Ecco perché è impossibile applicare l’AI Act

Una lettera breve ma intensa, quella inviata da oltre quaranta imprese coinvolte nello sviluppo di sistemi di intelligenza artificiale per chiedere alla Commissione Europea un rinvio dell’attuazione di alcune parti dell’AI Act, il Regolamento Europeo 2024/1689 sull’intelligenza artificiale entrato in vigore ad Agosto dello scorso anno ma solo in minima parte esecutivo.

La sua efficacia scatta per gradi. Gli articoli 4 e 5 relativi, rispettivamente, agli obblighi di formazione e al divieto di sviluppare sistemi di intelligenza artificiale che rappresentano un rischio inaccettabile sono già entrati in vigore a febbraio di quest’anno, ma il 2 Agosto 2025 diventeranno esecutive una serie di norme molto impattanti che riguardano i GPAI, ovvero i modelli di intelligenza artificiale “general purpose”, che si prestano ad essere utilizzati per usi diversi, senza che nessuno possa essere individuato in modo specifico.

Si tratta di modelli che possono essere utilizzati per sviluppare sistemi per scrivere testi, per generare disegni, per fornire valutazioni su dati medici o statistici, e per un’infinità di scopi tanto varia che non può essere predeterminata in anticipo.

TROPPO VAGO

Questa parte dell’AI Act è stata introdotta un po’ di fretta, prima dell’approvazione finale del testo, sulla spinta dell’evoluzione tecnologica che ha obbligato a continui ripensamenti fino all’ultimo minuto. Il risultato però è un quadro normativo che è tutto, tranne che chiaro.

Basta leggere la definizione di GPAI per rendersi conto della sua genericità che potrebbe fare rientrare nel concetto di GPAI una vastissima categoria di modelli che possono includere i modelli di AI generativa e i LLM, come GPT e Claude, ma non solo.

In base all’art. 3 AI Act un GPAI è “un modello di IA, anche laddove tale modello di IA sia addestrato con grandi quantità di dati utilizzando l’autosupervisione su larga scala, che sia caratterizzato da una generalità significativa e sia in grado di svolgere con competenza un’ampia gamma di compiti distinti, indipendentemente dalle modalità con cui il modello è immesso sul mercato, e che può essere integrato in una varietà di sistemi o applicazioni a valle, ad eccezione dei modelli di IA utilizzati per attività di ricerca, sviluppo o prototipazione prima di essere immessi sul mercato”.

In una tale definizione, tra l’altro non del tutto chiara, potrebbero essere ricompresi modelli molto più ridotti rispetto ai famosi LLM, magari sviluppati da piccole imprese, che si troverebbero a dover rispettare norme pensate per i giganti dell’intelligenza artificiale e quindi particolarmente onerose.

Inquadrare un modello, o un sistema, di intelligenza artificiale nell’ampia categoria dei GPAI piuttosto che nella categoria dei sistemi di intelligenza artificiale con fini determinati, ha conseguenze rilevanti, in quanto i GPAI sono soggetti ad una serie di obblighi molto rigorosi, non si applica loro la classica valutazione del rischio, mentre occorre individuare se presentino un “rischio sistemico” senza che però nulla di preciso sia detto su come lo si debba calcolare e valutare. I parametri andrebbero inventati e, ovviamente, non è possibile.

Questo solo per evidenziare alcune delle difficoltà che incontra chi si avvicina al Regolamento che è un testo complesso di oltre cinquecento pagine, con rinvii a normative di settore e con alla base un obbligo generalizzato di rispettare tutta la normativa specialistica.

L’AI ACT IN PRATICA

Al di là delle polemiche e delle considerazioni politiche che possono essere fatte in ordine alla richiesta avanzata di un possibile rinvio, da operatore del diritto che si trova ad applicare l’AI Act, posso affermare che, con tutta la buona volontà, riuscire ad essere adeguati allo stato attuale non è solo difficile, ma è quasi impossibile perché nessuno sa con esattezza che cosa si debba fare.

Sto lavorando da oltre sei mesi all’interno di un team di avvocati e tecnici, per strutturare un modello di adeguamento serio e convincente e, letteralmente, lo abbiamo dovuto progettare da zero, avendo come unico faro l’AI Act e avvalendoci dell’esperienza pregressa maturata nel settore della proprietà intellettuale, della privacy e nell’adozione di misure tecniche come le ISO, senza potere disporre di alcuno strumento di verifica.

La stessa procedura ISO 42001 emanata a Novembre 2023 per i sistemi di intelligenza artificiale è una procedura nuova per la quale manca letteratura di supporto.

