È richiesto che tali autorità abbiano competenze approfondite nelle tecnologie dell’intelligenza artificiale, nei dati utilizzati da tali tecnologie e nei relativi algoritmi di trattamento, oltre a conoscenze in materia di protezione dei dati personali, sicurezza informatica e standard esistenti. L’AI Act prevede la possibilità di istituire più autorità, a seconda delle esigenze organizzative dello Stato membro, a condizione che soddisfino tali requisiti.

A questo proposito è scaturito un confronto istituzionale tra il governo e il Garante Privacy, a seguito delle dichiarazioni del Sottosegretario all’Innovazione, Alessio Butti, riguardo all’intenzione di assegnare le funzioni di vigilanza e controllo del nuovo regolamento UE ad enti come Agid Agenzia per l’Italia Digitale e all’Acn Agenzia per la Cybersicurezza Nazionale, il Garante ha inviato una lettera al Parlamento, sottolineando l’importanza di individuare un’autorità indipendente e imparziale, come anche sostenuto dal senatore Dem  Alberto Losacco che respinge l’idea di affidarlo a enti governativi come Agid e Acn.

Nella sua comunicazione il presidente dell’Autorità Garante per la protezione dei dati personali, Pasquale Stanzione afferma che la scelta è dettata sia dalla legge europea recentemente approvata, che fa riferimento esplicito ai Garanti per la Privacy per il controllo delle applicazioni che utilizzano il riconoscimento facciale, sia dalla logica stessa, che suggerisce che un organo direttamente dipendente dal governo potrebbe non garantire un sufficiente controllo su aree in cui l’azione governativa potrebbe entrare in conflitto con i diritti dei cittadini, come la sicurezza e la sanità.

Il Garante ricorda che l’AI Act si basa sull’articolo 16 del Trattato sul Funzionamento dell’Unione Europea, fondamento giuridico della normativa sulla protezione dei dati, e sottolinea che lo stesso Regolamento sull’Intelligenza Artificiale prevede il controllo delle Autorità di protezione dei dati personali su processi algoritmici che utilizzano dati personali.

Stanzione, quindi, sottolinea l’importanza della sinergia tra le due discipline e la loro applicazione da parte di un’unica Autorità per garantire l’effettività dei diritti e delle garanzie stabilite, invitando il Parlamento e il Governo a riflettere sul da farsi.

Saranno necessari ancora alcuni passi formali: in primis, le commissioni per il mercato interno e le libertà civili del Parlamento europeo, il prossimo 13 febbraio, adotteranno il Regolamento sull’AI. Successivamente si terrà un’ulteriore votazione in seduta plenaria, a cui seguirà l’adozione formale, fissata per il 24 aprile 2024, con l’approvazione ultima.

Il percorso verso l’approvazione dell’AI Act è stato lungo e complesso. Dopo mesi di negoziati e consultazioni tra gli Stati membri dell’UE e il Parlamento Europeo, si era raggiunto un accordo politico già a dicembre, ma alcuni paesi influenti come la Francia, la Germania e l’Italia, avevano sollevato delle preoccupazioni, che hanno rallentato il processo di approvazione, incentrate sulle disposizioni che riguardavano i modelli avanzati di IA, temendo che le regole proposte avrebbero potuto frenare lo sviluppo di soluzioni innovative europee.

La reazione italiana

In Italia, la prospettiva di una regolamentazione chiara e uniforme sull’IA nell’UE è vista come un passo avanti per garantire la sicurezza e la tutela dei diritti dei cittadini, come sottolineato anche dal sottosegretario all’Innovazione, Alessio Butti: “L’approvazione all’unanimità dell’AI Act segna un momento storico per l’Unione Europea con il contributo determinante dell’Italia e del governo Meloni”.

Cosa prevede il regolamento

I punti principali delle norme approvate riguardano le finalità dei sistemi, la governance, i divieti, la protezione dei diritti e più in dettaglio:

• regole da applicare ai sistemi di AI per finalità generali ad alto impatto comportanti rischi sistemici in futuro, nonché sui sistemi di AI ad alto rischio;
• sistemi di governance rivisti anche alla luce di alcuni poteri di esecuzione europei;
• un elenco più ampliato dei divieti, pur potendo utilizzare l’identificazione biometrica remota da parte delle Autorità, fatte salve le tutele;
• una rafforzata protezione dei diritti imponendo agli operatori dei sistemi di AI ad alto rischio di dover effettuare una valutazione d’impatto prima di poter utilizzare un sistema di AI.

Uno degli aspetti centrali dell’AI Act è la sua classificazione dei sistemi di IA in base al rischio associato. Il quadro giuridico per l’Intelligenza Artificiale presenta due regimi distinti di sistemi, differenziandoli tra sistemi a basso rischio e sistemi ad alto rischio. La definizione di rischio comprende la probabilità e la gravità di un possibile danno.

Vengono riconosciuti:

1. Sistemi di AI Vietati: Questi includono tecniche che manipolano la cognizione e il comportamento individuali, la raccolta non autorizzata di dati di riconoscimento facciale, l’uso di sistemi di riconoscimento delle emozioni in ambienti lavorativi o educativi, l’impiego di punteggi di credito sociali e l’elaborazione biometrica per estrarre dati sensibili come orientamento sessuale o credenze religiose. Questi sistemi sono proibiti.
2. Sistemi di AI ad Alto Rischio: Questa categoria include sistemi destinati a scopi di sicurezza, quelli elencati nella legislazione specifica, e alcuni utilizzati in istruzione, reclutamento o valutazione del credito, a meno che non servano a rilevare frodi o valutare rischi assicurativi. Tuttavia, un fornitore può dimostrare che un particolare sistema non è ad alto rischio. Per i sistemi ad alto rischio, è necessario implementare un sistema di gestione del rischio, condurre test e documentare il funzionamento del sistema.
3. Sistemi di Intelligenza Artificiale per Scopi Generali (GPAI): Questi sistemi, basati su modelli di IA generici, possono comportare un rischio sistemico. Devono essere notificati alla Commissione UE. I fornitori devono redigere documentazione tecnica, rispettare il diritto d’autore, condurre valutazione del rischio e garantire la sicurezza informatica.
4. Sistemi AI di Base: Tutti i sistemi di IA, indipendentemente dal livello di rischio, devono rispettare obblighi minimi di trasparenza per garantire una comprensione adeguata da parte degli utenti.

Per sostenere l’innovazione e garantire una regolamentazione equilibrata, l’UE prevede eccezioni e regimi speciali per le piccole e medie imprese, promuovendo così un approccio che coniuga la regolamentazione dell’IA con l’incoraggiamento allo sviluppo tecnologico nell’Unione Europea.

Una volta approvato, l’AI Act non entrerà immediatamente in vigore, ma sarà implementato gradualmente attraverso una serie di fasi di attuazione. Questo processo mira a garantire una transizione fluida e a consentire alle parti interessate di adeguarsi alle nuove regole e requisiti.

Solo a quel punto, la legge sull’AI sarà approvata ed entrerà in vigore 20 giorni dopo la pubblicazione in Gazzetta ufficiale europea con l’attuazione differita entro i due anni successivi.