Mai come in questo periodo cronaca e politica raccontano quanto la tecnologia digitale e vita reale possano intrecciarsi, tanto che ormai la politica sente il bisogno di introdurre delle norme per regolamentare l’impiego dell’intelligenza artificiale: sono il cosiddetto scandalo dei dossieraggi, che da settimane agita il dibattito politico italiano, e il nuovo regolamento europeo approvato sull’intelligenza artificiale approvato nei giorni scorsi dal Parlamento di Strasburgo. Partendo da queste due vicende di attualità, in questa puntata di Extra Claudio Micalizio incontra Giuseppe Gorga, esperto di cyber security e tutela dei dati sensibili, per capire quante e quali minacce possano mettere a repentaglio la nostra privacy e quali potrebbero essere le nuove frontiere dell’IA.

Cosa è lo scandalo dossieraggi?

Nelle ultime settimane molti giornali hanno ripreso l’attenzione su un’indagine della procura di Perugia che coinvolge 16 persone, accusate di accesso non autorizzato a informazioni riservate riguardanti politici e personaggi famosi. I principali indagati sono un tenente della Guardia di Finanza, Pasquale Striano, e il magistrato Antonio Laudati, entrambi con esperienza nella direzione nazionale antimafia. Secondo le accuse, Striano e Laudati avrebbero utilizzato le banche dati della direzione nazionale antimafia per ottenere informazioni riservate su centinaia di persone, principalmente politici.

L’inchiesta era già nota dall’agosto del 2023, quando diversi giornali ne avevano riportato i dettagli, evidenziando il coinvolgimento di Striano e il meccanismo di accesso alle banche dati della direzione nazionale antimafia. Negli ultimi giorni sono emersi ulteriori dettagli, inclusa una lista di politici e personaggi “spiati”, e il coinvolgimento di tre giornalisti del quotidiano Domani a cui Striano forniva informazioni. Nello specifico Striano e Laudati sono accusati di falso, accesso abusivo a sistema informatico e abuso d’ufficio.

Tuttavia, molte questioni rimangono poco chiare nell’inchiesta. I giornali hanno parlato di “dossieraggio”, ma la procura di Perugia smentisce almeno dal punto di vista tecnico questa definizione anche se al momento non ha ancora spiegato le motivazioni dietro gli oltre 800 accessi al sistema informatico effettuati da Striano: di certo, ed è il motivo per il quale i magistrati tendono a non utilizzare l’espressione dossieraggi, non sembra essere una questione di corruzione, poiché nessuno degli indagati è accusato di tale reato.

L’indagine è stata avviata dopo che il ministro della Difesa Guido Crosetto ha presentato un’esposto alla procura di Roma in seguito a un articolo di Domani riguardante le sue consulenze ad aziende legate all’industria delle armi. Crosetto non ha querelato Domani per diffamazione, ma ha chiesto un’indagine sull’accesso ai dati riservati. L’indagine ha rivelato il coinvolgimento di Striano e lo strumento utilizzato per accedere alle informazioni senza giustificazione investigativa. L’inchiesta è stata poi trasferita alla procura di Perugia.

Laudati è accusato di aver aperto quattro istruttorie senza presupposti investigativi validi, incluso un caso personale riguardante la vendita di un convento a Santa Severa. La procura contesta a Laudati e Striano di aver divulgato informazioni riservate ai giornalisti di Domani. I giornalisti sono indagati per accesso abusivo e rivelazione di segreto, ma il direttore di Domani sostiene che abbiano semplicemente svolto il loro lavoro di cronaca investigativa.

Cosa preve la nuova legge europea sull’intelligenza artificiale?

Il Parlamento europeo ha approvato l’Artificial Intelligence Act, il nuovo regolamento europeo sull’IA, con 523 voti favorevoli, 46 contrari e 49 astenuti. Questo fatto segna un evento storico poiché i 27 Paesi dell’Unione europea saranno i primi al mondo ad avere una legge generale sull’intelligenza artificiale, superando le altre grandi potenze globali.

