AI - Aggiornamenti normativi
Che cos'è un sistema di intelligenza artificiale? Quando, cioè, devo considerare un software evoluto quale sistema di AI e quindi applicare l’AI ACT?
Dando attuazione all’art. 96(1)(f) dell’A.I. Act, che le attribuisce il compito di elaborare orientamenti sull’attuazione del Regolamento, la Commissione Europea ha pubblicato le linee guida atte a ricostruire la definizione di “sistema di IA” di cui all’art. 3(1) del Regolamento (UE) 2024/1689 (c.d. “A.I. Act”).
Rivolte ai fornitori e alle altre persone interessate (“comprese le parti del mercato e le istituzioni”) il documento ha lo scopo favorire una maggiore comprensione del concetto giuridico di “sistema di IA” e, più in generale, della legge sull’IA, facilitandone il rispetto.
Vediamo come si articola.
Prima di entrare nel vivo dell’analisi della nozione di sistema di IA, le linee guida si aprono con una fondamentale precisazione: la definizione di “sistema di IA” contenuta nel documento non deve considerarsi esaustiva e non ricomprende, dunque, tutti i potenziali sistemi di IA.
Posto che quello dell’intelligenza artificiale è un settore in rapida e crescente espansione, cristallizzare le caratteristiche dei sistemi di IA in una definizione “rigida” rischierebbe infatti di condannarla ad una rapida obsolescenza privandola, di fatto, di qualsiasi utilità.
Per evitare che ciò accada, precisa la Commissione, in linea con quanto previsto dal Considerando 12 della legge sull’IA, è fondamentale che la nozione di sistema di IA garantisca “la flessibilità necessaria per tenere conto dei rapidi sviluppi tecnologici in questo campo” e che non sia oggetto di applicazione “meccanica”: la valutazione di ciascun sistema di IA deve infatti avvenire sulla base delle specifiche caratteristiche che lo contraddistinguono.
Destinatari della disciplina contenuta nel Regolamento non sono tutti i sistemi tecnologici, bensì solo quelli in grado di qualificarsi come “sistemi di IA” perché dotati delle caratteristiche espressamente contemplate dalla definizione.
Proprio quest’ultima rappresenta il punto di partenza del documento della Commissione che, riprendendo l’art. 3(1) del Regolamento, ribadisce che per “sistema di IA” deve intendersi “il sistema basato su una macchina che è progettato per operare con vari livelli di autonomia e che può mostrare capacità di adattamento dopo l'implementazione e che, per obiettivi espliciti o impliciti, deduce dagli input ricevuti come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali”.
La definizione, che adotta una prospettiva “lifecycle-based”, contempla sette elementi chiave, la cui simultanea presenza consente di qualificare il sistema come “sistema di IA”.
Può infatti considerarsi tale, un sistema:
In ossequio all’approccio “lifecyle-based” i sette elementi identificati dalla definizione dovranno essere riscontrabili nelle due principali fasi del ciclo di vita del sistema: quella di costruzione (c.d. “pre deployment”, ossia “pre-impiego”) e quella di utilizzo (c.d. “post deployment”, ossia “post-impiego”), anche se non necessariamente in maniera continuativa.
Pertanto, è ben possibile che gli elementi specifici – tali da caratterizzare il sistema come “sistema di IA” – siano presenti nella prima fase ma non persistano nella seconda.
Andiamo a vedere più da vicino quanto precisato dalla Commissione circa i singoli elementi caratterizzanti del sistema di IA.
Il sistema di IA è, innanzitutto un sistema “machine-based” ed è quindi “guidato dal punto di vista computazionale e basato sulle operazioni delle macchine” (cfr. 1(12) delle linee guida).
Più specificamente, tale circostanza si ravvisa tutte le volte in cui lo sviluppo e il funzionamento del sistema avvengono grazie ad una “macchina”; termine che ricomprende non solo gli elementi hardware, ossia la componente fisica/materiale (e quindi “le unità di elaborazione, la memoria, i dispositivi di memorizzazione, le unità di rete e le interfacce di input/output, che forniscono l'infrastruttura per il calcolo”) ma anche quelli software (e dunque “il codice del computer, le istruzioni, i programmi, i sistemi operativi e le applicazioni che gestiscono il modo in cui l'hardware elabora i dati ed esegue i compiti”). Tra i sistemi machine-based rientrano ad esempio i sistemi di calcolo quantistico e i sistemi biologici o organici dotati di capacità computazionale.
