Fonte: Conferenza sull’intelligenza artificiale Bruxelles 28-29 gennaio 2024
I principali elementi del nuovo regolamento (in base all’accordo provvisorio tra Parlamento europeo e Consiglio)
l testo dell’accordo provvisorio, diffuso presso i gruppi di lavoro del Consiglio, prevede i seguenti punti qualificanti.
Definizione e ambito di applicazione
Il regolamento ha l’obiettivo di migliorare il funzionamento del mercato interno e promuovere l’adozione di un’intelligenza artificiale affidabile e incentrata sull’uomo, garantendo, nel contempo, un elevato livello di protezione della salute, della sicurezza e dei diritti fondamentali, compresa la democrazia, lo Stato di diritto e la tutela dell’ambiente dagli effetti dannosi dei sistemi di intelligenza artificiale nell’Unione, e sostenendo l’innovazione.
Il regolamento definisce un sistema di IA come un sistema basato su una macchina progettato per funzionare con diversi livelli di autonomia e che può mostrare adattività dopo l’implementazione e che, per obiettivi espliciti o impliciti, deduce, dall’input che riceve, come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali.
La nuova disciplina non intende introdurre una normazione esaustiva e dettagliata di ogni aspetto connesso all’IA, così definita. Tiene conto che diversi profili della materia sono già riconducibili ad atti legislativi vigenti o in corso di adozione a livello UE (v. infra). In particolare, il nuovo regolamento introduce:
a) regole armonizzate per l’immissione sul mercato, la messa in servizio e l’uso dei sistemi di intelligenza artificiale nell’Unione;
b) il divieto di determinate pratiche di intelligenza artificiale;
c) requisiti specifici per i sistemi di IA ad alto rischio e obblighi per gli operatori di tali sistemi;
d) regole di trasparenza armonizzate per alcuni sistemi di IA;
e) regole armonizzate specifiche per l’immissione sul mercato di modelli di IA di uso generale;
f) regole sul monitoraggio del mercato, sulla governance e sull’applicazione della vigilanza del mercato stesso;
g) misure a sostegno dell’innovazione, con particolare attenzione alle PMI, comprese le start-up;
Il regolamento si applicherà ai soggetti pubblici e privati, all’interno e all’esterno dell’UE, a condizione che il sistema di IA sia immesso sul mercato dell’Unione o che il suo uso abbia effetti su persone situate nell’UE.
Riguarderà sia i fornitori (ad es. uno sviluppatore di uno strumento di screening dei CV) che gli operatori di sistemi di IA ad alto rischio (ad es., una banca che acquista uno strumento di screening dei CV).
Gli importatori di sistemi di IA dovranno inoltre garantire che il fornitore straniero abbia già eseguito l’appropriata procedura di valutazione della conformità, che il sistema rechi una marcatura di conformità europea (CE) e sia corredato della documentazione e delle istruzioni per l’uso richieste.
Il regolamento prevede inoltre determinati obblighi per i fornitori di modelli di IA per finalità generali, compresi i modelli di IA generativa di grandi dimensioni. Invece, i fornitori di modelli gratuiti e open source saranno esentati dalla maggior parte di questi obblighi. Esenzione che tuttavia non riguarderà gli obblighi incombenti ai fornitori di modelli di IA per finalità generali che comportano rischi sistemici.
Il regolamento non pregiudicherà le competenze degli Stati membri in materia di sicurezza nazionale. Non si applicherà infatti ai sistemi di IA che sono esclusivamente per scopi militari, di difesa o di sicurezza nazionale, indipendentemente dal tipo di entità che svolge tali attività, nonché alle attività di ricerca, sviluppo e prototipazione che precedono l’immissione sul mercato o a persone che utilizzano l’IA per motivi non professionali.
Misure a sostegno dell’innovazione
Il regolamento contiene diverse misure a sostegno dell’innovazione. In particolare, consente la creazione di spazi di sperimentazione normativa per l’IA (sandbox normativi) e di prova in condizioni reali, che forniscono un ambiente controllato per testare tecnologie innovative per un periodo di tempo limitato, promuovendo in tal modo l’innovazione da parte delle imprese, delle PMI e delle start-up.
Gli Stati membri dovranno istituire almeno un sandbox normativo sull’IA a livello nazionale. Potrà anche essere istituito congiuntamente tra più Stati membri.
Le prove in condizioni reali dei sistemi di IA ad alto rischio potranno essere effettuate per un massimo di 6 mesi (prorogabili di altri 6 mesi). Prima delle prove dovrà essere elaborato un piano da presentare all’autorità di vigilanza del mercato, la quale dovrà approvare il piano e le condizioni di prova specifiche; in caso di mancata risposta entro 30 giorni, il piano si considererà tacitamente approvato. Le prove potranno essere oggetto di ispezioni senza preavviso da parte dell’Autorità.
