L’Italia avrà una sua legge sull’intelligenza artificiale (IA): il Consiglio dei ministri ha infatti dato il via libera, lo scorso 23 aprile, al disegno di legge in materia. Si tratta per il momento soltanto di uno schema di DDL che il nostro Governo ha elaborato, prima ancora dell’uscita ufficiale in Gazzetta Ufficiale europea dell’AI Act e che individua dei “criteri regolatori capaci di riequilibrare il rapporto tra le opportunità che offrono le nuove tecnologie e i rischi legati al loro uso improprio, al loro sottoutilizzo o al loro impiego dannoso”.
Molti sono gli aspetti che questo DDL disciplina nei suoi 26 articoli. Qui ci concentreremo prevalentemente sugli aspetti di privacy e di cyber security, posto che per ulteriori e ancora più approfonditi commenti è d’obbligo aspettare il testo definitivo (in GU), per quanto ad oggi sia già stato annunciato nei suoi punti chiave dal Governo, pur dovendo ancora fare tutta la trafila (passando al Parlamento e via seguire) come da comunicato stampa.
Indice degli argomenti
DDL sull’IA: i principi in materia di informazione e privacy
All’art. 4 dopo che i primi tre articoli disciplinano “finalità e ambito di applicazione” (art. 1), le “definizioni” (art. 2) e i “principi generali” (art. 3) cioè tutti quegli aspetti preliminari e necessari, ecco che il nostro legislatore inserisce i profili di privacy.
Al riguardo, prevede testualmente che:
“1. L’utilizzo di sistemi di intelligenza artificiale nell’informazione avviene senza pregiudizio alla libertà e al pluralismo dei mezzi di comunicazione, alla libertà di espressione, all’obiettività, completezza, imparzialità e lealtà dell’informazione.
2. L’utilizzo di sistemi di intelligenza artificiale garantisce il trattamento lecito, corretto e trasparente dei dati personali e la compatibilità con le finalità per le quali sono stati raccolti, in conformità col diritto dell’Unione europea in materia di dati personali e di tutela della riservatezza.
3. Le informazioni e le comunicazioni relative al trattamento dei dati connesse all’utilizzo di sistemi di intelligenza artificiale avvengono con linguaggio chiaro e semplice, in modo da garantire all’utente la piena conoscibilità e la facoltà di opporsi ai trattamenti non corretti dei propri dati personali.
4. L’accesso alle tecnologie di intelligenza artificiale dei minori di anni quattordici richiede il consenso di chi esercita la responsabilità genitoriale. Il minore degli anni diciotto, che abbia compiuto quattordici anni, può esprimere il proprio consenso per il trattamento dei dati personali connessi all’utilizzo di sistemi di intelligenza artificiale, purché le informazioni e le comunicazioni di cui al comma 3 siano facilmente accessibili e comprensibili”.
Il DDL si pone, quindi, nel solco delle disposizioni europee in materia protezione dei dati personali (GDPR), evocando sostanzialmente i principi di trasparenza, per quanto interessante sia la disciplina di “accesso ai sistemi di IA da parte del minore” la quale riprende, a ben guardare, in maniera speculare quella prevista per l’accesso ai social network.
Disposizioni cyber del DDL sull’intelligenza artificiale
All’art. 6 sono previste le regole in materia di sicurezza e difesa nazionale, evidenziando bene quelli che sono i profili di cyber sicurezza.
Non poteva, infatti, mancare questo aspetto. Tuttavia, leggiamo al primo comma come per le attività di ricerca, sperimentazione, sviluppo, adozioni, applicazione e utilizzo di sistemi e modelli di IA, qualora queste siano svolte per scopo di sicurezza nazionale nonché quelle svolte per scopi di difesa nazionale dalle forze armate.
Mentre al secondo comma viene precisato come lo sviluppo di sistemi e modelli di IA debba avvenire nel rispetto delle condizioni e delle finalità di cui ai principi generali (art. 3 comma II) e cioè “… su dati e tramite i processi di cui deve essere garantita e vigilata la correttezza, l’attendibilità, la sicurezza, la qualità, l’appropriatezza e la trasparenza”, evocando tautologicamente il principio di proporzionalità in relazione ai settori in cui questi sono utilizzati.
Al terzo comma, infine, viene definito il “come” applicare detti principi.
Ma non è tutto. All’art. 16, il legislatore si preoccupa di concepire la IA e il suo annesso utilizzo come una valida “risorsa per il rafforzamento della cybersicurezza nazionale”.
