/modelli linguistici di grandi dimensioni/AI generativa, software o algoritmi, imponendo agli intermediari[7] e alle piattaforme i seguenti obblighi.
- Non intermediare l’accesso a contenuti illegali ai sensi dell’articolo 3(1)(b) del Regolamento IT o in violazione di qualsiasi altra disposizione dell’IT Act (Par.2(a) ).
Questo paragrafo afferma che gli intermediari o le piattaforme devono garantire che il loro utilizzo di modelli o software di IA non consenta agli utenti di ospitare, visualizzare, caricare, modificare, pubblicare, trasmettere, memorizzare, aggiornare o condividere qualsia contenuto illegale. In questo modo, gli intermediari o le piattaforme devono assumersi l’effettiva responsabilità nel dissuadere gli utenti dall’accedere a contenuti vietati.
- non consentano pregiudizi o discriminazioni o minaccino l’integrità del processo elettorale (Par. 2 b) ).
Le piattaforme devono evitare qualsiasi pregiudizio, discriminazione o minaccia all’integrità del processo elettorale attraverso l’uso di modelli o algoritmi di IA.
- Modelli fondanti di Intelligenza Artificiale, LLM/Generative Al, software o algoritmi non testati o inaffidabili (Under-tested/unreliable) o ulteriori sviluppi di tali modelli dovrebbero essere messi a disposizione degli utenti in India solo dopo aver opportunamente etichettato la possibile fallibilità o inaffidabilità intrinseca dell’output generato[8]. L’avviso originale, emesso il 1° marzo 2024, prevedeva che l’uso di modelli di IA non testati o inaffidabili dovesse avere l’autorizzazione esplicita del governo indiano e dovesse essere etichettato in modo appropriato per gli utenti.7 L’Advisory del 15 marzo 2024, ha rivisto questa prescrizione e ha eliminato questo requisito di autorizzazione. Gli intermediari sono ora “consigliati” a rendere disponibili in India i modelli non affidabili solo dopo averli etichettati per informare gli utenti della “possibile fallibilità o inaffidabilità intrinseca dell’output generato “
- Ogni intermediario e piattaforma dovrebbe informare i propri utenti attraverso le condizioni di servizio e gli accordi con gli utenti, sulle conseguenze del trattamento di informazioni illegali, tra cui la disabilitazione dell’accesso o la rimozione di tali informazioni, la sospensione o la cessazione dell’accesso o dei diritti d’uso dell’utente sul proprio account utente, a seconda dei casi, e le sanzioni previste dalla legge applicabile. Gli utenti dell’IA devono essere adeguatamente informati delle conseguenze derivanti dall’utilizzo di informazioni illegali.
Inoltre, ai sensi del Paragrafo 3 della Advisory, nel caso in cui un intermediario, attraverso il suo software o qualsiasi altra risorsa informatica, consenta o faciliti la creazione, la generazione o la modifica sintetica di informazioni testuali, audio, visive o audiovisive, in modo tale che tali informazioni possano essere utilizzate potenzialmente come disinformazione o deepfake, il documento consiglia che tali informazioni siano etichettate o incorporate con metadati o identificatori univoci permanenti, in modo tale che possano essere utilizzati per identificare che tali informazioni sono state create, generate o modificate utilizzando la risorsa informatica dell’intermediario.
In caso di modifiche apportate da un utente, i metadati devono essere configurati in modo da consentire l’identificazione dell’utente o della risorsa informatica che ha apportato la modifica. Tale etichettatura dovrebbe consentire all’autorità di regolamentazione non solo di identificare la natura delle informazioni in questione, ma anche di rintracciare quale software o risorsa informatica dell’intermediario è stata utilizzata per creare, generare o modificare le informazioni; chi è l’utente di tale software o risorsa informatica; chi è il creatore o il primo ideatore di tali informazioni o deepfake.
Il confronto tra l’Advisory indiana e l’AI Act europeo
Individuati i contenuti di quella che più che un “consiglio” appare un vero è proprio “mandato ad adempiere”, può essere utile porlo in relazione con quanto disposto nell’AI Act analizzando i songoli aspetti come trattati dai due diversi provvedimenti.
L’accesso ai contenuti illegali
L’Advisory pone il divieto di intermediazione di contenuti illegali, con un corrispondente onere attivo a carico di intermediari e piattaforme.
L’AI Act non contiene alcuna disposizione in merito in quanto della diffusione di contenuti illegali online, si occupano altri atti normativi, come il Digital Services Act del 2022.
L’integrità del processo elettorale
L’Advisory, impone di non facilitare le minacce al processo elettorale: tutti gli intermediari sono generalmente tenuti a garantire che le loro risorse informatiche non consentano pregiudizi o discriminazioni o minaccino l’integrità del processo elettorale.
L’AI Act, classifica l’IA in diverse categorie di rischio con diversi gradi di regolamentazione per ciascuna categoria. I sistemi di IA in grado di influenzare l’esito di un’elezione o il comportamento di voto di persone fisiche sono classificati come sistemi di IA ad alto rischio.
Questi sistemi sono soggetti a specifiche ed estese indicazioni di conformità, stabilite individualmente per gli utenti (deployer), gli importatori e i distributori.
Utilizzo di modelli di intelligenza artificiale non testati o non affidabili
Come visto, secondo la prima advisory era prevista un’autorizzazione preventiva, poi sostituita, in quella in esame, da un requisito di etichettatura. È richiesta un’etichettatura appropriata che comunichi l’intrinseca fallibilità o inaffidabilità dei risultati generati da un’IA sottotestata/inaffidabile, è inoltre suggerito l’uso del “meccanismo di popup del consenso”.
