Da circa tre anni a questa parte il tema dell’intelligenza artificiale sta connotando interi ambiti di ricerca trasversali, iniziative didattiche sempre nuove, eventi di formazione e convegnistici e buona parte dei contenuti della letteratura divulgativa e scientifica interdisciplinare che ruota attorno ai temi del diritto delle nuove tecnologie, del legal tech, dell’etica e della protezione dei dati.
Ciò è, a mio avviso, un bene. Si è compresa l’importanza del tema, si sta dando il giusto peso all’impatto “disruptive” che sta manifestando questa tecnologia in tutto il mondo e in ogni ambito e, soprattutto, si valuta in ogni momento l’influenza che può avere l’uso dell’intelligenza artificiale sui diritti e le libertà dei cittadini.
I legami (stretti) tra AI e mondo penalistico e processualpenalistico
I penalisti e i processualpenalisti sono, ovviamente, molto attenti a questi temi, anche da tempi non sospetti. Il sistema della giustizia penale coinvolge non solo i diritti fondamentali delle persone (e la loro dignità) ma, anche, questioni di politica giudiziaria, e di equilibri, che sono spesso molto delicate e instabili.
Ecco allora che un approccio di studio e di ricerca abbastanza “verticale” e, secondo me, di grande interesse potrebbe essere quello legato al rapporto esistente tra intelligenza artificiale, criminalità informatica (in senso lato) e investigazioni digitali.
Si tratta di un’area di studio che investe numerosi aspetti critici – e, a volte, patologici – della cosiddetta società dell’informazione e che apre interessantissime prospettive sia allo studioso, sia al pratico: non coinvolge, infatti, soltanto le nozioni legate alle singole materie ma ogni aspetto della vita online e offline delle persone.
Questo è il motivo per cui ho deciso di dedicare a questi temi la nuova edizione del tradizionale Corso di Perfezionamento in criminalità informatica e investigazioni digitali dell’Università degli Studi di Milano, un percorso di studio che, negli anni, ha già formato più di mille professionisti e che ripartirà ad ottobre (con il bando per le iscrizioni dalla metà di luglio). Sono argomenti che ci permetteranno di discutere e ragionare non solo di intelligenza artificiale, di protezione dei dati, di cybersecurity e di digital forensics ma, anche, di entrare in profondità in quei processi di cambiamento in corso nella nostra società e, di conseguenza, nei nostri diritti.
Al momento di definire il programma ho cercato di individuare le linee di ricerca e di studio a mio avviso più attuali ma che fossero, allo stesso, “realistiche”. E il risultato è stato quello che state per leggere qui di seguito.
Predittività e rischi di discriminazione
Il rapporto tra intelligenza artificiale, criminalità informatica e investigazioni digitali presenta alcuni temi di studio “classici”, dove la dottrina è già ricca di contributi di prestigio, e altri più innovativi, o “di frontiera” che dir si voglia.
I due temi classici, studiati ormai da anni e analizzati ancor prima delle “mode” di ChatGPT e dell’AI generativa di questi ultimi mesi, sono l’utilizzo dell’AI per finalità predittive (o di controllo del crimine), e i possibili rischi di output discriminatori quando si usano sistemi AI e algoritmi per profilare o “catalogare” presone ristrette, arrestate o sospettate di qualche crimine.
Questi due aspetti spesso si uniscono tra loro: un sistema può essere pensato sia per prevedere e anticipare crimini, sia per profilare criminali o “protagonisti” del sistema-giustizia.
Si pensi, ad esempio, alle polemiche sorte proprio nella primavera scorsa attorno a un “database” delle gang e degli affiliati alle gang che è stato costituito dalla Polizia di New York e che ha portato le persone in piazza a protestare e a chiederne la “distruzione”. Da un lato, la città di New York ha sempre sostenuto che un database delle gang e dei suoi affiliati avrebbe consentito un maggior livello di sicurezza della città. Dall’altro, cittadini, attivisti e avvocati ne hanno chiesto la distruzione per evidenti problemi discriminatori generati da questo “archivio dei gruppi criminali”. Per dare un’idea, si parla di un archivio con circa 16.000 nomi (compresi quelli di minori) di persone che non sanno di essere in quel database (la lista è segreta, così come lo sono gran parte dei “criteri” usati per inserire una persona in quella lista) e che sono finite in quel database anche “grazie” al tasso di criminalità del quartiere nel quale vivono, agli amici che sono in contatto con loro sui social network, a foto in compagnia di determinate persone, a gestualità esibite, e linguaggi utilizzati, online o, persino al modello di sneakers o di felpe indossate.