Dal sistema di governance “duale” al tandem ACN-AgID
Più in generale, come si evince dal testo e dal comunicato stampa succitato, l’intero impianto normativo interviene in cinque grossi ambiti: strategia nazionale, autorità nazionali, azioni di promozione, tutela del diritto di autore, sanzioni penali, oltre – per completezza – a prevedere una delega al Governo al fine di adeguare l’Ordinamento nazionale all’AI Act di prossima emanazione, e stabilendo interventi come un programma di “alfabetizzazione” dei cittadini in materia di IA, sia in percorsi scolastici che universitari, nonché la formazione da parte degli ordini professionali per professionisti e operatori (art. 12).
La strategia nazionale e il sistema di governance “duale”
Al Capo III e più specificatamente all’art 17 è disciplinata la strategia nazionale leggendo come chiaramente sia “… predisposta e aggiornata dalla struttura della Presidenza del Consiglio dei ministri competente in materia di innovazione tecnologica e transizione digitale, d’intesa con le Autorità nazionali di intelligenza artificiale” e cioè ACN e AgID.
Il Garante per la protezione dei dati personali resta fuori o meglio “confinato” nel senso che verrà interpellato ogniqualvolta sarà necessario, ma non sarà avocata a sé la competenza, nonostante tutto.
Di qui, il legislatore ha inteso aprire la strada a una prospettiva interessante in termini di “chiave duale”.
Il governo italiano, in altri termini, ha scelto un sistema di governance “duale”, da un lato l’Agenzia per la cybersicurezza nazionale- ACN con il compito di vigilare sull’applicazione dell’intelligenza artificiale, con poteri ispettivi e sanzionatori; e dall’atro l’Agenzia per l’Italia digitale – AgID, che si occuperà invece dell’esecuzione della strategia nazionale, di promuovere l’innovazione e lo sviluppo dell’IA, definendo procedure e quant’altro di utile onde (poter) esercitare le funzioni e i compiti in materia di valutazione, accreditamento e monitoraggio in ordine alla verifica della conformità dei sistemi di intelligenza artificiale.
Le due Autorità prescelte dovranno dunque “garantire l’applicazione e l’attuazione della normativa nazionale e dell’Unione europea in materia di intelligenza artificiale”, ciascuna per le rispettive competenze, assicurando “l’istituzione e la gestione congiunta di spazi di sperimentazione finalizzati alla realizzazione di sistemi di intelligenza artificiale conformi alla normativa nazionale e dell’Unione europea”, previo parere – evidentemente favorevole – d i due ministeri citati (Made in Italy e Difesa).
Ancora, “la strategia favorisce la collaborazione tra le amministrazioni pubbliche e i soggetti privati relativamente allo sviluppo e adozione di sistemi di intelligenza artificiale, coordina l’attività della pubblica amministrazione in materia, promuove la ricerca e la diffusione della conoscenza in materia di intelligenza artificiale, indirizza le misure e gli incentivi finalizzati allo sviluppo imprenditoriale e industriale dell’intelligenza artificiale” (comma II).
Mentre per l’allocazione delle competenze e responsabilità “la struttura della Presidenza del Consiglio dei ministri competente in materia di innovazione tecnologica e transizione digitale provvede al coordinamento e al monitoraggio dell’attuazione della strategia di cui al comma 1, avvalendosi dell’Agenzia per l’Italia digitale, d’intesa, per gli aspetti di competenza, con l’Agenzia nazionale per la cybersicurezza nazionale” (comma III).
I risultati del monitoraggio dovranno essere trasmessi annualmente alle Camere.
Da qui, il DDL nell’introdurre la Strategia nazionale per l’intelligenza artificiale, intende garantire una stretta collaborazione tra pubblico e privato, coordinando le azioni della PA e le misure e gli incentivi economici rivolti allo sviluppo imprenditoriale ed industriale (artt. 19, 21 2 26 del Ddl in disamina).
DDL sull’intelligenza artificiale: i restanti punti chiave
Tra le altre novità degne di nota, riteniamo interessante citare ancora e dopo i principi fondanti, il settore sanitario e della ricerca/sperimentazione scientifica nonché l’FSE (artt. 7-9), il mondo del lavoro (art. 10) con la previsione all’interno dello stesso Ministero di un “Osservatorio sull’adozione dei sistemi di intelligenza artificiale” (art. 11), oltre ai due Capi relativi ora alla tutela del diritto d’autore (Capo IV, artt. 23 e 24), ora al settore penale (Capo V, art. 25) che di fatto introduce una pena massima di anni 5 di reclusione per “l’illecita diffusione di contenuti generati o manipolati con Intelligenza artificiale”. Ma trattiamoli separatamente, punto per punto.