Il livello di autonomia rappresenta la seconda condizione necessaria a determinare se il sistema possa o meno qualificarsi come sistema di IA.
Il concetto di autonomia è strettamente legato alle dinamiche di interazione uomo/macchina e – sulla scorta del combinato disposto tra il Considerando 12 e l’art. 3 (1) dell’A.I. Act – si declina in livelli variabili, a seconda dell’attitudine del sistema a porre in essere azioni in certa misura autonome dal coinvolgimento umano e di funzionare a prescindere dall’intervento di quest’ultimo, anche interagendo con l’ambiente esterno.
Coinvolgimento e intervento umano possono infatti essere diversamente graduati ed avere quindi incidenza “diretta” (ad esempio i controlli manuali) o “indiretta” (ad esempio i controlli che consentono all’uomo di delegare o semplicemente supervisionare le operazioni del sistema), ma mai “piena”: il riferimento ad un “certo grado di autonomia di azione” (di cui al Considerando 12) esclude infatti dal novero dei sistemi di IA quelli “progettati per funzionare esclusivamente con il pieno coinvolgimento e intervento umano e manuale” (cfr. 2(17) delle linee guida).
Potrà ad esempio considerarsi dotato di “un certo grado di autonomia di azione” un sistema che richiede l’inserimento manuale di input per poi generare output, perché “progettato con la capacità di generare un output senza che questo sia controllato manualmente o specificato esplicitamente ed esattamente da un essere umano”.
La nozione di autonomia è allora evidentemente correlata a quella di inferenza che ne rappresenta, di fatto, il presupposto. L’inferenza corrisponde infatti alla capacità del sistema di generare output (sotto forma di previsioni, contenuti, raccomandazioni o decisioni) suscettibili di influenzare ambienti fisici e virtuali ed è quindi, in altre parole, la “chiave” per l’autonomia del sistema.
Anche e soprattutto in ragione delle implicazioni pratiche legate all’autonomia del sistema di IA la Commissione mette in risalto i potenziali rischi suscettibili di essere prodotti – soprattutto nei contesti ad alto rischio – dai sistemi capaci di funzionare con intervento umano limitato o addirittura nullo ed esorta i fornitori a tenere tale fattore in debita considerazione soprattutto in fase di definizione delle tecniche di supervisione umana e di mitigazione del rischio.
Distinto, ma strettamente correlato al concetto di autonomia, è quello di adattività, che si riferisce alla capacità di autoapprendimento del sistema. Il sistema può dirsi adattivo quando, a seguito dell’installazione, è in grado di “auto-apprendere” (ad esempio scoprendo nuovi schemi o nuove correlazioni tra dati) e, successivamente, di modificare il proprio comportamento durante l’uso, generando risultati diversi rispetto a quelli precedentemente prodotti a parità di input.
Si tratta, comunque, di una condizione facoltativa, la cui ricorrenza non risulta quindi decisiva perché il sistema possa qualificarsi come “sistema di IA”.
I sistemi di IA sono progettati per operare secondo obiettivi definiti esplicitamente o implicitamente. Nel primo caso, gl obiettivi sono “chiaramente dichiarati e direttamente codificati dallo sviluppatore del sistema” nel secondo, invece, non sono esplicitamente dichiarati ma risultano comunque “deducibili dal comportamento o dalle ipotesi di base del sistema” o “derivare dai dati di addestramento o dall’interazione del sistema di intelligenza artificiale con il suo ambiente”.
Di cruciale rilevanza è la distinzione tra obiettivo e scopo del sistema di IA.
Mentre il primo è interno al sistema e si riferisce alle finalità dei compiti da svolgere e ai relativi risultati, il secondo è orientato verso l’esterno e comprende, dunque, il contesto in cui il sistema è stato progettato per essere utilizzato e le sue modalità di funzionamento.
In ossequio a quanto previsto dall’ art. 3(12) del Regolamento, lo scopo previsto di un sistema di IA (il c.d. “intended purpose”) si riferisce all’uso previsto dal fornitore per il sistema di IA.
