di Giacomo Lusardi e Alessandra Faranda

Lo scorso 23 aprile il Consiglio dei Ministri ha varato un disegno di legge (DDL) volto a introdurre disposizioni nazionali in materia di Intelligenza Artificiale (IA), anche tramite delega al Governo. L’obiettivo primario è di stabilire criteri normativi in grado di bilanciare le opportunità offerte dalle nuove tecnologie con i rischi associati a un uso improprio e dannoso, ad integrazione e specificazione di quanto già previsto dal Regolamento europeo sull’Intelligenza Artificiale (“AI Act”) approvato lo scorso marzo.

Il DDL è composto da cinque capi:

• Principi e finalità
• Disposizioni di settore
• Strategia nazionale, autorità nazionali e azioni di promozione
• Disposizioni a tutela degli utenti e in materia di diritto di autore
• Disposizioni penali

I principi alla base del DDL e la tutela dei minori

Alla base del DDL vi sono il rispetto dei diritti fondamentali e delle libertà individuali nell’intero ciclo di vita dei sistemi di IA e alcuni principi generali. Tra questi, in linea con l’AI Act, la trasparenza, la libertà d’informazione, la spiegabilità e la conoscibilità, il controllo umano (approccio c.d. human in the loop) e il potere decisionale dell’uomo, la prevenzione del danno, la proporzionalità, la sicurezza, la protezione dei dati personali, la non discriminazione, la parità dei sessi e la sostenibilità. L’approccio che deve guidare il legislatore nella predisposizione di misure adeguate all’impiego dell’IA è dichiaratamente antropocentrico, di modo che i sistemi tecnologici siano a servizio dell’attività umana e non ne sostituiscano il valore essenziale in ogni possibile settore di impiego.

Secondo il DDL l’uso dell’IA non deve pregiudicare la vita democratica del Paese e delle istituzioni, sottolineando l’importanza della cybersicurezza lungo tutto il processo di sviluppo e utilizzo dei sistemi di IA. Il DDL riserva altresì particolare attenzione alla promozione dell’IA nei settori produttivi, al fine di avviare e sostenere nuove attività economiche e aumentare la competitività nazionale, nel rispetto della concorrenza.

Quanto ai minori, il DDL prevede che sopra i quattordici anni essi possano prestare il consenso per accedere ai sistemi di IA in autonomia, mentre al di sotto anni è richiesta l’autorizzazione degli esercenti la potestà genitoriale.

Approccio verticale e disposizioni di settore: settore sanitario, lavoro e prestazioni intellettuali

Il DDL include poi alcune disposizioni volte a regolare l’uso dell’IA in determinati settori economici, nel tentativo di integrare le norme più generali e trasversali dell’AI Act.

Uno dei settori principali in cui il DDL mira ad intervenire è quello sanitario. In particolare, il testo evidenzia l’importanza di un utilizzo etico e inclusivo dell’IA in sanità. Prevede il divieto di uso discriminatorio di sistemi di IA nell’accesso alle prestazioni sanitarie e stabilisce l’obbligo di un’informazione trasparente ai pazienti sul loro utilizzo. Inoltre, chiarisce espressamente che i sistemi di IA in ambito sanitario costituiscono un supporto nei processi di prevenzione, diagnosi, cura e scelta terapeutica, ma che la responsabilità delle decisioni deve restare in capo ai professionisti sanitari.

Tema controverso, che sta già facendo discutere gli addetti ai lavori, è poi l’introduzione di semplificazioni per la sperimentazione dei sistemi di IA in ambito sanitario. In particolare, il DDL dichiara di rilevante interesse pubblico i trattamenti di dati, personali e non, svolti da soggetti pubblici e privati senza scopo di lucro per la ricerca e la sperimentazione scientifica nella realizzazione di sistemi di IA per finalità di prevenzione, diagnosi e cura di malattie, sviluppo di farmaci, terapie e tecnologie riabilitative, realizzazione di apparati medicali, incluse protesi e interfacce fra il corpo e strumenti di sostegno alle condizioni del paziente, di salute pubblica, incolumità della persona, salute e sicurezza sanitaria, in quanto necessari ai fini della realizzazione e dell’utilizzazione di banche dati e modelli di base. Sul punto il DDL richiama l’art. 32 della Costituzione in tema di tutela della salute e l’articolo 9, par. 2, lettera g), GDPR, individuando così la relativa base giuridica su cui fondare i trattamenti di dati personali in questione. Il DDL prevede anche che sia sempre autorizzato “l’uso secondario di dati personali privi degli elementi identificativi diretti”, anche ove rientranti in categorie particolari di dati (ad esempio, dati sanitari), da parte di soggetti pubblici e privati senza scopo di lucro e che, a tal fine, sia sufficiente un’informativa generale pubblicata sul sito web del titolare del trattamento e non sia necessario richiedere un ulteriore consenso al trattamento. I trattamenti di dati personali in questione devono essere approvati dai comitati etici competenti e notificati al Garante Privacy, che può bloccarli entro 30 giorni dalla notifica.