Principi fondanti
Tra i principi fondanti troviamo elencati:
- trasparenza;
- proporzionalità;
- sicurezza;
- valorizzazione anche economica del dato;
- protezione dei dati personali;
- riservatezza;
- robustezza;
- accuratezza;
- non discriminazione;
- parità dei sessi;
- sostenibilità.
A valle, si enfatizza tanto il potere decisionale umano, quanto la prevenzione dei danni nonché l’accesso paritario alle tecnologie per le persone con disabilità.
Ancora, nel settore dell’informazione e commercio, i sistemi di IA dovranno rispettare la libertà di espressione, la completezza e l’imparzialità.
Da ultimo, è promosso l’uso dell’IA per l’economia e l’efficienza pubblica, con attenzione alla qualità dei dati e alla concorrenza.
Sanità e disabilità, ricerca/sperimentazione scientifica/FSE
Tra le prime “disposizioni di settore” spiccano la sanità e la disabilità. All’art. 7 troviamo disciplinato “l’uso dell’intelligenza artificiale in ambito sanitario e di disabilità” nel quale, in pratica, l’utilizzo dell’IA intende contribuire al miglioramento del sistema sanitario e della prevenzione/cura delle malattie, purché avvenga nel rispetto dei diritti, libertà e interessi della persona e non di meno della protezione dei dati personali.
Questa disposizione va letta in combinato disposto con l’art. 110 dell’attuale Cod. Privacy, peraltro, di recente riformato a fronte del dialogo trasparente con il mondo della ricerca scientifica sanitaria.
Non solo, i sistemi di IA non potranno in alcun modo selezionare con criteri discriminatori e condizionare/restringere l’accesso alle prestazioni sanitarie (comma II).
L’interessato ha “il diritto di essere informato circa l’utilizzo di tecnologie di intelligenza artificiale e sui vantaggi, in termini diagnostici e terapeutici, derivanti dall’utilizzo delle nuove tecnologie, nonché di ricevere informazioni sulla logica decisionale utilizzata” (comma III).
Ancora, sono da prediligersi nonché promuoversi “lo sviluppo, lo studio e la diffusione di sistemi di intelligenza artificiale che migliorano le condizioni di vita delle persone con disabilità, agevolano l’accessibilità, l’autonomia, la sicurezza e i processi di inclusione sociale delle medesime persone” (comma IV).
I sistemi di IA nel settore sanitario devono fare da “supporto nei processi di prevenzione, diagnosi, cura e scelta terapeutica, lasciando impregiudicata la decisione, che è sempre rimessa alla professione medica” né più né meno come in ambito giudiziario al successivo art. 14 laddove ovviamente si dice che “È sempre riservata al magistrato la decisione sulla interpretazione della legge, sulla valutazione dei fatti e delle prove e sulla adozione di ogni provvedimento” (comma II).
Insomma, la supervisione dell’uomo non può venire in alcun modo meno.
Infine, “i sistemi di intelligenza artificiale utilizzati nell’ambito sanitario e i relativi dati impiegati devono essere affidabili e periodicamente verificati e aggiornati al fine di minimizzare il rischio di errori” (comma V).
Interessante è poi la previsione di cui al successivo art. 8 laddove si tratta di trattamento dati anche personali (art. 9 GDPR). Al riguardo, i trattamenti di dati, anche personali, eseguiti da soggetti pubblici e privati senza scopo di lucro per la ricerca e la sperimentazione scientifica nella realizzazione di sistemi di intelligenza artificiale per finalità terapeutica e farmacologica, sono di “rilevante interesse pubblico”.
Parimenti interessante risultano ancora le “Disposizioni in materia di fascicolo sanitario elettronico, sistemi di sorveglianza nel settore sanitario e governo della sanità digitale”, istituendo una piattaforma di intelligenza artificiale per il supporto alle finalità di cura e, in particolare, per l’assistenza territoriale.
