Guido Scorza: “AI Act, abbiamo fatto un passo importante ma la meta è ancora lontana”

Rivolgendoci a esperti e professionisti impegnati nell’ambito della pubblica amministrazione, abbiamo esplorato il ruolo dell’intelligenza artificiale (IA) e le sue prospettive di impiego. La Regione Puglia si distingue per aver istituito uno dei primi Centri di competenza regionale sull’IA nella PA, con l’obiettivo di studiare e sfruttare le opportunità offerte da questa tecnologia. Il Centro si occuperà di analizzare e valutare l’applicazione dell’IA nella pubblica amministrazione regionale, coinvolgendo anche le università locali e l’Agenzia per l’Italia Digitale. Saranno sperimentate soluzioni concrete, come l’utilizzo di chatbot e la semplificazione dei processi amministrativi. L’obiettivo è creare strumenti funzionali che migliorino l’efficienza dei servizi offerti ai cittadini.

In occasione del Digital Talk “AI e nuove frontiere del dato: tra regolamentazione e visioni di sostenibilità” – organizzato il 12 dicembre da FPA, in collaborazione con il Dipartimento per lo sviluppo di metodi e tecnologie per la produzione e diffusione dell’informazione statistica (DIRM) di Istat e di cui trovate qui il racconto – abbiamo chiesto un commento a Guido Scorza, Componente del Garante per la protezione dei dati personali, sulle recenti evoluzioni dell’AI Act.

Il tema della regolamentazione dell’IA in questo momento è attualissimo. Che tipo di regolamentazione si sta definendo e cosa cambierà per l’Europa e, quindi, anche per il nostro Paese?

Prima di tutto va sottolineato, cosa che molto di frequente in questi giorni non si dice e non si ricorda, che è stato raggiunto un accordo politico su un testo che al momento non abbiamo e che non ci sarà per diversi mesi. Quello che abbiamo davanti è un percorso a ostacoli, una gara contro il tempo ancora non indifferente. La fine della legislatura europea è vicina e quindi la sfida è doppia: riuscire a trasformare un accordo politico in un testo concreto e farlo in un intervallo di tempo straordinariamente breve perché evidentemente, o questo avviene prima della fine della legislatura, o ci vorrebbero poi anni per ritornare a questo risultato. Io credo che di importante in quello che è accaduto sia soprattutto la scelta di campo, comunque non obbligata e non uguale a quella fatta in altri Paesi, di regolamentare con lo strumento normativo più forte di cui l’Europa dispone, cioè un regolamento sulla materia dell’intelligenza artificiale. Questo vuol dire che le istituzioni europee si sono fatte carico di cercare di trovare un bilanciamento adeguato tra le istanze di promozione dell’intelligenza artificiale, perché evidentemente non esiste Paese sullo scacchiere globale che possa rinunciare a cogliere quelle opportunità, e l’esigenza di contenere e limitare i rischi che inesorabilmente un impatto incontrollato dell’intelligenza artificiale sulla società in tutte le sue declinazioni produrrebbe. In questo modo lo Stato si dichiara pronto a giocare un ruolo che non sempre è riuscito a giocare nella storia di internet, dato che spesso si è lasciato che i mercati imponessero le loro regole nella dimensione commerciale o tecnologica.

Quali sono i profili centrali che possiamo individuare nella regolamentazione che si va definendo?

Ci sono profili diversi in questa regolamentazione. Partiamo dalla regolamentazione dell’intelligenza artificiale sul mercato. Da questo punto di vista, per quel che è dato sapere oggi dell’intesa politica raggiunta all’esito del trilogo, andiamo verso una regolamentazione che fa suo l’approccio basato sul rischio. Non impongo le stesse regole o gli stessi obblighi a tutti gli sviluppatori, produttori o distributori di intelligenza artificiale, ma piuttosto impongo regole graduali in relazione al rischio che un determinato uso dell’intelligenza artificiale può produrre in determinati ambiti: più è elevato il rischio, più rigorose sono le regole. Oltre una certa soglia, il rischio è valutato semplicemente insostenibile nella dimensione democratica e qui l’uso dell’intelligenza artificiale è completamente vietato. Gli strumenti messi in campo in quest’area sono strumenti, nel bene e nel male, convenzionali nella legislazione europea, per cui si scommette sulla trasparenza e sul self-assessment dei produttori di intelligenza artificiale, che è qualcosa di già noto nell’ambito della disciplina europea in vigore in fatto di protezione dei dati personali. Sembrerebbe essere stato raggiunto un accordo anche sulla famosa cosiddetta ‘etichettatura’ dei contenuti prodotti con l’intelligenza artificiale, aspetto sul quale credo ci sia però bisogno di qualche riflessione in più. Oggettivamente è difficile etichettare un testo come generato con il supporto dell’intelligenza artificiale, posto che andiamo verso una stagione nella quale, direttamente o indirettamente, qualsiasi genere di contenuto sarà figlio di un apporto ibrido dell’uomo e dell’intelligenza artificiale. Non credo che nel medio-lungo periodo si possa suggerire che, quando un contenuto sarà generato con l’intelligenza artificiale, quel contenuto sarà sistematicamente più o meno affidabile di un contenuto figlio solo ed esclusivamente dell’intelligenza naturale. Quindi su questo aspetto secondo me c’è ancora tanto da fare.