Sempre il tema di sanità, il DDL introduce disposizioni riguardanti il fascicolo sanitario elettronico e la gestione della sanità digitale. È prevista, infatti, la creazione di una piattaforma di IA gestita dall’Agenzia nazionale per i servizi sanitari regionali (AGENAS), dedicata al supporto dei professionisti sanitari e degli utenti.

Con il DDL il Governo propone anche un quadro normativo che incoraggi l’uso dell’IA per il miglioramento delle condizioni di lavoro e l’aumento dell’efficienza delle attività lavorative e della produttività. Ciò include la protezione dell’integrità fisica e psichica dei lavoratori e il rispetto dei loro diritti garantiti dalla normativa nazionale ed europea. Per assicurare una corretta implementazione dell’IA nel contesto lavorativo, il DDL prevede l’istituzione dell’Osservatorio sull’adozione dei sistemi di intelligenza artificiale nel mondo del lavoro, con il compito di monitorarne l’impatto sul mercato del lavoro, di identificare i settori più influenzati dalla tecnologia e di promuovere la formazione costante dei lavoratori e dei datori di lavoro in tale ambito. Infine, il DDL impone a datori di lavoro e committenti l’obbligo di informare i lavoratori dell’utilizzo di sistemi di IA.

Sulle professioni intellettuali il DDL prevede che l’utilizzo dell’IA sia consentito solo per lo svolgimento di attività accessorie e di supporto all’attività principale. Inoltre, i professionisti devono tenere informati i propri clienti sull’uso dei sistemi di IA, in maniera chiara e comprensibile.

Quanto alle pubbliche amministrazioni, esse dovrebbero utilizzare l’IA per migliorare l’efficienza dei servizi offerti a cittadini ed imprese, coerentemente a quanto previsto dalla Strategia Italiana per l’Intelligenza Artificiale 2024-2026. L’IA deve restare uno strumento di supporto, ma potere decisionale e provvedimenti devono restare in capo alle persone.

Per il contesto giudiziario il DDL stabilisce che l’IA può trovare spazio soltanto in un’ottica di semplificazione del lavoro degli uffici giudiziari  e di supporto nella ricerca giurisprudenziale e dottrinale. Anche in questo caso, seguendo il fil rouge dell’intero DDL, l’uomo rimane al centro: la decisione finale su questioni interpretative e giudiziarie deve sempre e comunque restare una prerogativa del magistrato.

Strategia nazionale, investimenti e autorità nazionali per l’intelligenza artificiale: l’approccio italiano

La strategia nazionale sull’IA promuove la collaborazione tra pubblica amministrazione e privati nello sviluppo e nell’adozione di sistemi di IA, coordina le attività amministrative, favorisce la ricerca e la diffusione della conoscenza nel campo dell’IA e guida misure e incentivi per lo sviluppo imprenditoriale e industriale. L’elaborazione e l’aggiornamento della strategia sono affidati alla Presidenza del Consiglio tramite il Dipartimento per la transazione digitale.

Sul piano degli investimenti il DDL autorizza una spesa fino un miliardo di Euro per l’assunzione di partecipazioni di PMI innovative con sede operativa in Italia, attive nei settori dell’IA, della cybersicurezza, del calcolo quantistico, delle telecomunicazioni, del Web3 e altre tecnologie abilitanti, così come in altre imprese con potenziale per diventare campioni nazionali in questi ambiti.

Quanto alle autorità nazionali per l’IA ai fini dell’AI Act, il DDL le individua nell’Agenzia per l’Italia Digitale (AgID) e nell’Agenzia per la Cybersicurezza Nazionale (ACN). Nello specifico, l’AgID avrà il ruolo di promuovere l’innovazione e lo sviluppo dell’IA, così come di definire ed esercitare le funzioni in materia di valutazione e monitoraggio dei sistemi. L’ACN, oltre a garantire la tutela della cybersicurezza anche in relazione allo sviluppo dell’IA, sarà responsabile della vigilanza sui sistemi e delle attività ispettive e sanzionatorie. Entrambe le Autorità dovranno coordinarsi e collaborare con altre pubbliche amministrazioni ed autorità indipendenti e, a tal fine, sarà istituito un Comitato di Coordinamento presso la Presidenza del Consiglio dei Ministri.

