Il regolamento segue un approccio basato sul rischio. Non saranno possibili il riconoscimento facciale nei luoghi pubblici e i sistemi di polizia predittiva, basati sulla profilazione, posizione o comportamenti criminali passati.
Come si legge nella relazione ufficiale di accompagnamento al Regolamento, l’utilizzo dell’IA può incidere negativamente su una serie di diritti sanciti dalla Carta dei diritti fondamentali dell’Unione europea. Il Regolamento mira ad assicurare un livello elevato di protezione di tali diritti fondamentali e ad affrontare varie fonti di rischio attraverso un approccio basato sul rischio chiaramente definito.
Su tali presupposti, il Parlamento di Strasburgo ha adottato a larghissima maggioranza il Regolamento sull’Intelligenza Artificiale, che stabilisce:
a) regole armonizzate per l’immissione sul mercato, la messa in servizio e l’uso dei sistemi di intelligenza artificiale nell’Unione;
b) il divieto di determinate pratiche di intelligenza artificiale inaccettabili;
c) requisiti specifici per i sistemi di AI ad alto rischio e obblighi per gli operatori di tali sistemi;
d) regole in materia di monitoraggio e vigilanza del mercato;
e) regole di trasparenza armonizzate per i sistemi di AI destinati a interagire con le persone fisiche, i sistemi di riconoscimento delle emozioni, i sistemi di categorizzazione biometrica e i sistemi di AI utilizzati per generare o manipolare immagini o contenuti audio o video (deepfake). A tal proposito, è importante ricordare che in Italia esiste una scheda informativa del Garante per la protezione dei dati personali realizzata per sensibilizzare gli utenti sui rischi connessi agli usi illeciti e dannosi di quest’ultima nuova tecnologia.
La scelta di un regolamento come atto giuridico, si legge nella relazione, è giustificata dalla necessità di un’applicazione uniforme delle nuove regole, come la definizione di AI, il divieto di talune pratiche dannose consentite dall’IA e la classificazione di taluni sistemi di IA. L’applicabilità diretta di un regolamento, conformemente all’articolo 288 TFUE, riduce inoltre la frammentazione giuridica e facilita lo sviluppo di un mercato unico per sistemi di IA leciti, sicuri e affidabili, migliorando la tutela dei diritti fondamentali e garantendo certezza del diritto tanto per gli operatori quanto per i consumatori.
Come già ricordato nel sottotitolo, il Regolamento segue un approccio basato sul rischio, differenziando tra: i) un rischio inaccettabile; ii) un rischio alto; iii) un rischio basso o minimo.
L’elenco delle pratiche vietate (articolo 5 del Regolamento) comprende tutti i sistemi di IA il cui uso è considerato inaccettabile in quanto contrario ai valori dell’Unione, ad esempio perché viola i diritti fondamentali. I divieti riguardano pratiche che presentano un elevato potenziale in termini di manipolazione delle persone attraverso tecniche subliminali, senza che tali persone ne siano consapevoli, oppure di sfruttamento delle vulnerabilità di specifici gruppi deboli, quali i minori o le persone con disabilità, al fine di distorcerne materialmente il comportamento in maniera tale da provocare loro o a un’altra persona un danno psicologico o fisico. Lo stesso dicasi per altre pratiche manipolatorie o di sfruttamento che interessano gli adulti in materia di protezione dei dati, di tutela dei consumatori e dei servizi digitali, contro le quali il Regolamento garantisce che le persone fisiche siano adeguatamente informate e dispongano della libera scelta di non essere soggette a profilazione o ad altre pratiche che potrebbero influire sul loro comportamento.
Il Regolamento vieta, altresì, l’attribuzione di un punteggio sociale basato sull’IA per finalità generali da parte di autorità pubbliche (classificare le persone in base al loro comportamento sociale o alle loro caratteristiche personali). È infine vietato anche il ricorso a sistemi di identificazione biometrica remota “in tempo reale” in spazi accessibili al pubblico a fini di attività di contrasto, fatta salva l’applicazione di talune eccezioni limitate.
Rispetto al testo iniziale, pertanto, è stato di gran lunga ampliato l’elenco dei divieti sull’uso intrusivo e discriminatorio dell’IA, come (Fonte ANSA): l’uso di sistemi di identificazione biometrica remota “in tempo reale” e “a posteriori” in spazi accessibili al pubblico; i sistemi di categorizzazione biometrica basati su caratteristiche sensibili (ad esempio genere, razza, etnia, cittadinanza, religione, orientamento politico); i sistemi di polizia predittiva (basati su profilazione, ubicazione o comportamenti criminali passati); i sistemi di riconoscimento delle emozioni utilizzati dalle forze dell’ordine, nella gestione delle frontiere, nel luogo di lavoro e negli istituti d’istruzione; e l’estrazione non mirata di dati biometrici da Internet o da filmati di telecamere a circuito chiuso per creare database di riconoscimento facciale (in violazione dei diritti umani e del diritto alla privacy).
Il Regolamento, inoltre, contiene regole specifiche per i sistemi di IA che creano un rischio alto per la salute, la sicurezza, i diritti fondamentali delle persone fisiche e l’ambiente (articolo 6 del Regolamento). Sono stati aggiunti alla lista ad alto rischio i sistemi di intelligenza artificiale utilizzati per influenzare gli elettori e l’esito delle elezioni e i sistemi di raccomandazione utilizzati dalle piattaforme di social media (con oltre 45 milioni di utenti).
In linea con un approccio basato sul rischio, si legge nella Relazione, tali sistemi di IA ad alto rischio sono consentiti sul mercato europeo subordinatamente al rispetto di determinati requisiti obbligatori e a una valutazione della conformità ex ante. La classificazione di un sistema di IA come ad alto rischio si basa sulla sua finalità prevista, in linea con la normativa vigente dell’UE in materia di sicurezza dei prodotti (articolo 7 del Regolamento). Di conseguenza, la classificazione come ad alto rischio non dipende solo dalla funzione svolta dal sistema di IA, ma anche dalle finalità e modalità specifiche di utilizzo di tale sistema.
Per quanto concerne gli obblighi di trasparenza per determinati sistemi di IA, il titolo IV del Regolamento si concentra su determinati sistemi di IA al fine di tenere conto dei rischi specifici di manipolazione che essi comportano. Gli obblighi di trasparenza si applicheranno ai sistemi che: i) interagiscono con gli esseri umani; ii) sono utilizzati per rilevare emozioni o stabilire un’associazione con categorie (sociali) sulla base di dati biometrici; oppure iii) generano o manipolano contenuti (“deep fake”). Quando gli utenti interagiscono con un sistema di IA o le loro emozioni o caratteristiche vengono riconosciute attraverso mezzi automatizzati, dovranno esserne informati. Se un sistema di IA viene utilizzato per generare o manipolare immagini o contenuti audio o video che assomigliano notevolmente a contenuti autentici, è previsto l’obbligo di rivelare che tali contenuti sono generati ricorrendo a mezzi automatizzati, fatte salve le eccezioni per finalità legittime (attività di contrasto, libertà di espressione).