Prendiamo, ad esempio, un assistente virtuale aziendale di IA: il suo obiettivo potrebbe essere quello fornire, sulla base di un insieme di documenti definito, risposte alle domande poste dagli utenti, con elevata accuratezza e un basso tasso di insuccesso. Diversamente, il suo scopo potrebbe invece consistere nell’ assistenza ad un determinato dipartimento aziendale nello svolgimento di specifici compiti. Per soddisfare tale esigenza, i documenti utilizzati dall’ assistente virtuale potrebbero dover essere conformi a determinati requisiti – ad esempio in termini di lunghezza o formattazione – e le domande dell’utente potrebbero doversi limitare allo specifico ambito in cui il sistema è destinato ad operare. L’ “intended purpose” del sistema è quindi soddisfatto in presenza di più elementi concomitanti: non solo il funzionamento interno del sistema (che ne consente il raggiungimento degli obiettivi) ma anche altri fattori quali la sua integrazione nel più ampio flusso di lavoro del servizio clienti, i dati utilizzati o le istruzioni per l’uso.
Il quinto elemento chiave, indispensabile alla qualificazione di un sistema come sistema di IA e alla sua differenziazione rispetto ad altri sistemi (come ad esempio i software tradizionali), è la c.d. “capacità inferenziale”.
Già il Considerando 12 specifica che essa “si riferisce al processo di ottenimento degli output, quali previsioni, contenuti, raccomandazioni o decisioni, che possono influenzare gli ambienti fisici e virtuali e alla capacità dei sistemi di IA di ricavare modelli o algoritmi, o entrambi, da input o dati”.
Per quanto concerne il primo aspetto, la Commissione puntualizza che ci si riferisce alla capacità di ottenere output soprattutto nella fase di utilizzo del sistema, mentre la “capacità dei sistemi di IA di ricavare modelli o algoritmi, o entrambi, da input o dati” riguarda invece principalmente – ma non esclusivamente – la fase di costruzione del sistema, e accorda quindi rilevanza alle tecniche utilizzate durante la stessa.
Viene inoltre messo in evidenza come, a differenza del Considerando 12, l’art. 3(1) del Regolamento non faccia riferimento alla capacità di inferenza, ma utilizzi il termine “deduzione”. Per tale ragione, precisa la Commissione, la formulazione utilizzata nell’ A.I. Act deve essere intesa in senso più ampio e va dunque riferita non alla “sola” capacità di ottenere output da input e dati (e quindi di dedurre il risultato) bensì “alla fase di costruzione in cui il sistema ricava output attraverso tecniche di IA che consentono l’inferenza”.
Di fondamentale rilevanza il riferimento allo standard ISO/IEC 2289/2022 che stabilisce la terminologia e descrive i concetti nel campo dell'IA. Le linee guida puntualizzano infatti come tale la definizione adottata dal Considerando, non entri in contrasto con quella fornita dallo standard ISO/IEC 22989 che, nel descrivere l’inferenza come “un ragionamento attraverso il quale le conclusioni sono derivate da premesse note” aggiunge una nota riguardante le IA, specificando che in tale ambito “una premessa è un fatto, una regola, un modello, una caratteristica o un dato grezzo”.
5.1. Tecniche di intelligenza artificiale che consentono l’inferenza
Le linee guida della Commissione si focalizzano poi specificamente sulle c.d. “tecniche di IA” che consentono l’inferenza durante la fase di costruzione del sistema di IA.
Ai sensi del Considerando 12, tali tecniche si suddividono in due categorie che, rispettivamente, includono “approcci di apprendimento automatico che imparano dai dati a raggiungere determinati obiettivi e approcci basati sulla logica e sulla conoscenza codificata che inferiscono dalla conoscenza codificata o dalla rappresentazione simbolica del compito da risolvere”.
Andiamo ad approfondirle più nello specificamente.
Le tecniche di IA basate sugli approcci di apprendimento automatico
La categoria delle tecniche di IA basate sugli approcci di apprendimento automatico ricomprende a sua volta un’ampia varietà di approcci che consentono al sistema di “imparare”. Più in particolare, rientrano nella suddetta: l’apprendimento supervisionato, l’apprendimento non supervisionato, l’apprendimento auto-supervisionato e l’apprendimento per rinforzo.
Gli approcci logico-simbolici
Le altre tecniche di apprendimento menzionate dal Considerando 12 – ossia gli “approcci basati sulla logica e sulla conoscenza codificata che inferiscono dalla conoscenza codificata o dalla rappresentazione simbolica del compito da risolvere” - a differenza di quelle analizzate non imparano sui dati, bensì dalla conoscenza.