Il DDL sull’intelligenza artificiale, quindi, stabilisce – peraltro con ragionevolezza pensando all’art. 32 Cost – che i trattamenti di dati per la ricerca medica, eseguiti da strutture pubbliche o da centri di ricerca non profit, come quelli delle associazioni dei pazienti, non abbisognano del consenso.
Sarà invece sempre necessaria l’informativa anche generale, e pubblicabile sull’apposito sito web.
Da ultimo, sul fascicolo sanitario elettronico – FSE, il ministero della Salute sarà tenuto ad affidare all’Agenzia nazionale per i servizi sanitari regionali, il suo braccio operativo nel digitale, una piattaforma di IA per l’assistenza territoriale della quale Agenas sarà responsabile del trattamento dei dati (ex art. 28 GDPR).
Mondo del lavoro
In breve, vediamo ora quelli che sono i capisaldi al riguardo. Anzitutto, sempre ispiratore è il principio antropocentrico, chiarendo come l’intelligenza artificiale possa “essere impiegata per migliorare le condizioni di lavoro, tutelare l’integrità psico-fisica dei lavoratori, accrescere la qualità delle prestazioni lavorative e la produttività delle persone in conformità al diritto dell’Unione europea”, così come si legge testualmente nel comunicato stampa ufficiale della Presidenza del Consiglio dei ministri.
Viene ribadito, poi, il principio di equità e non discriminazione, stabilendo che “l’utilizzo dei sistemi di IA per l’organizzazione o la gestione del rapporto di lavoro non può in nessun caso essere discriminatorio”. Più nel dettaglio, risulta interessante la previsione della creazione di un “Osservatorio sull’adozione di sistemi di intelligenza artificiale nel mondo del lavoro” da istituirsi presso il Ministero del Lavoro e delle Politiche Sociali.
Circa gli obblighi dei datori di lavoro sull’uso della IA, sul piano dei rapporti di lavoro, i datori di lavoro o chi per essi (committenti) dovranno informare il lavoratore dell’utilizzo dell’intelligenza artificiale.
Parimenti, altro profilo degno di nota è la previsione dell’istituzione, presso il Ministero del Lavoro, di un Osservatorio sull’adozione di sistemi di IA avente compiti di:
- definire una strategia sull’utilizzo dell’intelligenza artificiale in ambito lavorativo;
- monitorare l’impatto sul mercato del lavoro;
- identificare i settori lavorativi maggiormente interessati dall’avvento dell’IA;
- promuovere la formazione dei lavoratori e dei datori di lavoro in materia di intelligenza artificiale.
Ma non è tutto: nel mondo delle libere professioni intellettuali ex art. 12, i professionisti potranno usare i sistemi di IA esclusivamente per esercitare attività strumentali e di supporto all’attività professionale, durante la quale il lavoro intellettuale (di pensiero e di concetto) dovrà essere prevalente.
Pubblica Amministrazione
Il legislatore si preoccupa, poi, all’art. 13, a dettare i “principi in materia di pubblica amministrazione” volendo/dovendo regolare anche nell’ambiente della PA l’utilizzo dell’IA al fine di garantire il buon andamento e l’efficienza dell’attività amministrativa (art. 97 Cost.), mettendo in risalto il principio dell’autodeterminazione e della responsabilità umana.
Per quanto concerne l’ingresso massivo della IA negli enti pubblici sarà AgID a condurre il tutto, fornendo gli indirizzi a Consip (Centrale acquisti della PA), su programmi e aziende.
Sotto questo profilo, il Governo spinge per un approccio di tipo “sovranista”, nel senso che tiene a che siano privilegiate quelle soluzioni a garanzia di una “localizzazione ed elaborazione dei dati critici presso data center posti sul territorio nazionale, nonché modelli fondativi in grado di assicurare elevati standard in termini di trasparenza nelle modalità di addestramento e di sviluppo di applicazioni basate su AI generativa”.
I sistemi di IA vieppiù nel pubblico dovranno essere trasparenti, “assicurando agli interessati la conoscibilità del suo funzionamento e la tracciabilità del suo utilizzo” e, non di meno, utilizzati a supporto di decisioni prese da persona responsabile.
Evidentemente, (anche) i provvedimenti amministrativi resteranno di competenza e responsabilità dei dirigenti. Gli uffici pubblici potranno usare sistemi di IA, ma in funzione strumentale ovvero come supporto all’attività provvedimentale e, in particolare, nelle istruttorie dei procedimenti amministrativi.