Penso sia chiaro, al lettore, come un tema di questo tenore si colleghi direttamente all’idea di efficienza della giustizia penale e a come un sistema avanzato o, addirittura, un “giudice-robot” – possa utilizzare l’AI come strumento organizzativo per migliorare l’efficienza della giustizia.
Mi vengono in mente, su questi due punti, tanti casi che il (giovane) studioso dovrebbe analizzare per rendersi conto dell’evoluzione, e dei rischi.
Un esempio di efficienza dall’India
Un progetto molto interessante in ottica di efficienza è quello, ad esempio, portato avanti dalla Corte Suprema dell’India, dove la potenza dell’AI è stata usata non solo per garantire maggiore efficienza nel lavoro d’ufficio di un organo così importante (gestione dell’arretrato, controllo della produttività degli uffici, etc.) ma anche – usando sistemi simili a ChatGPT – per tradurre in numerose lingue e dialetti i principali provvedimenti.
Com’è noto, in India ci sono centinaia di lingue e dialetti che vengono parlati, soprattutto nelle zone rurali, e ciò può portare all’impossibilità per il cittadino di “comprendere il diritto”: la cosa peggiore che possa capitare in una democrazia.
Negli Stati Uniti d’America il celebre caso Compas ha unito i due aspetti, sollevando dubbi di razzismo nei sistemi che “presentano” ai giudici in udienza i soggetti arrestati, attribuendo loro un “livello numerico” di rischio, o indice di pericolosità che dir si voglia.
L’AI come strumento di sorveglianza
Naturale viene, poi, pensare all’uso dell’AI come strumento di sorveglianza – ad esempio in Cina – e come vero e proprio elemento integrato nella sicurezza nazionale (anche tramite il riconoscimento facciale) per controllare la vita dei cittadini usando sistemi di credito sociale.
Non deve stupire, allora, la reazione del Garante italiano di qualche tempo fa quando ha voluto approfondire meglio, per poi censurarli, progetti di alcune amministrazioni italiane pensati per “assegnare punti ai cittadini”, o premi che dir si voglia. La stessa proposta di regolamento AI dell’Unione Europea inquadra la catalogazione dei cittadini da parte dei Governi come uno dei rischi maggiori e come un uso (che sarà) vietato dell’AI.
Il rischio di discriminazione
Con riferimento, poi, ai grandi archivi, interessante anche il fatto che alcuni mesi fa ci sia posti, sempre negli Stati Uniti d’America, il problema di come grandi banche dati giuridiche (ad esempio Lexis-Nexis), possano vendere i dati “giudiziari” a società esterne proprio per fini predittivi dei crimini o per generare nuovi data point su determinate persone utili in altri contesti.
Questo primo ambito di studio lo trovo molto affascinante: il rischio di discriminazione può riguardare detenuti, soggetti arrestati, sospetti criminali ma, anche, gli abitanti di un determinato quartiere, i lavoratori (si pensi ai rider), gli studenti nella valutazione dei loro esami, i clienti di una assicurazione, i risultati dei motori di ricerca, i prezzi offerti ai vari consumatori, le persone in base al colore della pelle o alla scuola frequentata, i pazienti nella medicina d’iniziativa sino ad arrivare al problema del gender e a razzismo e sessismo incorporati, spesso inconsapevolmente, nei sistemi stessi.
È chiaro a tutti come la delicatezza della giustizia penale e delle attività di investigazione possa presentare maggiori vulnerabilità, e generare danni molto grandi, in caso di distorsioni simili del sistema.
Il nodo della “creazione del crimine”
Un secondo ambito di studio molto interessante è, a mio avviso, l’uso dell’intelligenza artificiale per generare campagne e contenuti di fake news, attacchi di spam, e-mail di phishing, vettori per la diffusione di ransomware e tentativi di ingannare sistemi anche di grandi dimensioni (penso ai sistemi industriali).