Ciò significa che il sistema impara a “ragionare”, attraverso motori deduttivi o induttivi,
su conoscenze precedentemente codificate dagli esperti umani. Si pensi ai sistemi esperti di prima generazione utilizzati in campo medico e destinati all’attività diagnostica: in tal caso, il sistema “ragiona” su conoscenze codificate da esperti in campo medico e sulla base di esse è in grado di dare risposta al quesito posto, fornendo la diagnosi in base dei sintomi dichiarati del paziente.
5.2. Quali sistemi non rientrano nella definizione di “sistema di IA”?
Le linee guida della Commissione proseguono con una estesa elencazione (dal punto 40 al 51) di sistemi software tradizionali e approcci di programmazione che, basati su regole definite esclusivamente da persone fisiche per eseguire automaticamente operazioni, non rientrano nella definizione di “sistema di IA. Ciò vale anche, puntualizza la Commissione, per quei sistemi con ristrette capacità deduttive che proprio per la loro limitata capacità di analizzare i modelli e regolare autonomamente gli output non possono definirsi “sistemi di IA”.
Tra questi, le linee guida menzionano espressamente: i sistemi per migliorare l’ottimizzazione matematica, i sistemi di elaborazione di base, i sistemi basati sull’euristica classica e i sistemi di previsione semplici. Per ciascuna categoria di sistemi, la Commissione fornisce una serie di esempi.
Rientrano quindi nel novero dei sistemi per migliorare l’ottimizzazione matematica quelli che si servono di tecniche machine learning per approssimare processi atmosferici complessi (come le turbolenze), consentendo così previsioni più rapide ed efficienti dal punto di vista computazionale.
Tra i sistemi di elaborazione di base figurano invece le applicazioni per fogli di calcolo o i software per la visualizzazione dei rapporti di vendita, e comunque tutti quei sistemi “sviluppati per eseguire compiti basati su input o regole manuali, senza alcun "apprendimento, ragionamento o modellazione" in nessuna fase del ciclo di vita del sistema” e che si limitano quindi a presentare i dati in modo informativo.
Le euristiche classiche sono invece tecniche basate sull’esperienza che applicano regole o algoritmi predefiniti per ricavare soluzioni in modo approssimato. Pur efficaci in molte applicazioni (si pensi a un programma di scacchi in grado di valutare le posizioni della scacchiera senza richiedere un apprendimento preliminare dei dati) tali sistemi mancano dell’adattabilità e della generalizzazione che invece abilitano i sistemi di IA ad imparare dall’esperienza.
Nel novero dei sistemi semplici rientrano, infine, tutti quei sistemi basati su macchine le cui prestazioni possono essere ottenute mediante una regola di apprendimento statistico di base. Ciò avviene, ad esempio, nei sistemi di previsione finanziaria o nei sistemi di risposta all’assistenza clienti, che utilizzano metodi di benchmarking di base attraverso i quali è possibile stimare valori medi (per prevedere i prezzi futuri delle azioni o il tempo medio di risoluzione del problema del cliente) e stabilire previsioni di base.
La capacità di un sistema di generare output sulla base degli input ricevuti utilizzando approcci basati sull’apprendimento automatico e sulla logica e la conoscenza, è il sesto elemento caratterizzante dei sistemi di IA, nonché quello che li distingue dalle altre tipologie di software. I sistemi di IA sono infatti in grado di gestire relazioni e modelli complessi nei dati e quindi offrire un ragionamento più sofisticato in ambienti strutturati. In base al grado di coinvolgimento umano, gli output generati dai sistemi di IA si distinguono in quattro categorie:
Il settimo ed ultimo elemento caratterizzante dei sistemi di IA si riferisce alla loro attitudine ad “influenzare ambienti fisici o virtuali” e quindi alla loro capacità di impattare in maniera attiva sugli ambienti in cui vengono impiegati. Ciò può avvenire in maniera fisica/tangibile (si pensi al braccio robotico) ma anche virtuale (ad esempio negli spazi digitali).
Leggi gli altri articoli presenti nella nostra rubrica dedicata.
AI - Aggiornamenti normativi
Si avvicina il 2 agosto 2025, data di piena efficacia per i modelli di IA per finalità generali e in cui diventeranno obbligatori tutti gli adempimenti per essi previsti nel Regolamento UE 2024/1689 (c.d. “A.I. Act”). Vediamo che cosa sono i modelli di IA per finalità generali e quali sono gli obblighi ad essi collegati.