Diritto d’autore e il “bollino” sull’AI
Il DDL sull’intelligenza artificiale nella sua ultima versione del 23 aprile 2024, rispetto a quella divulgata l’8 aprile 2024, ha rafforzato poi il Capo IV (artt. 23 e 24) in materia di copyright.
In breve, richiamando quanto già scritto al riguardo, qui ci limitiamo a ricordare che il DDL intende tutelare l’identificazione e il riconoscimento dei sistemi di intelligenza artificiale nella creazione di contenuti testuali, fotografici, audiovisivi e radiofonici.
Per questo motivo, prevede una disposizione normativa, l’art. 40 bis (da inserire dopo l’art. 40 D.lgs. 208/2021), la quale in sintesi stabilisce che un “contenuto completamente o parzialmente generato, modificato o alterato dai sistemi di intelligenza artificiale” tale presentare come reali dati/informazioni/fatti che invece non lo sono, deve avere un elemento o segno identificativo, anche in filigrana o marcatura incorporata con l’acronimo “IA” o, nel caso di un audio, deve avere tecnologie adatte a consentire il riconoscimento.
Sono previste, tuttavia, delle eccezioni come quelle riguardanti la “marchiatura di un’opera o un programma manifestamente creativo, satirico, artistico o fittizio”. Le misure attuative saranno definite da un regolamento specifico ad opera di AGCOM, Autorità competente per materia.
Occorre dunque avere un “bollino”, che dovrà in pratica comparire a inizio e fine trasmissione, prima e dopo il contenuto generato con l’AI e alla fine di ogni interruzione pubblicitaria.
Penale
Da ultimo, tra i punti cardine vediamo come il legislatore abbia affrontato le “disposizioni penali” di cui all’art. 25.
Dal punto di vista sostanziale, vengono modificate le seguenti fattispecie del Cod. Penale:
- art. 61
- art. 494
- art. 501
- art. 612 ter
- art. 640 bis e ter
- art. 2637 cod. civ.
- art. 171 della legge sul diritto di autore
Viene poi introdotto un nuovo reato, l’art. 612 quater Cod. Pen. e che riportiamo fedelmente per capirne il tenore: “Chiunque, al fine di arrecare nocumento a una persona e senza il suo consenso, ne invia, consegna, cede, pubblica o comunque diffonde l’immagine, un video o la voce, falsificati o alterati mediante l’impiego di sistemi di intelligenza artificiale e idonei a indurre in inganno sulla loro genuinità, è punito con la reclusione da sei mesi a tre anni. Se dal fatto deriva un danno ingiusto, la pena è della reclusione da uno a cinque anni.”
I famosi deepfake.
Ovvero in “versione alternativa”: “Chiunque cagiona ad altri un danno ingiusto, mediante invio, consegna, cessione, pubblicazione o comunque diffusione di immagini o video di persone o di cose ovvero di voci o suoni in tutto o in parte falsi, generati o alterati mediante l’impiego di sistemi di intelligenza artificiale, atti a indurre in inganno sulla loro genuinità, è punito con la reclusione da uno a cinque anni)”.
Pur dovendo attendere il testo definitivo, da una prima analisi della fattispecie emerge che si tratta di un reato comune quindi che può essere commesso da chicchessia; collocato tra i delitti contro la libertà individuale e più segnatamente morale, che rappresenta il bene giuridico tutelato/da tutelare.
Quanto alla condotta, l’atto di inviare/consegnare/cedere/pubblicare o comunque diffondere immagine/video/voce, integra la fattispecie che comporta la falsificazione o alterazione mediante l’impiego di sistemi di IA.
È un reato punito a titolo di dolo (generico), che consiste nella manifestazione di volontà di arrecare un danno a una persona, ingannandola. La pena in caso di “danno ingiusto” è aggravata ed è punita fino a cinque anni di reclusione: non poco.
Conclusioni
Si sono già letti diversi commenti in merito al DDL sull’intelligenza artificiale.
Tra i tanti letti riportiamo quello espresso dall’Avv. Andrea Lisi che dice bene un concetto, peraltro condiviso e più che condivisibile, il quale in pratica richiama tutti noi professionisti del diritto a “un’attenta interpretazione, abbinata a campagne di alfabetizzazione ed educazione” ben potendo “evitare il sistematico frastuono normativo che caratterizza gli ultimi tempi e […] adattare con cura i nostri principi fondamentali a una realtà digitale che muta d’abito ogni giorno”. Ecco, meditiamoci un po’ su.
