La proposta dei legislatori europei
La proposta avanzata da quattro legislatori del Parlamento europeo aggiungerebbe nuove norme alla storica legge sull’IA dell’UE del 2024, per garantire che aziende come OpenAI e Anthropic possano essere ritenute responsabili quando la loro tecnologia viene impiegata in modi imprevisti.
La mossa dimostra che Bruxelles si sta risvegliando di fronte a una realtà in cui i danni causati dall’intelligenza artificiale sono già in corso e i rischi si stanno moltiplicando, e segna il primo sforzo concreto all’interno dell’UE per rispondere ai timori sulla sicurezza dell’IA che dominano l’agenda politica globale.
Perché l’AI Act attuale non è sufficiente?
Il gruppo chiede alla Commissione di introdurre un “AI Liability Act” (Legge sulla responsabilità dell’IA) “per colmare le lacune legislative attualmente esistenti per questo tipo di incidenti, in modo che nessuna persona o impresa europea venga lasciata a mani vuote contro questi grandi fornitori quando causano danni”, secondo quanto si legge in una nota del 16 settembre indirizzata alla Commissione.
Kim van Sparrentak, europarlamentare olandese dei Verdi e parte del gruppo del Parlamento che monitora l’applicazione delle norme del blocco sull’IA, ha affermato che la tecnologia in rapida evoluzione sta costringendo l’UE ad aggiornare rapidamente quella che due anni fa era la prima importante legislazione vincolante al mondo per regolamentare i modelli avanzati di intelligenza artificiale.
“L’Europa ha bisogno di tornare a essere un passo avanti”, ha dichiarato van Sparrentak, uno dei quattro legislatori che guidano l’iniziativa insieme al conservatore tedesco Axel Voss, al socialdemocratico italiano Brando Benifei e all’indipendente irlandese Michael McNamara.
La richiesta ha ricevuto il sostegno di legislatori del Partito Popolare Europeo di centro-destra, del gruppo dei Socialisti e Democratici e del gruppo liberale Renew, indicando un ampio appoggio politico.
Rischi di estinzione
Questa settimana segna un altro momento cruciale per gli sforzi globali sulla sicurezza dell’IA, dopo un’estate ricca di incidenti di hacking legati all’IA e di avvertimenti sui rischi di estinzione.
L’argomento sarà al centro dell’attenzione all’Assemblea Generale delle Nazioni Unite a New York e in un vertice di questa settimana tra il leader cinese Xi Jinping e il presidente degli Stati Uniti Donald Trump.
L’appello dei legislatori dell’UE richiama l’attenzione sulle carenze dell’AI Act, concordato in un momento in cui gli agenti di IA che violano i sistemi di altre aziende sembravano più uno scenario fantascientifico.
Le norme sulla responsabilità dell’IA potrebbero rendere più semplice e meno costoso per le vittime di danni causati dall’IA richiedere un risarcimento, ad esempio invertendo l’onere della prova a favore delle aziende.
Una rinnovata attenzione alla responsabilità di prodotto in Europa coinciderebbe inoltre con alcuni orientamenti emersi negli Stati Uniti, tra cui il sostegno espresso dall’ex zar dell’IA di Trump, David Sacks.
Il contesto politico e globale
Il suggerimento dei legislatori dell’UE di aggiungere nuove norme di responsabilità rappresenta una drastica inversione della posizione pubblica del blocco negli ultimi mesi.
Per settimane, Bruxelles aveva offerto una risposta standard unica alla raffica di incidenti alimentati dall’intelligenza artificiale, agli avvertimenti dei ricercatori sull’IA e agli appelli dei dirigenti tecnologici a rallentare lo sviluppo dell’IA: la legge sull’intelligenza artificiale dell’UE è già lì per evitare che le aziende perdano il controllo dei loro modelli o agenti.
La nuova attenzione alla responsabilità costituisce un’ammissione tacito che il solo AI Act non sarà sufficiente.
Tuttavia, la spinta verso nuove norme risulta anche scomoda dal punto di vista legislativo.
L’UE ha appena rivisto l’intero regime che regola la conformità dei prodotti agli standard di sicurezza, attraverso un aggiornamento delle norme generali sulla responsabilità di prodotto dell’UE che entrerà in vigore il 9 dicembre.
Bruxelles è anche impegnata nel tentativo di tagliare ulteriore regolamentazione tecnologica per “semplificare” le norme e aiutare la crescita delle imprese.
Le norme sulla responsabilità specifiche per l’IA erano state proposte dalla Commissione europea nel settembre 2022, ma la Commissione le aveva ritirate l’anno scorso.
Tutele legali
La normativa vigente del blocco include già una visione dell’IA attraverso la lente della sicurezza dei prodotti.
Essa spinge le aziende a valutare i propri modelli o applicazioni di IA e a determinarne il rischio per il pubblico: inaccettabile, alto, limitato o minimo.
Tuttavia, la legge fa ben poco per affrontare i danni provocati.
Inoltre, la legge non copre i modelli di IA prima della loro distribuzione, durante la fase di addestramento o di test, nonostante la maggior parte delle violazioni dello scorso estate sia stata condotta da agenti alimentati da modelli di ricerca interni.
“Il funzionamento attuale di fatto non riconosce alcun diritto alle persone danneggiate dall’intelligenza artificiale”, ha dichiarato Mario Mariniello, ricercatore senior su questioni digitali e di concorrenza presso il think tank Bruegel.
“Riduce gli incentivi per gli sviluppatori a prendere in considerazione tale rischio e, di conseguenza, a investire nella sicurezza”.
Gli esperti di cybersecurity indicano gli incidenti della scorsa estate — come quello in cui agenti basati su tecnologia OpenAI si sono infiltrati in Hugging Face — come prove della necessità di un regime di responsabilità.
Le critiche degli esperti: dai limiti dell’onere della prova ai rischi di antropomorfizzazione dell’IA
“Non credo che sia una buona strada sostenere che, poiché non vi era alcuna intenzione criminale e l’agente di IA ha agito autonomamente, non esista alcuna responsabilità legale”, ha affermato Marcus Hutchins, esperto di sicurezza informatica britannico noto soprattutto per aver bloccato un’epidemia globale del software WannaCry nel 2017.
Alcuni esperti, come la professoressa associata Irene Kamara dell’Università di Tilburg, hanno evidenziato il fatto che gli agenti di IA vengono spesso antropomorfizzati, come se fossero protagonisti umani che sferrano un attacco di propria iniziativa: ciò “sposta l’attenzione dall’individuazione dei reali individui o persone responsabili dietro l’incidente”, ha affermato.
