AI Act, perché è importante per gli sviluppatori e i deployer di intelligenza artificiale

L’AI Act – legge dell’Unione Europea finalizzata a regolare l’uso dell’intelligenza artificiale per garantire la sicurezza, i diritti fondamentali e la trasparenza nell’UE – prevede la segmentazione dei rischi legati agli algoritmi di intelligenza artificiale in base a diversi livelli di pericolosità. Vediamo come avviene questa segmentazione:

I rischi dell’intelligenza artificiale nell’AI Act

1. Proibiti: include gli usi di AI che causano danni significativi o gravi lesioni ai cittadini dell’UE o alle loro libertà fondamentali. Ad esempio, sistemi di AI utilizzati a scopo di social scoring, di identificazione biometrica in tempo reale a scopi al di fuori della sicurezza, di manipolazione sociale subliminale, o quelli di giustizia predittiva.
2. Alto rischio: comprende gli usi di AI che possono presentare rischi, che possono però essere monitorati o mitigati, ai diritti fondamentali, alla sicurezza pubblica, alla sicurezza dei consumatori o alla coerenza del mercato interno. Queste riguardano principalmente l’ambito delle infrastrutture essenziali, della sicurezza nazionale, il settore bancario e assicurativo, quello medico, dell’istruzione e del lavoro.
3. Rischi minimi: riguarda gli usi di AI che comportano rischi minimi o nulli per i diritti fondamentali o la sicurezza pubblica. Questi potrebbero essere sistemi di AI utilizzati per compiti automatizzati come l’organizzazione dei file digitali, il riconoscimento automatico di pattern in dati non sensibili o i chatbot per l’assistenza clienti di base.

La segmentazione dei livelli di rischio è fondamentale perché consente di applicare misure proporzionate in base al livello di pericolo che un’applicazione di AI potrebbe comportare.

Ad esempio, per gli utilizzi ad alto rischio, il regolamento potrebbe richiedere una valutazione della conformità, la designazione di un responsabile della conformità e la creazione di documentazione dettagliata.

Per gli utilizzi a rischio limitato, le misure potrebbero essere meno rigide ma comunque volte a garantire la sicurezza e la trasparenza. Gli utilizzi a rischio minimo potrebbero essere esenti da alcune disposizioni del regolamento, poiché il loro impatto sui diritti fondamentali e sulla sicurezza pubblica è minimo.

È importante sottolineare che vi sono obblighi legislativi sia per i fornitori dell’AI, che i deployer.

Ai Act: vietato o ammesso?

Utilizzi vietati

• Proibiti, ovvero sistemi di AI per gli scopi seguenti:
  1. A scopo di manipolazione, sfruttamento e controllo sociale. Tra queste quelle utilizzate per persuadere in modo subliminale (o al di fuori del controllo di persone, come ad esempio NeuraLink) persone a commettere comportamenti nocivi o a prendere decisioni in modo da sovvertirne o modificarne l’autonomia (e.g. elezioni). Da questa categoria appena citate sono escluse le pubblicità o ad esempio le AI usate in tal modo per pratiche di medicina/psicologia.
  2. Sono vietati sistemi di social scoring.
  3. Sono anche vietate le AI di categorizzazione biometrica, come AI che usano dati biometrici per ricavarne opinioni politiche, filosofiche, razza, orientamento o vita sessuale.
  4. Vietati sistemi di AI di identificazione biometrica in tempo reale in spazi pubblici, eccezion fatta con forti limiti per ricerca di determinate vittime di reato, persone scomparse, minacce gravi (e.g. terrorismo) o autori o sospettati di determinati reati, controllo di frontiere e immigrazione.
  5. Vietata la profilazione a scopo di giustizia predittiva
  6. Vietate AI che utlizzano scraping che creano o ampliano banche dati di riconoscimento facciali (e.g. scandalo Clearview)
  7. Vietati sistemi destinati a rilevare stato emotivo delle persone in situazioni relative al luogo di lavoro o istruzione, eccetto per motivi medici o di sicurezza.