L’approccio dell’Italia, dunque, risulta diverso rispetto a quello adottato da altri Paesi. Non solo non è prevista la creazione di un’autorità specifica per l’IA (come, ad esempio, l’Agencia Española de Supervisión de la Inteligencia Artificial – AESIA), ma la scelta è caduta su due autorità governative già esistenti (AgID e ACN, appunto) e non su autorità indipendenti. Al riguardo, il Garante Privacy aveva chiesto al Governo di poter svolgere anche la funzione di autorità per l’IA, sulla base della stretta interrelazione tra IA e protezione dati e della competenza già acquisita in materia di processo decisionale automatizzato.

L’identificazione dei contenuti generati da IAe il tema del diritto di autore

Il DDL prevede l’introduzione di disposizioni riguardanti l’identificazione dei contenuti testuali, fotografici, audiovisivi e radiofonici generati o modificati da sistemi di IA. In particolare, i fornitori di servizi audiovisivi e radiofonici che abbiano ottenuto il consenso dai relativi titolari dei diritti per generare contenuti, modificarli o alterarli tramite strumenti di IA, in modo da presentare come reali dati, fatti e informazioni che non lo sono, sono chiamati a identificare chiaramente i contenuti in questione, inserendo elementi o segni identificativi visibili e riconoscibili da parte degli utenti con l’acronimo “IA”. L’identificazione deve essere presente all’inizio e alla fine delle trasmissioni e dei contenuti e non è richiesta per contenuti creativi, satirici, artistici o fittizi, salvo pregiudizi ai diritti e alle libertà di terzi. Inoltre, l’AGCOM dovrà promuovere forme di co-regolamentazione e di autoregolamentazione tramite codice di condotta sia con i fornitori di servizi di media audiovisivi e radiofonici sia con i fornitori di piattaforme per la condivisione di video

Inoltre, tra le novità più discusse del DDL vi è la modifica di alcuni articoli della legge sul diritto d’autore (633/1941 e ss. mm.), a partire dall’art. 1 sulle opere tutelabili (in corsivo le aggiunte): “Sono protette […] le opere dell’ingegno umano di carattere creativo che appartengono alla letteratura, alla musica, alle arti figurative, all’architettura, al teatro ed alla cinematografia, qualunque ne sia il modo o la forma d’espressione, anche laddove create con l’ausilio di strumenti di intelligenza artificiale, purché il contributo umano sia creativo, rilevante e dimostrabile”. La proposta non esclude che opere generate con l’ausilio di strumenti di IA possano essere tutelate dal diritto di autore, ma sembra innalzare la soglia di tutela poiché oltre al gradiente di creatività normalmente richiesto per le opere dell’ingegno e la sua dimostrabilità, aggiunge il criterio della “rilevanza” del contributo umano rispetto a quello della macchina. Valutazione da svolgere caso per caso.

Sempre in tema di diritto di autore, il DDL precisa anche che alla riproduzione e all’estrazione di opere o altri materiali attraverso modelli e sistemi di IA anche generativa, si applica l’eccezione di text and data mining (TDM) di cui agli artt. 70-ter e 70-quater della legge sul diritto di autore.

L’inasprimento delle pene in caso di reati commessi con l’ausilio dell’IA

In ultimo, il DDL prevede una serie di misure volte a punire i reati commessi tramite l’uso di sistemi di intelligenza artificiale in maniera più severa. Anzitutto, una specifica aggravante per l’uso di sistemi di IA: qualora l’IA sia utilizzata in modo insidioso o ostacoli la difesa pubblica o privata, ovvero contribuisca ad aggravare le conseguenze di un reato, la pena è aumentata. Inoltre, il testo stabilisce che la diffusione illecita di contenuti generati o manipolati dall’IA per indurre in inganno sulla loro genuinità (come nel caso dei cosiddetti deepfake) sia punita con la reclusione da sei mesi a tre anni e da uno a cinque anni ove fosse causa di un danno ingiusto. Sono poi introdotte circostanze aggravanti speciali per punire reati in cui l’uso dell’IA abbia una elevata capacità di propagare l’offesa.