La lettera scritta alla Commissione da imprese del calibro di Carrefour, Lufthansa, Airbus, Mistral ha alla base problemi pratici oggettivi e se sono in difficoltà loro immaginatevi cosa stiano affrontando le piccole e medie imprese che investono per sviluppare sistemi di intelligenza artificiale sani e conformi.

Inoltre coloro che vorranno implementare GPAI dopo il 2 Agosto 2025 non potranno neppure sperare di avvalersi dell’art. 111, terzo comma dell’AI Act che consente a coloro che hanno già commercializzato a quella data modelli GPAI di adeguarsi entro il 2 Agosto 2027.

È giusto che siano salvaguardati i diritti fondamentali, la privacy, l’antropocentrismo, la trasparenza, ma se non vogliamo che restino solo affermazioni di principio si deve fare in modo che possano essere applicabili in concreto.

Nella lettera si legge:

“In un’epoca di cambiamenti tecnologici, economici e geopolitici senza precedenti, la capacità dell’Europa di guidare l’innovazione e l’adozione dell’IA sarà fondamentale per affrontare le sfide di competitività e sovranità così chiaramente identificate da Mario Draghi – in particolare nei nostri settori più consolidati e strategici.

Purtroppo, questo equilibrio è attualmente minacciato da normative europee poco chiare, sovrapposte e sempre più complesse.

Ciò mette a rischio le ambizioni europee sull’IA, poiché compromette non solo lo sviluppo di campioni europei, ma anche la capacità di tutti i settori di implementare l’IA su scala adeguata alla concorrenza globale”.

È realisticamente così. L’adeguamento alla normativa europea non può essere un terno al Lotto. Un’impresa può rispettare la legge se è messa in condizione di farlo, mentre allo stato attuale nessuno al mondo è in grado di dirsi adeguato con certezza assoluta, con tutta la buona volontà e tutti gli investimenti possibili.

IL DILEMMA DEL RINVIO

I firmatari chiedono un “clock-stop”, ovvero un rinvio di due anni prima che entrino in vigore gli obblighi principali dell’AI Act, confidando in una semplificazione delle nuove norme.

Il rinvio dovrebbe applicarsi sia agli obblighi relativi ai sistemi AI ad alto rischio, che diventeranno efficaci ad Agosto 2026, sia quelli per i modelli di AI per fini generali (GPAI), previsti per Agosto 2025.

Due anni sono un tempo biblico e il Regolamento, per certi versi nato già vecchio, tra due anni potrebbe essere del tutto anacronistico.

Posticipare l’efficacia di alcune parti dell’AI Act a dopo l’emanazione di accurate Linee Guida potrebbe, invece, essere una scelta saggia anche se tecnicamente difficilmente giustificabile.

Questo è il lato della medaglia che vede chi lavora, poi c’è la faccia opposta che è quella che vede il legislatore e il mondo politico.

Secondo alcuni commentatori ed esponenti delle istituzioni, un rinvio sarebbe un fallimento del diritto e una resa palese alla volontà americana di spingere per una deregolamentazione del settore.

Un correttivo sarebbe una dimostrazione di sudditanza, inaccettabile, per cui l’Europa dovrebbe andare avanti, dritta tutta, anche se in questo movimento dovesse trovarsi a travolgere le sue realtà più fertili e promettenti.

La sudditanza verso gli Stati Uniti però è un’altra cosa e, purtroppo, di esempi concreti ne abbiamo visti fin troppi.

Qui stiamo parlando di imprese che vogliono, e devono, rispettare la legge, perché è antieconomico non farlo, ma che potrebbero desistere dallo sviluppare nuovi sistemi di intelligenza artificiale non per incompetenza o mancanza di volontà di crescita, ma per non rischiare di dovere di pagare sanzioni o risarcimenti a causa dell’incertezza normativa.

In Italia molto presto avremo anche una legge nazionale sull’intelligenza artificiale, già approvata alla Camera e al Senato e adesso tornata di nuovo alla Camera con leggere modifiche.

Si tratta di una normativa che in parte attua gli obblighi previsti dall’AI Act che, ad esempio, obbliga gli stati a individuare le autorità nazionali di controllo, e in parte introduce norme nuove e specifiche.

Siamo stati tra i primi a legiferare sull’intelligenza artificiale. Peccato, però, che neppure questa legge chiarirà i molti dubbi applicativi, e probabilmente neppure avrebbe potuto farlo.

Spetta all’Europa farsi sentire in modo forte e concreto, consapevole che si sta giocando il futuro in modo determinante, perché il futuro è nel digitale e l’intelligenza artificiale ne è la protagonista.

(Estratto da Appunti di Stefano Feltri)