Utilizzi condizionati

• Alto rischio: gli utilizzi di AI ad alto rischio sono generalmente consentiti (tranne nei casi citati nel paragrafo sovrastante), ma soggetti a una serie di condizioni e requisiti. sistemi che mettono in pericolo salute, sicurezza o diritti delle persone. Questi utilizzi includono:
  1. Sistemi di identificazione biometrica, escluso casi proibiti. Uso di biometria per confermare l’identita di persone (e.g. FaceID) non è considerato ad alto rischio.
  2. AI per gestione e funzionamento di infrastrutture critiche (traffico, acqua/gas/riscaldamento/elettricità, gestione e monitoraggio delle utilities, trasporti).
  3. AI per promozione di istruzione, come accesso ed ammissioni, assegnazione di insegnanti, programmi di istruzione, formazione personale, test di comprensione ecc. in quanto possono determinare il percorso di istruzione professionale nella vita e dunque incidere sul sostentamento dell’individuo.
  4. AI nel settore dell’occupazione, come lavoro e assunzione, licenziamenti, monitoraggio e valutazione di performance, in quanto impattano fortemente sulla vita e sostentamento dell’individuo. Rischio per modelli con bias storico (caso Amazon).
  5. AI per servizi e prestazioni essenziali pubblici e privati, come enti pubblici e previdenziali, poste, assistenza sociale ecc. per il rischio di discriminazione
  6. AI per merito di credito e affidabilità creditizia. Sono consentiti i sistemi antifrode. Rimangono invece ad alto rischio le AI destinate a essere utilizzate per valutazione dei rischi (come nel settore bancario) o la determinazione di prezzi in relazione a persone fisiche per assicurazioni vita e sanitarie.
  7. AI per classificazione/categorizzazione di chiamate di soccorso (polizia, ambulanza, vigili del fuoco ecc.) utilizzate per valutare le chiamate effettuate o assegnare priorità.
  8. AI utilizzate dalle autorità di polizia/militari o simili. È necessaria e vitale che i dati di addestramento siano di alta qualità per evitare errori gravi o fatali. Sono da includere sistemi di poligrafo o quelli utilizzati da attività doganali.
  9. AI per controllo delle frontiere, migrazioni ed asilo.
  10. AI nell’amministrazione della giustizia e processi democratici (e.g. elezioni). Processo decisionale deve rimanere a guida umana.
  11. AI di influenza (nel caso in cui non sia proibito) su elezioni, referendum o comportamento di voto delle persone. Questo punto andrà rivisto nella normativa.

Tra le condizioni e requisiti (veri e propri adempimenti) per l’immissione in mercato troviamo:

• Analisi del rischio: Analisi da esaminare e riaggiornare periodicamente. Rilevare rischi o impatti negativi, ed attui misure di attenuazione per rischi di salute, sicurezza e diritti delle persone. Necessario documentare e spiegare le scelte effettuate e de del caso coinvolgere esperti e portatori di interessi esterni (questo influenza positivamente la valutazione). Non va analizzato solo il comportamento anticipato, ma anche considerare un utilizzo improprio imprevedibile dello strumento/tecnologia inclusa interazione con altri elementi.
• Verifica della qualità del dato: analisi di data quality, contrasto al garbage in – garbage out e prevenzione di errori fatali.
• Documentazione tecnica: deve essere creata e mantenuta una documentazione completa che descriva il funzionamento del sistema di AI, le sue caratteristiche e i suoi rischi. Questa va fornita alle autorità di controllo.
• Conservazione dei Log: assicurare la tracciabilità di ogni operazione tramite registrazione dei file di log. Operazione molto complessa.
• Informativa: fascicolo fornito al deployer con ogni informazione ad esso necessaria.
• Sistema di sorveglianza umana: presenza di una persona sempre pronta ad intervenire in caso di emergenza.
• Cybersecurity: robustezza della sicurezza informatica.

Utilizzi ammessi

• Rischi limitati e minimi: gli utilizzi di AI con rischi limitati o minimi sono generalmente ammessi senza restrizioni significative. Tuttavia, sono richieste misure di trasparenza, responsabilità ed informazione agli user:
  • Requisiti di trasparenza: i fornitori di sistemi di AI a rischio limitato devono garantire che gli utenti siano consapevoli quando interagiscono con un sistema di AI. Ciò include obblighi come:
• Informare gli utenti che stanno interagendo con un sistema di AI.
• Assicurarsi che l’utente comprenda le funzionalità e le potenziali limitazioni del sistema di AI.
• Divulgare lo scopo del sistema di AI agli utenti.
• Informazione per gli utenti: I fornitori devono offrire istruzioni chiare per l’uso, assicurando che gli utenti possano operare il sistema di AI in modo sicuro e comprendere i suoi output.

Sebbene non siano legalmente vincolanti, i fornitori di AI a rischio non alto, sono incoraggiati a seguire buone pratiche e codici di condotta volontari per aumentare la fiducia e garantire un uso etico dell’AI. Questo include implementare meccanismi di supervisione interna,condurre valutazioni regolari delle prestazioni del sistema di AI e dei potenziali impatti, e promuovere la responsabilità e la trasparenza nello sviluppo e nell’uso dei sistemi di AI.