L’Ai Act prevede un obbligo generale di disclosure per tutti i modelli di IA di uso generale. I modelli di IA in tutte le fasi di sviluppo devono divulgare informazioni relative al loro processo di sviluppo, che includono le specifiche di progettazione del modello e il processo di formazione, comprese le metodologie e le tecniche di formazione. Non compare un obbligo di “self-labelling”, come invece disposto dalla advisory. A differenza della UE, appare che l’India non miri ad una regolamentazione dei modelli di IA (generativa), ma lasci che siano gli sviluppatori a auto regolarsi ed etichettare i loro prodotti, assumendosene le responsabilità.
Informazioni gli utenti sulle conseguenze dell’utilizzo di informazioni illecite
Le prescrizioni della Advisory prevedono l’obbligo per gli intermediari di informare adeguatamente gli utenti sulle conseguenze dell’utilizzo di informazioni illecite. Tutti gli utenti devono essere adeguatamente informati attraverso i termini di servizio e gli accordi con gli utenti sulle conseguenze dell’utilizzo di informazioni illecite sulla propria piattaforma.
L’Ai Act, parimenti, prevede l’obbligo per gli sviluppatori di sistemi di IA ad alto rischio di informare adeguatamente gli utilizzatori (deployer) sui rischi associati all’uso di tali sistemi[9]. I fornitori devonohanno anche ulteriori obblighi di trasparenza in relazione a sistemi destinati ad interagire direttamente con persone fisiche, affinchè sia facilmente comprensibile che l’agente umano sta interagendo con un sistema di IA[10]. Affinché gli obblighi di trasparenza siano poi rispettati puntualmente, l’AI act elenca in allegato[11] in modo dettagliato quale documentazione deve essere inclusa a valle dai fornitori di tali sistemi.
In ambito europeo, si evidenzia, che gli obblighi di trasparenza sono rivolti solo ai sistemi ad alto rischio, classificazione che allo stato attuale non è possibile ravvisare nell’orientamento indiano.
La questione dei deepfake: etichettatura e trasparenza
Il documento indiano prevede l’obbligo di etichettatura (con metadati e/o identificatori) a crico degli intermediari (Par.3 Advisory). Gli intermediari che facilitano la creazione, la generazione o la modifica sintetica di un testo, di un audio, di un video o di un’informazione audiovisiva in modo tale da poter essere utilizzati come deepfake, devono garantire che tali informazioni siano etichettate o incorporate con un metadato o un identificatore univoco permanente che indichi che sono state create, generate o modificate utilizzando risorse informatiche dell’intermediario, o che identifichi l’utente del software.
Anche l’AI act prevede un obbligo di trasparenza a carico sia di fornitore che di “deployer”[12].
Conclusioni
Attualmente in India manca una legislazione completa che affronti specificamente l’IA, con il risultato che vari aspetti dell’IA sono regolati dalle diverse leggi esistenti in materia di IT.
Sebbene l’Advisory emessa dal MeitY rappresenti un notevole sforzo verso la regolamentazione dell’IA in India, non stabilisce ancora un quadro legislativo completo. La pubblicazione di una bozza di quadro normativo sull’IA da parte del governo è prevista per il luglio di quest’anno[13] e sarà interessante vedere quale orientamento assumerà nella “corsa alla regolamentazione della IA”, un player dell’importanza crescente quel è l’India.
Note
[1] https://www.whitehouse.gov/wp-content/uploads/2023/05/National-Artificial-Intelligence-Research-and-Development-Strategic-Plan-2023-Update.pdf
[2] http://fi.china-embassy.gov.cn/eng/kxjs/201710/P020210628714286134479.pdf
[3]https://assets.publishing.service.gov.uk/media/65c3b5d628a4a00012d2ba5c/6.8558_CO_Generative_AI_Framework_Report_v7_WEB.pdf
[4] Annotazione che meriterebbe certo un approfondimento nel dettaglio, considerando il non trascurabile problema di “armonizzazione” che si proporrà in prospettiva.
[5] https://www.reuters.com/technology/india-drawing-up-laws-regulate-deepfakes-minister-2023-11-23/
[6] https://economictimes.indiatimes.com/tech/technology/not-considering-any-laws-to-regulate-ai-growth-in-india-it-minister-ashwini-vaishnaw/articleshow/99275493.cms?from=mdr
[7] Secondo la IT Rules, un intermediario qualsiasi persona o entità che riceve, archivia o trasmette particolari record elettronici per conto di un’altra persona, o che fornisce qualsiasi servizio in relazione al particolare record elettronico. Cfr. https://www.lexology.com/library/detail.aspx?g=8b921c1e-05c3-4c41-acfe-081681ab8aa2
[8] Il documenta precisa che a tal fine è possibile utilizzare “popup di consenso” o meccanismi equivalenti per informare esplicitamente gli utenti sulla possibile fallibilità o inaffidabilità intrinseca dell’output generato.
[9] Cfr Art.13, par.1 Ai Act
[10] Cfr. At. 50, par.1. Ai Act
[11] Cfr. Allegato XII AI Act
[12] Cfr. Considerando 134, Art. 50, par.4 AI Act.
[13] https://indiaai.gov.in/news/india-plans-to-release-the-draft-ai-framework-by-july-mos-it-rajeev-chandrasekhar