In questo caso l’AI può essere vista, dall’interprete, in due modi: o in un’ottica difensiva, come strumento per cercare di “anticipare attacchi”, di fare detection, di analizzare casi di incidenti tipici in azienda per, poi, prevedere delle reazioni, oppure in una pura ottica criminale, ossia come utilizzo delle tecnologie più sofisticate per generare attacchi, per aumentare la “potenza di fuoco” o per cercare di decifrare dati o re-identificare persone partendo da dati anonimi o anonimizzati.
Sul punto, in particolare, ho voluto prevedere alcune ore del corso che trattino della cosiddetta anticipatory compliance (o security), oggi molto di moda. Mi riferisco all’idea che si possano anticipare, grazie a strumenti di intelligenza artificiale, possibili incidenti o vulnerabilità che possano accadere in un contesto aziendale, anche con riferimento alla protezione dei dati.
Trovo interessantissima, ad esempio, la possibilità di prevenire attacchi criminali (ad esempio estorsivi, utilizzando ransomware o strumenti simili) usando tecniche che agiscano sull’analisi dei comportamenti delle persone (ad esempio i dipendenti) valutando le loro azioni (sbagliate) passate e cercando di anticipare quelle future.
Si pensi, anche, alla possibilità di analizzare tutte le sanzioni (ad esempio in ambito GDPR) per impostare la compliance di una azienda in base all’analisi di ciò che è successo ad aziende di comparti simili (già sanzionate) prevedendo le aree di interesse di una ipotetica autorità di controllo.
Ma non solo: la detection del malware che circola, di botnet utilizzate per fini criminali, di virus, di generatori di fake news, di codice maligno può diventare un elemento importante per l’investigatore digitale moderno, soprattutto in un’epoca dove l’automatizzazione delle attività di ricerca diventa essenziale vista l’enorme quantità di dati.
I temi di frontiera
La parte finale del corso è stata pensata per portare un’analisi sui principali temi di frontiera, anche su temi che dividono un po’ gli studiosi, che cercano di capire se i problemi siano reali o se, in molti casi, si tratti di semplice “suggestione” (anche grazie alla veicolazione di determinati argomenti, molto suggestivi, in serie televisive e film di grande successo).
Si pensi al fascino di temi quali i crimini generati in maniera autonoma da una AI “impazzita”, o a comportamenti che avvengono nel metaverso oppure, ancora, a una AI che sarà sempre di più al servizio della cybersecurity o a supporto delle analisi sulla criminalità organizzata e i reati associativi, su crimini legati a riciclaggio e cryptovalute o per individuare comportamenti fraudolenti in ambito bancario e assicurativo.
In molti di questi ambiti la ricerca è già a un punto avanzato, anche se sovente il cittadino medio non ne vede gli effetti. Il settore bancario e quello assicurativo, ad esempio, sono tra i più attivi sia con riferimento alla profilazione dei clienti (anche potenziali) sia alla individuazione dei comportamenti fraudolenti.
Infine, il tema del rapporto tra AI, misinformazione e disinformazione ci collega in maniera quasi naturale a grandi temi di geopolitica e di equilibri sovranazionali quali l’uso dell’AI per azioni di information warfare, per guidare droni militari e eserciti non umani, per creare deep fake e sistemi di violazione dei dati altrui.
Si tratta di un tema che è in grado di creare grande suggestione anche nel cittadino comune, non esperto dal punto di vista tecnico ma intimorito dalle potenzialità di tal sistemi.
California e Cina, con riferimento in particolare al deep fake, stanno cercando di mantenere fermo il “dominio” del diritto, con delle discipline specifiche che cercano di correggere gli effetti negativi delle tecnologie.
Come scrivevo in esordio, però, i mesi e gli anni a venire non saranno interessanti soltanto per i giuristi (che, comunque, visti i numerosi cantieri normativi aperti in Unione Europea e nel mondo si sono trovati improvvisamente in prima linea) ma per chiunque si occupi del rapporto tra individuo e società tecnologica.
