Anche per il cloud modelli regolatori basati sull'intelligenza artificiale

(Il Sole 24 Ore Radiocor) - Lo scorso 7 settembre il Governo ha presentato la strategia per il Cloud di dati e servizi della Pubblica amministrazione. Si tratta di un'infrastruttura strategica per l'Italia nell'offerta dei servizi pubblici del futuro. Il bel documento propone una complessa rete di governance dei rapporti tra soggetti pubblici e privati: più il servizio è critico meno il privato sarà ammesso a partecipare, e viceversa. Il modello di governance è interessante, ma molto diverso da quello adottato, ad esempio, in Francia o Danimarca per la gestione dei dati pubblici, dove sono partiti prima di noi. Quello dell'agenda Cloud è uno dei tanti casi che mi consentono di evidenziare l'utilità di avvalersi di un metodo sperimentale, prima di adottare una configurazione in modo definitivo: quello delle Regulatory Sandbox.

La regulatory sandbox serve ai legislatori e regolatori a decidere in ambiti affetti da grande incertezza (quale il rapporto tra l'umanità e i robot). Consente di sperimentare diverse soluzioni in ambiente controllato prima di traslarle su larga scala, al fine di osservarne i possibili effetti sugli stakeholder. In tal senso, la Regulatory sandbox consente di definire i confini tra quanto rischio siamo disposti ad accettare e quanto invece è meglio vietare, oppure assoggettare a controllo in attesa di maggiori informazioni. Oggi questa possibilità sperimentale è espressamente prevista dalla proposta di Regolamento UE sull'Intelligenza Artificiale dalla Commissione, del 21 aprile 2021. Nell'economia del regolamento, la Regulatory sandbox serve a disegnare regole ‘future-proof' o disegnate per restare (come certi edifici), e resilienti (cioè adattabili a condizioni ambientali variabili).

Venendo allo specifico dell'Intelligenza artificiale, dire che una norma giuridica debba essere future-proof, significa disegnarla per principi (anziché con disciplina di dettaglio), mentre renderla resiliente significa ancorare tali principi su due punti cardinali: la proporzionalità (a piccolo rischio poca intrusività della regola) e la promozione dell'innovazione. Raggiungere questi obiettivi sarà possibile, secondo la Commissione, se ci si avvarrà di regulatory sandboxes, un modo certo non classico di fare diritto e regole. Esse sono indicate nella proposta di Regolamento come ‘innovation friendly' e ‘resilient to disruption'. Come dire che, affinché la creazione del diritto sia capace di assicurare l'innovazione, deve farsi innovativo anch'esso. E questo è un messaggio che il legislatore europeo ha fatto proprio. Nel caso dell'IA gli effetti del suo utilizzo sono solo in parte prevedibili. Nel senso che i sistemi che si avvalgono di questa innovazione potrebbero in futuro far sorgere rischi per la salute, la sicurezza e i diritti fondamentali. Ma al tempo stesso non possiamo bloccarne lo sviluppo senza neppure testarne le potenzialità, in quanto queste potrebbero essere positive, ed esserlo in maniera dirompente (o disruptive). Ecco quindi che a livello europeo, il principio chiave della regolazione dei sistemi potenzialmente rischiosi di IA è quello di consentire agli Stati membri di sperimentarli prima di immetterli sul mercato.

Gli articoli 53, 54 e 55 definiscono la procedura. Gli Stati membri sono tenuti a dotarsi di sandboxes domestiche, ovverosia di spazi normativi controllati, nell'ambito dei quali le applicazioni di Intellingenza artificiale (Ai) potranno essere sviluppate, testate e temporaneamente validate. Ove nella sandbox si rilevasse un rischio per la salute, la sicurezza o i diritti fondamentali non mitigabile attraverso le regole, allora le stesse saranno accantonate.

La novità consiste pertanto nel ‘carattere temporaneo' delle regole. Queste potranno infatti essere ‘adattate', nella regulatory sandbox, o ‘accantonate' per un periodo di tempo specifico, al fine di verificare se saranno in grado di funzionare meglio su un determinato prodotto. Chiaramente, la circostanza che si tratti di un ambiente controllato diviene fondamentale per il buon esito della sperimentazione della regola. L'iniziativa è assunta dal regolatore nazionale (che nel caso italiano potrebbe essere l'Agcom o l'Autority cyber), al quale spetta individuare i soggetti (pochi) che parteciperanno alla sperimentazione.