Le prove in condizioni reali potranno essere effettuate solo se sono presenti garanzie specifiche: ad esempio, gli utenti dei sistemi sottoposti a prova in condizioni reali dovranno fornire un consenso informato, le prove non dovranno avere alcun effetto negativo sugli utenti, gli esiti delle prove dovranno essere reversibili o poter essere ignorati, i relativi dato dovranno essere cancellati dopo la conclusione delle prove. Una protezione speciale dovrà essere riservata ai gruppi vulnerabili, ad esempio a causa della loro età o della disabilità fisica o mentale
Architettura di governance
Le autorità nazionali competenti per la vigilanza del mercato sorveglieranno l’attuazione delle nuove norme a livello nazionale, mentre un Ufficio europeo per l’IA, costituito presso la Commissione europea, garantirà il coordinamento a livello europeo.
Un comitato scientifico di esperti indipendenti avrà il compito di segnalare i rischi sistemici e contribuire alla classificazione e alla sperimentazione dei modelli. Un comitato europeo per l’IA, composto dai rappresentanti degli Stati membri, svolgerà il ruolo di piattaforma di coordinamento e di organo consultivo per la Commissione europea. Si prevede infine l’istituzione di un forum consultivo per i portatori di interessi, come i rappresentanti dell’industria, le PMI, le start-up, la società civile e il mondo accademico.
Più nello specifico, la missione dell’Ufficio per l’IA sarà quella di sviluppare le competenze e le capacità dell’Unione nel settore dell’IA e contribuire all’attuazione della legislazione dell’Unione in materia di intelligenza artificiale in una struttura centralizzata. In particolare, l’Ufficio avrà il compito di applicare e supervisionare le nuove regole per i modelli di IA per finalità generali, con il potere di richiedere documentazione, condurre valutazioni dei modelli, indagare sulle segnalazioni e chiedere ai fornitori di adottare misure correttive.
L’Ufficio garantirà inoltre il coordinamento per quanto riguarda la politica in materia di IA e la collaborazione tra le istituzioni, gli organi e le agenzie dell’Unione coinvolti, nonché con gli esperti e i portatori di interessi. In particolare, dovrà provvedere a creare un forte legame con la comunità scientifica per sostenere l’applicazione delle regole, fungerà da punto di riferimento internazionale per gli esperti e le organizzazioni di esperti indipendenti e faciliterà gli scambi e la collaborazione con istituzioni analoghe in tutto il mondo.
Sanzioni
Le sanzioni per le violazioni del nuovo regolamento sono state fissate in una percentuale del fatturato annuo globale nell’anno finanziario precedente della società incriminata o in un importo predeterminato, a seconda di quale sia il più elevato.
Più nello specifico, per i sistemi di IA che sono immessi sul mercato o messi in servizio e che non rispettano i requisiti del regolamento, gli Stati membri dovranno stabilire sanzioni effettive, proporzionate e dissuasive, comprese sanzioni amministrative pecuniarie, in relazione alle violazioni, e comunicarle alla Commissione. Il regolamento stabilisce le soglie da tenere in considerazione:
• fino a 35 milioni di euro o al 7% del fatturato mondiale totale annuo dell’esercizio precedente (se superiore) per violazioni relative a pratiche vietate o per l’inosservanza di requisiti in materia di dati;
• fino a 15 milioni di euro o al 3% del fatturato mondiale totale annuo dell’esercizio precedente, per l’inosservanza di qualsiasi altro requisito o obbligo del regolamento, compresa la violazione delle regole relative ai modelli di IA per finalità generali;
• fino a 7,5 milioni di euro o all’1,5% del fatturato mondiale totale annuo dell’esercizio precedente, per la fornitura di informazioni inesatte, incomplete o fuorvianti agli organismi notificati e alle autorità nazionali competenti in risposta a una richiesta;
• per ciascuna categoria di violazione, la soglia per le PMI sarebbe l’importo più basso tra i due previsti, mentre per le altre imprese sarebbe l’importo più elevato.
La Commissione, sulla base del parere del comitato, elaborerà orientamenti al fine di armonizzare le regole e le prassi nazionali in materia di calcolo delle sanzioni amministrative pecuniarie.
Entrata in vigore
Il regolamento sull’IA sarà pienamente applicabile due anni dopo la sua entrata in vigore, secondo il seguente approccio graduale:
• 6 mesi dopo l’entrata in vigore, gli Stati membri devono eliminare gradualmente i sistemi vietati;
• 12 mesi dopo: diventano applicabili gli obblighi relativi alla
governance dell’IA per finalità generali;
• 24 mesi dopo: tutte le regole della legge sull’IA diventano applicabili, compresi gli obblighi per i sistemi ad alto rischio definiti nell’allegato III (elenco dei casi d’uso ad alto rischio);
• 36 mesi dopo: si applicano gli obblighi per i sistemi ad alto rischio definiti nell’allegato II (elenco della normativa di armonizzazione dell’Unione).
Il regolamento potrà essere modificato mediante atti delegati e di esecuzione, anche per aggiornare la soglia FLOPS (atto delegato), aggiungere criteri per classificare i modelli di IA per finalità generali come modelli che presentano rischi sistemici (atto delegato), modificare le modalità per istituire spazi di sperimentazione normativa ed elementi del piano di prova in condizioni reali (atti di esecuzione).