Come mai questo negoziato è stato così difficile?

Il capitolo che fino all’ultimo ha rischiato di far naufragare il negoziato è quello per cui gli stessi governi che dicono “sì all’intelligenza artificiale, ma servono dei paletti”, naturalmente quando si è trattato di discutere di quali paletti porre hanno cercato di affermare il principio per cui le loro mani nell’utilizzo degli algoritmi dovevano restare più libere rispetto a quelle del mercato, il che avrebbe naturalmente aperto il fianco a scenari significativi in termini di sorveglianza di massa. Si dice che l’accordo è stato raggiunto, i paletti ci saranno anche in quella direzione, in particolare al crocevia tra dati biometrici e intelligenza artificiale per finalità di polizia e di giustizia. Ma ancora una volta si tratta di capire poi cosa uscirà in termini di testo, per esempio quando si dice che questi strumenti potranno essere utilizzati per la repressione di illeciti gravi, “grave” può voler dire tutto o nulla, è la soglia della gravità che farà poi la differenza.

Uno dei termini che lei usa spesso è “bilanciamento”, nel senso che si deve bilanciare il principio della tutela della privacy con altri principi, come quello della libera circolazione dei dati. Oggi questo tema viene tenuto presente quando si parla di intelligenza artificiale?

Rodotà diceva con una certa frequenza che la tecnologia è essa stessa una forma di regolamentazione. Se non governi la tecnologia, è la tecnologia che sovrascrive le regole che escono dai parlamenti e dai governi e plasma la vita delle persone e della società. Oggi questo sta indubbiamente accadendo e sul tema dell’intelligenza artificiale stiamo vivendo una fase di grandissimo entusiasmo, per cui in pochi ogni tanto alzano la mano per apparire le Cassandre di turno; talvolta l’abbiamo fatto anche noi, probabilmente come Autorità, ma normalmente le applicazioni figlie dell’intelligenza artificiale ci conquistano con la loro straordinaria usabilità, con il modo in cui semplificano la vita, con le opportunità che ci offrono. Quindi oggi quel bilanciamento sul tavolo un po’ manca. E lo vediamo nel quotidiano: se uno salisse su un’astronave, facesse rotta verso un pianeta lontano, si guardasse indietro verso la Terra e provasse a vedere cosa sta accadendo, quello che in questo momento sta accadendo è che i dati personali di miliardi di persone, più o meno sostanzialmente dell’intera popolazione terrestre (perché conta poco che si sia connessi o non connessi, ma delle nostre informazioni ci sono comunque), sono pescati a strascico da una decina di grandi società, sono trasformati letteralmente da diritti fondamentali o da enti rappresentativi di diritti fondamentali in asset commerciali e tecnologici, finiscono in mano a una decina di società che sono radicate in un paio di superpotenze in giro per il mondo. Ecco qui, oggettivamente, il bilanciamento verrà, ma oggi è lontano e direi che a colpo d’occhio da lassù questa situazione sembrerebbe oggettivamente insostenibile. Sta a noi ribaltare il trend, governarlo e saper cogliere le opportunità minimizzando i rischi.

Quali saranno i prossimi passi? Che tempi possiamo aspettarci per avere il regolamento definitivo?

Il nuovo regolamento, se tutto va per il verso giusto, sarà direttamente applicabile nei paesi dell’Unione Europea nella primavera del 2026. E naturalmente, come si può immaginare, mercati e tecnologie non aspetteranno le nuove regole o non aspetteranno che le nuove regole siano completamente e direttamente applicabili nei diversi paesi dell’Unione. Questo credo che debba imporci una riflessione sul modo in cui scriviamo le regole. Il processo europeo che porterà, auguriamoci, al varo del regolamento sull’intelligenza artificiale è stato un processo virtuoso in termini di calendario e timing: essere più veloci di così non si poteva, nel rispetto delle garanzie che contraddistinguono quel percorso di normazione. Tuttavia, oggettivamente, queste tempistiche sono assolutamente incompatibili con le velocità delle tecnologie attuali. In definitiva, direi che è stato fatto un passo importante, ma lontanissima resta la meta. Le regole andranno lette una per una prima di esprimere un giudizio positivo o negativo sul nuovo regolamento sull’intelligenza artificiale.