Dopo l’approvazione formale da parte del Parlamento e del Consiglio, nonché la pubblicazione in Gazzetta Ufficiale, l’entrata in vigore dell’AI Act è prevista per fine maggio, anche se l’applicazione sarà graduale. Alcune norme diventeranno operative dopo 6 mesi (pratiche di IA vietate) e un anno (IA per finalità generali), mentre altre lo saranno dopo 36 mesi (alcuni sistemi di IA ad alto rischio). La maggior parte della legge diventerà invece applicabile dopo 24 mesi.

L’accordo politico sul testo è stato raggiunto lo scorso 9 dicembre, con i lavori per definire i dettagli in vista delle votazioni finali che sono iniziati subito dopo. Nonostante l’adozione formale avverrà in seduta plenaria ad aprile, la votazione del Parlamento è stata anticipata di un mese seguendo una procedura accelerata, a causa delle imminenti elezioni di giugno. Il testo è ora composto da 113 articoli e 12 allegati.

L’AI Act regola lo sviluppo, la fornitura e l’uso di sistemi di IA in tutta Europa, escludendo i software tradizionali più semplici e gli approcci di programmazione dalla definizione di “sistema di IA”, proposta dall’OCSE. Le nuove norme si applicano a tutte le aziende e gli enti pubblici che forniscono o utilizzano sistemi di IA in Europa, anche se non hanno sede in un paese europeo, a condizione che l’output del sistema sia utilizzato nell’UE.

La legge vincola anche importatori, distributori e altri soggetti, escludendo i sistemi di IA per scopi militari, di difesa o sicurezza nazionale, la ricerca scientifica e quelli rilasciati con licenze free e open source, nonché le attività di ricerca, prova e sviluppo dell’IA e l’uso personale non professionale da parte di singoli individui.

La legge classifica i sistemi di IA in base al rischio derivante dal loro utilizzo, con requisiti e obblighi graduati di conseguenza. I sistemi a rischio inaccettabile, come la polizia predittiva e il social scoring, sono vietati, così come il riconoscimento delle emozioni nelle scuole e sul luogo di lavoro e lo scraping di immagini facciali da internet per creare banche dati. È vietato anche l’uso di sistemi di identificazione biometrica in tempo reale in spazi accessibili al pubblico, salvo alcune eccezioni predeterminate e autorizzate.

Sono previste numerose regole e procedure obbligatorie per l’IA il cui impatto potrebbe essere negativo su salute, sicurezza o diritti fondamentali. Prima di essere messi sul mercato, questi sistemi devono sottoporsi a una valutazione della conformità per dimostrare il rispetto dei requisiti della legge, come la gestione dei rischi, la qualità dei dati, la documentazione tecnica e la registrazione dei log, oltre a misure di trasparenza, cybersicurezza e sorveglianza umana. In alcuni casi è richiesta anche una valutazione d’impatto sui diritti fondamentali e i sistemi devono avere la marcatura CE ed essere registrati in un database europeo.

L’AI Act introduce misure per favorire la conoscibilità e la trasparenza degli algoritmi, richiedendo che le persone siano informate quando interagiscono con un chatbot o altri sistemi di IA e che gli output di un’IA generativa siano contrassegnati come artificiali e rilevabili dalle macchine. Specifici obblighi sono previsti per i modelli di IA per finalità generali, tra cui la redazione di documentazione tecnica, l’attuazione di politiche per rispettare il diritto d’autore e la pubblicazione di report sui contenuti usati per addestrare l’algoritmo.

L’AI Act facilita la sperimentazione e l’adeguamento con norme come le regulatory sandbox, le prove in condizioni reali e i codici di condotta, oltre a fornire agevolazioni per PMI e startup.

Sul versante della governance, ogni paese avrà un’autorità di controllo nazionale, a cui potranno rivolgersi cittadini e imprese, mentre a livello UE saranno coinvolti diversi soggetti, tra cui la Commissione, il Comitato europeo per l’intelligenza artificiale e l’Ufficio per l’IA. Saranno istituiti anche un forum consultivo e un gruppo di esperti scientifici indipendenti. Il regolamento prevede sanzioni pesanti per le violazioni, fino a 35 milioni di euro o, per le imprese, fino al 7% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.